Eén van de recentere berichten op dit vlak kreeg de welluidende naam "Meltdown/Spectre" mee. Het verhaal kreeg erg veel persaandacht de laatste dagen en weken. We vroegen aan Erik Moreau (Technical Supervisor bij Aurelium en MVP Windows and Devices for IT) wat er nu precies van aan is, en welke acties we moeten ondernemen om de risico's zo goed mogelijk te beperken.
Wat is precies het probleem
Het probleem situeert zich in dit verhaal in de chip die zich in uw computerhardware bevindt. Recht in het hart van uw systemen dus. Het probleem krijgt zoveel aandacht omdat het zowat alle computers treft die de afgelopen tien jaar met Intel computerchips op de markt zijn gebracht (Meltdown). Maar ook op chips van AMD en ARM kunnen zich problemen voordoen (Spectre).
In beide gevallen (Meltdown en Spectre) zit een ontwerpfout die toelaat om wachtwoorden en encryptiesleutels uit het geheugen van de computer te plukken. Specifiek aan Meltdown en Spectre is dat het probleem zich niet in de software (Microsoft, Adobe, browsers,...) situeert. Dat er zich bugs in software bevinden is algemeen geweten en de producenten van die software hebben dan ook (vaak automatische) update systemen om, van zodra er een lek wordt gevonden, dit te dichten door middel van een software update. Het probleem is in dit geval dus veel breder verspreid aangezien het zich niet in de software bevindt maar in de hardware van uw toestellen.
Hoe groot is het risico
Zoals gezegd zijn er erg veel systemen in omloop die met het probleem te maken hebben. De mogelijkheid om van de fout gebruik te maken om toegang te krijgen tot gevoelige gegevens is dus op erg veel toestellen aanwezig.
Maar daar staat tegenover dat het echte hacken, gebruik makend van de bug, niet zo evident is. Het vereist vandaag nog directe toegang tot het toestel in kwestie om dan software lokaal op het toestel uit te voeren die het lek dan benut.
Aangezien het probleem echter zo breed verspreid is, is de kans niet onbestaande dat hackers er veel aan gelegen is om te proberen het probleem toch uit te buiten.
Wat doen om mezelf te beveiligen
Het allereerste advies is niet anders dan het algemeen geldende advies om uw ICT-infrastructuur veilig te houden: installeer niet zomaar iedere software die je interessant en leuk lijkt, klik niet zomaar op elke "interessante" link op internet en hou uw systemen up to date en installeer dus patches en updates.
Bij dat laatste is het, in dit geval, wel even uitkijken. Vooral gezien het feit dat het benutten van het lek op dit moment nog niet evident is.
De patches komen stelselmatig beschikbaar maar de stabiliteit ervan laat hier en daar toch heel wat te wensen over. Bovendien blijkt dat er soms significante impact is op de performantie van systemen na het installeren van de patches.
Na het updaten en patchen van systemen moet er dus zeker nauwkeurig gemonitord kunnen worden of er niks fout gaat. Hiervoor kan je dus best rustig de tijd nemen en dit zorgvuldig plannen.
Welke systemen moeten allemaal gepatcht worden
De belangrijkste zaken waarvoor er een update zal moeten geïnstalleerd worden:
- op clientsystemen: BIOS van het systeem, Windows OS en het antivirus pakket
- op servers: BIOS van het systeem, Windows OS, antivirus pakket, activeren van de patch via extra regkeys
- op hypervisors: BIOS van het systeem en de klassieke updates
De huidige patches en updates zullen ongetwijfeld nog bijgestuurd en verbeterd worden om de impact op de systemen te verminderen.
Conclusie
Spectre & Meltdown zijn erg breed verspreide security risico's. Het risico op uitbuiting ervan is echter op dit moment nog niet erg hoog (nog geen vlotte manieren om het lek te benutten door hackers). Jammer genoeg is het patchen en updaten van de systemen ook een moeilijk verhaal dat niet helemaal risicoloos is.
Kalmte bewaren en voorzichtig zijn bij het patchen en updaten van systemen, zijn dus de twee belangrijkste adviezen. En, uiteraard, voorzichtig zijn met installatie van software en het klikken op links van internet die je niet helemaal vertrouwt! Maar dat geldt voor de meeste risico's. Elke gelegenheid is echter goed om de gebruikers van uw ICT systeem daar nog eens op te wijzen!
