Meltdown ve Spectre, bunlar PC-Audiophile.com’un PC tarafı ile ilgili. Türkçe’ye çevirirsek “Erime ve Hayalet”. İşlemci tasarımından kaynaklanan ve geçen yıl keşfedilen iki açık. Bugünkü işletim sistemlerinin en önemli güvenlik işlevlerinden biri sistem belleğine erişimin kısıtlı ve güvenli tutulması. Normal olarak işletim sistemi üzerinde çalışan bir uygulama, sadece kendine ayrılmış bellek alanını görebilir, başka uygulamaların bellek alanlarını göremez. Ancak, bir kod çalıştırarak bu engelin aşılabildiği ortaya çıktı. Düşünsenize, bitcoin çılgınlığının başladığı bir dönemdeyiz; bitcoin ile işlem yaptığınız bir anda bilgisayarınızın belleğinde işlem gören özel anahtarınız ele geçirilebilir ve her şeyi kaybedebilirsiniz! Müzik dinlemek için ayrı bir bilgisayarınız var ise, o bilgisayarı başka işler için kullanmıyorsanız böyle bir risk yok tabi. Ama ya diğer bilgisayarlarınız? Konu, işlemci teknolojisinin bir açığı olduğu için sadece bilgisayarlar ile kısıtlı değil, tablet ve akıllı telefonlar da bu zafiyete sahip. Konu oldukça ciddi.
Google, 2014 yılında, internet güvenliğini arttırmak ve kullanıcıları saldırılardan korumak hedefi ile “Project Zero” adı altında bir grup kurdu. Geçen yıl grubun yaptığı çalışmalar ile AMD, ARM ve Intel gibi işlemcilerinde ciddi bir açık ortaya çıkartıldı. Birçok işlemcinin performansını arttırmak için başvurulan Spekülatif Yürütme (Speculative Execution) adlı bir teknik var. Spekülatif Yürütme, işlemci performansını en üst düzeye çıkarmak için, ilgili olabilecek bazı komutların yürütülmesi gerektiğinden emin olmadan bile – tahmin ile – talimatları yürütmeye çalışır. Eğer tahmin doğruysa, işlemci, yarının işini bugünden yapmış olarak, yeni bir göreve koşar. Eğer, tahmin yanlış ise o zaman doğru komut işleme konularak devam edilir – bu arada yeni görev beklemeye devam eder. Bu yaklaşım genel olarak işlemci performansını arttırıyor.
Eve bir damacana su ve bir adet pizza sipariş ettiniz. İkisi arka arkaya geldi. Ya parayı, kredi kartını önceden hazır eder, hemen öder ve adamları gönderir sonra da işinize devam edersiniz, ya da adamları kapıda bekletir, cüzdan nerede diye ev içinde koşuşturursunuz. Onun gibi bir şey – ne örnek ama!
Ortaya çıkartılan zafiyet, Spekülatif Yürütme tekniğinden faydalanarak, çalışan bir uygulamanın, sistem belleğindeki, şifre, anahtarlar gibi çok hassas verilerinin, kötü niyetliler tarafından okunabileceği gerçeğine dayanıyor. Yapılan testlerde, sadece sanal bir makinanın değil onu yürüten ana sistemin (host) ve ana sistem tarafından çalıştırılan diğer sanal makinaların da belleklerinin okunabildiği ortaya çıktı. Bu açıdan bakınca, bulut hizmet sağlayıcıları ve bu hizmetlerden faydalananlar için de sıkıntı verici bir durum sözkonusu. Açıkçası, bireysel, kurumsal, eski, yeni her tür bilgisayar kullanıcısını ilgilendiren bir durum söz konusu. Bu açığın iki türü var Meltdown ve Spectre. Ancak, detayına ve farklarına giremiyorum. Meraklısı buraya tıklasın (ve sonra bana da anlatsın).
Google Project Zero yetkilileri her bulgularını anında umum ile paylaşmıyorlar; üreticiler ile temasa geçip belirli önlemler geliştirildikten sonra duyuruyorlar. Sözkonusu açık konusunda Google, Haziran 2017’de Intel, ARM ve AMD’ye bazı bildirimlerde bulunulmuş. Planlanan genel duyuru tarihi 9 Ocak 2018 iken, konu hakkında spekülasyonların artması nedeni ile Google Security Blog’da 3 Ocak 2018’de bir duyuru yapılmış. Buradan erişebilirsiniz.
Google kendi uygulamalarında Meltdown ve Spectre önlemlerini almış. Anladığım kadarı ile işlemci üreticileri gelecek işlemci tasarımlarında bu açığı bertaraf edecekler. Tabi bunun bir pazarlama fırsatına çevirerek, fazladan yeni satış yapmayı bekleyecekler, “eski sisteminizi atın yerine yenisini verelim” diyecekler. Yeni tasarımlar ortaya çıkmadan önce ise bazı yazılım güncelleştirmeleri ile ara çözümler duyurulmaya başlandı bile. Yazılımsal ara çözümler açığı ne ölçüde kapatır bilinmez ama bilgisayarlarınızın işletim sistemlerini ve diğer yazılımları her zaman güncel tutmanız tavsiye edilir.
Olayın ilginç yönlerine biri de, Haziran 2017’de böyle bir güvenik açığının olduğu Intel’e bildirildikten sonra – daha henüz umuma duyurulmamışken – Intel CEO’su Brian Krzanich’in 2017 Kasım ayında – Intel hisselerinin 2017’nin en yüksek zamanlarında – kontratının el verdiği en fazla miktarda Intel stoğunu satması oldu. Haber kaynaklarına göre 39 milyon Dolar’lık stok satarak 25 milyon Dolar kar elde etmiş. Ne var bunda? diyebilirsiniz. Ancak, satışın işlemcilerle ilgili zafiyetin umuma duyurulmasından önce yapılması Krzanich’in başını ağrıtabilir. Buna, “insider trader” denir. Yani, içeriden öğrenenlerin ticareti. Kamuya açıklanmamış bir bilgiyi kullanarak kendine menfaat sağlıyor, sermaye piyasasında işlem yapanlar arasındaki fırsat eşitliğini bozuyor – bu ABD dahil bir çok ülkede ticari bir suç.
Bakalım zaman neler gösterecek?
Bazı Kaynaklar:
https://meltdownattack.com/meltdown.pdf
https://spectreattack.com/spectre.pdf
