Những lỗ hổng bảo mật cấp chip xử lý Meltdown và Spectre nguy hiểm

Meltdown và Spectre là hai nhóm lỗ hổng được công bố đầu năm 2018, nằm trong cách vi xử lý hiện đại tăng tốc bằng thực thi suy đoán. Chúng có thể cho phép một chương trình đọc dữ liệu mà lẽ ra nó không được phép xem, như mật khẩu hay khóa mã hóa trong bộ nhớ của chương trình khác. Người dùng được bảo vệ chủ yếu nhờ ba lớp cập nhật: hệ điều hành, vi mã (microcode) qua BIOS/UEFI và trình duyệt. Nếu máy của bạn đã cập nhật đầy đủ trong vài năm gần đây, các biến thể đã biết phần lớn đã được giảm thiểu.

Thực thi suy đoán: tốc độ đổi lấy rủi ro

Để chạy nhanh, vi xử lý không chờ từng lệnh xong mới làm lệnh tiếp theo. Nó đoán trước nhánh nào của chương trình sẽ được chạy và thực hiện trước. Nếu đoán đúng, thời gian được tiết kiệm. Nếu đoán sai, kết quả bị hủy như chưa từng xảy ra.

Vấn đề là "như chưa từng xảy ra" không hoàn toàn đúng. Những lệnh thực thi trước có thể để lại dấu vết trong bộ nhớ đệm (cache) của chip. Bằng cách đo thời gian truy cập bộ nhớ rất chính xác, một chương trình có thể suy ra dữ liệu đã được chạm tới trong lúc suy đoán. Kỹ thuật suy ra thông tin từ hiệu ứng phụ như thời gian gọi là tấn công kênh kề (side-channel).

Meltdown và Spectre khác nhau ra sao

Tên gọi cũng nói lên tính chất: Meltdown "làm tan chảy" ranh giới bảo mật giữa ứng dụng và hệ điều hành, còn Spectre (bóng ma) được đặt tên vì nó sẽ còn ám ảnh ngành trong thời gian dài. Quả thực, sau 2018 đã có nhiều biến thể và lỗ hổng cùng họ được công bố, như các lỗ hổng liên quan đến bộ đệm trong chip và các kỹ thuật dự đoán nhánh mới.

Ai thực sự gặp rủi ro

Để khai thác, kẻ tấn công cần chạy mã trên chính máy có chip bị ảnh hưởng. Điều đó dẫn tới hai nhóm rủi ro rõ rệt:

• Môi trường dùng chung: máy chủ đám mây nơi nhiều khách hàng chạy máy ảo trên cùng phần cứng, máy chủ chia sẻ hosting. Một khách hàng có thể cố đọc dữ liệu của khách hàng khác. Đây là lý do các nhà cung cấp đám mây vá rất khẩn trương khi lỗ hổng được công bố.
• Trình duyệt web: JavaScript từ trang web chạy trên máy bạn. Vì vậy các trình duyệt lớn đã thay đổi cách đo thời gian, tách mỗi trang web ra một tiến trình riêng (site isolation) để giảm khả năng một trang đọc dữ liệu của trang khác.

Với máy tính cá nhân, rủi ro thực tế thấp hơn so với tiêu đề báo chí từng mô tả, nhưng không phải bằng không. Kẻ tấn công thường có cách dễ hơn để đánh cắp dữ liệu, nhưng lỗ hổng cấp chip có thể là mắt xích trong chuỗi tấn công tinh vi.

Những gì cần cập nhật

Hệ điều hành

Windows, macOS, Linux đều đã phát hành bản vá giảm thiểu. Cách đơn giản nhất là để cập nhật tự động bật và cài bản vá hằng tháng đều đặn. Tầm quan trọng của chu kỳ vá này được phân tích kỹ hơn trong bài cập nhật bản vá Windows hằng tháng.

Vi mã và BIOS/UEFI

Một số biến thể cần vi mã mới từ hãng chip. Vi mã được phân phối qua bản cập nhật BIOS từ hãng máy tính, và một phần qua Windows Update hoặc gói của bản phân phối Linux. Hãy vào trang hỗ trợ của hãng laptop hoặc bo mạch, tìm đúng mẫu máy và kiểm tra bản BIOS mới nhất. Nhiều hãng có công cụ tự cập nhật như ứng dụng hỗ trợ của hãng cài sẵn trên máy.

Trình duyệt

Dùng phiên bản trình duyệt mới nhất, vì các biện pháp như cách ly trang web nằm ở đây. Tránh dùng trình duyệt đã ngừng hỗ trợ.

Hệ thống ảo hóa và máy chủ

Quản trị viên cần cập nhật cả hypervisor, hệ điều hành khách và firmware máy chủ. Một số tùy chọn giảm thiểu có thể tắt hoặc bật tùy nhu cầu hiệu năng, cần đánh giá theo hướng dẫn của hãng.

Bản vá có làm chậm máy không

Có, ở mức độ khác nhau. Khi các bản vá đầu tiên ra đời, một số loại tác vụ nhiều thao tác hệ thống như cơ sở dữ liệu, xử lý vào ra bị ảnh hưởng hiệu năng rõ hơn, trong khi tác vụ văn phòng, duyệt web gần như không thấy khác biệt. Chip đời mới đã sửa một phần lỗ hổng trong phần cứng nên chi phí hiệu năng của giảm thiểu thấp hơn. Lời khuyên chung: không tắt bản vá để đổi lấy tốc độ trên máy dùng hằng ngày; nếu là máy chủ hiệu năng cao trong môi trường khép kín, việc điều chỉnh cần được đánh giá rủi ro cẩn thận.

Kiểm tra trạng thái giảm thiểu trên máy

• Linux: các tệp trong thư mục /sys/devices/system/cpu/vulnerabilities/ cho biết trạng thái của từng lỗ hổng đã biết, như "Mitigation" hoặc "Not affected".
• Windows: Microsoft cung cấp mô-đun PowerShell SpeculationControl để kiểm tra các tùy chọn giảm thiểu đã bật hay chưa. Với người dùng phổ thông, đảm bảo Windows Update và BIOS mới nhất là đủ.

Bài học rộng hơn về bảo mật phần cứng

Meltdown và Spectre cho thấy phần cứng không phải "nền móng tuyệt đối an toàn". Những tối ưu tốc độ có từ hàng chục năm có thể trở thành điểm yếu khi được nhìn từ góc độ bảo mật. Điều này giống với rủi ro dữ liệu còn sót trong RAM sau khi tắt máy; bạn có thể đọc thêm về bảo mật bộ nhớ RAM trước tấn công trích xuất. Bài học thực tế cho người dùng và doanh nghiệp là: cập nhật firmware quan trọng không kém cập nhật phần mềm, và kế hoạch thay thế phần cứng cũ cần tính đến khả năng nhận bản vá bảo mật.

Với máy tính đã quá cũ, hãng không còn phát hành BIOS mới, việc giảm thiểu chỉ còn dựa vào hệ điều hành. Nếu máy đó xử lý dữ liệu quan trọng, đây là một lý do chính đáng để đưa vào danh sách nâng cấp.