اینک به بالاترین سطح خود رسیده است؛ اینک می دانیم که 3 شرکت Intel، AMD و ARM به طور کامل درگیر این ماجرا هستند و هر یک به نوعی در تلاش هستند تا بار مسئولیت خود را کاهش داده و اعلام دارند که این مشکل در CPU های آنها کمتر از دیگر رقبا است. مسئله اینتل تا بدان جا پیش رفته است که و ده ها تماس تلفنی با از سوی مشتریان AMD با این شرکت، تنها بخشی از عواقب آن است. برخی منابع آگاه اعلام کرده اند که اینتل در ماه های اخیر به این باگ امنیتی دست یافته بود؛ با این وجود به طور مخفیانه در حال رایزنی با مهندسان امنیتی شرکت هایی همچون مایکروسافت و گوگل بوده است.

همانطور که گفته شد، دسترسی به داده های دیگر برنامه ماشین مجازی (VM) توسط دیگر ماشین های مشابه، می تواند خطر ریسک پذیری به منظور دسترسی به اطلاعات مهم، از طریق ماژول های رم را فراهم سازد. این اطلاعات از رمز عبور گرفته تا اطلاعات شخصی کاربران و حتی Data رمز گذاری شده، می تواند نگران کننده باشد. و اما بد نیست از نتایج آزمایشگاه های جهان در این زمینه بدانید؛ گوگل و مایکروسافت در شرایط دقیق آزمایشگاه به جان این باگ افتاده اند. (برای مطالعه در زمینه ایراد به وجود آمده می توانید استفاده نمائید).

مهندسان امنیتی این دو شرکت هر 3 پردازنده ی Intel، ARM و AMD را در وضعیت های گوناگون و حتی سیستم عامل های متفاوت مورد بررسی قرار داده و به این نتیجه رسیده اند که حتی در برخی موارد، نفوذ به اطلاعات یاد شده ممکن نیست. اما در دو وضعیت باقی مانده، محققان امنیتی که کشف معایب Meltdown و Spectre را در شرایط طولانی و فشرده امروزی بر عهده دارند، خطر واقعی را بسیار ناچیز می دانند. در کنار مایکروسافت و سایر شرکت های فن آوری، مرکز ملی سایبر امنیت انگلیس نیز گفته است هیچ شواهدی از سوء استفاده های مخرب در این دو بخش وجود ندارد.

آموزش و ارائه شیوه های پیشگیری

با توجه به مواردی که تا کنون گفته شد، می دانیم که دست کم این مسئله نمی تواند کاربران خانگی را درگیر کرده و نگرانی خاصی در این زمینه وجود نداد. اما در ادامه به شیوه های جلوگیری و افزایش امنیت در این راستا خواهیم پرداخت. و اما به سراغ سیستم عامل ها از جمله لینوکس و ویندوز می رویم؛ Microsoft در ادامه یک پچ امنیتی را برای سیستم عامل ویندوز منتشر کرده است که در آن دست کم به طور موقت، ایرادات احتمالی را فیلتر کرده است.

• قدم اول:

پچ امنیتی مایکروسافت برای سیستم عامل های ویندوز 10، 7 و 8.1 منتشر شده است؛ این وصله امنیتی در ویندوز های 10 به طور خودکار و در قالب آپدیت های خودکار نصب می گردد، اما برای نصب آن در دیگر سیستم عامل های دیگر ویندوز، باید به طور دستی آنها را دانلود و نصب نمائید.

• قدم دوم:

در صورتی که از سیستم عامل لینوکس و مدل های مشابه آن استفاده می کنید، می توانید در انتظار بروزرسانی لینوکس باشید؛ هر چند که گزارشی از نفوذ در این سیستم عامل داده نشده و حتی نصب وصله امنیتی “بتا” یا اولیه، سرعت این سیستم عامل را به طور چشمگیر کاهش نداده است.

• قدم سوم:

پیشنهاد می کنیم که از نصب بیش از ماشین و سیستم عامل مجازی بر روی سیستم خود اجتناب کنید؛ فرقی نمی کند که از CPU های کدام شرکت استفاده می کنید.

• قدم چهارم:

بروزرسانی بایوس و نصب بسته های امنیتی که توسط شرکت های سازنده کامپیوتر ارائه می گردد. در این حالت بسته ها به طور خودکار و یا دستی از وب سایت سازنده دریافت می گردد.

نکته:

در طول آزمایش های گوناگون، با خبر شده ایم که در برخی موارد سرعت و عملکرد پردازنده بین 5% الی حداکثر 30% کاهش یافته است که البته این مسئله بسیار کلی بوده و در هر بخش تاثیرات متفاوتی را نمایان کرده است.

نکته:

مایکروسافت اعلام کرده است که بسته نهایی را تا 3 شنبه هفته آتی منتشر خواهد کرد، لذا پیشنهاد می کنیم که برای دریافت بسته اصلی صبور باشید. این ایراد تا کنون هیچ یک از سیستم های خانگی و سرورهای مهم را در خطر قرار نداده است.

نکته:

تصور کنید که دسترسی به اطلاعات مهم و رمز های عبور بانکی یک و یا چند کاربر در اختیار یک هکر قرار گیرد؛ در این صورت حتی مدتی زمان لازم است تا متوجه سرقت های مالی شده و حتی اقدام به رهگیری نفوذگر نمود!

نکته:

مایکروسافت اعلام کرده است که هیچ گونه یافته را در اختیار ندارد که نفوذ به سیستم های کاربرانی که از سیستم عامل های ویندوز استفاده می نمایند را تائید کند.

تاثیر وصله های امنیتی بر عملکرد:

آیا نگران عملکرد سیستم خود پس از نصب وصله های امنیتی هستید؟ با وجود آنکه می دانیم که نصب این وصله ها تاثیرات گوناگونی را بر سیستم می گذارد، اما در این بخش به سراغ یک آزمون استرس انجام گرفته بر روی Samsung 960 Pro (NVMe) 2TB می رویم:

به یاد داشته باشید که ایرادات Meltdown و Spectre در تمامی پردازنده های ARM، AMD و Intel مشاهده شده است؛ با این وجود گزارش هایی مبنی بر آسیب پذیری کمتر پردازنده های AMD در دست است. هیچ تفاوتی ندارد که از کدام سیستم عامل استفاده می کنید. برای رفع ایرادات مورد بحث، عجله نکرده و در آرامش به گام های توصیه شده ما توجه نمائید.

(image)

اینک به بالاترین سطح خود رسیده است؛ اینک می دانیم که 3 شرکت Intel، AMD و ARM به طور کامل درگیر این ماجرا هستند و هر یک به نوعی در تلاش هستند تا بار مسئولیت خود را کاهش داده و اعلام دارند که این مشکل در CPU های آنها کمتر از دیگر رقبا است. مسئله اینتل تا بدان جا پیش رفته است که و ده ها تماس تلفنی با از سوی مشتریان AMD با این شرکت، تنها بخشی از عواقب آن است. برخی منابع آگاه اعلام کرده اند که اینتل در ماه های اخیر به این باگ امنیتی دست یافته بود؛ با این وجود به طور مخفیانه در حال رایزنی با مهندسان امنیتی شرکت هایی همچون مایکروسافت و گوگل بوده است.

همانطور که گفته شد، دسترسی به داده های دیگر برنامه ماشین مجازی (VM) توسط دیگر ماشین های مشابه، می تواند خطر ریسک پذیری به منظور دسترسی به اطلاعات مهم، از طریق ماژول های رم را فراهم سازد. این اطلاعات از رمز عبور گرفته تا اطلاعات شخصی کاربران و حتی Data رمز گذاری شده، می تواند نگران کننده باشد. و اما بد نیست از نتایج آزمایشگاه های جهان در این زمینه بدانید؛ گوگل و مایکروسافت در شرایط دقیق آزمایشگاه به جان این باگ افتاده اند. (برای مطالعه در زمینه ایراد به وجود آمده می توانید استفاده نمائید).

مهندسان امنیتی این دو شرکت هر 3 پردازنده ی Intel، ARM و AMD را در وضعیت های گوناگون و حتی سیستم عامل های متفاوت مورد بررسی قرار داده و به این نتیجه رسیده اند که حتی در برخی موارد، نفوذ به اطلاعات یاد شده ممکن نیست. اما در دو وضعیت باقی مانده، محققان امنیتی که کشف معایب Meltdown و Spectre را در شرایط طولانی و فشرده امروزی بر عهده دارند، خطر واقعی را بسیار ناچیز می دانند. در کنار مایکروسافت و سایر شرکت های فن آوری، مرکز ملی سایبر امنیت انگلیس نیز گفته است هیچ شواهدی از سوء استفاده های مخرب در این دو بخش وجود ندارد.

آموزش و ارائه شیوه های پیشگیری

با توجه به مواردی که تا کنون گفته شد، می دانیم که دست کم این مسئله نمی تواند کاربران خانگی را درگیر کرده و نگرانی خاصی در این زمینه وجود نداد. اما در ادامه به شیوه های جلوگیری و افزایش امنیت در این راستا خواهیم پرداخت. و اما به سراغ سیستم عامل ها از جمله لینوکس و ویندوز می رویم؛ Microsoft در ادامه یک پچ امنیتی را برای سیستم عامل ویندوز منتشر کرده است که در آن دست کم به طور موقت، ایرادات احتمالی را فیلتر کرده است.

• قدم اول:

پچ امنیتی مایکروسافت برای سیستم عامل های ویندوز 10، 7 و 8.1 منتشر شده است؛ این وصله امنیتی در ویندوز های 10 به طور خودکار و در قالب آپدیت های خودکار نصب می گردد، اما برای نصب آن در دیگر سیستم عامل های دیگر ویندوز، باید به طور دستی آنها را دانلود و نصب نمائید.

(image)

(image)

• قدم دوم:

در صورتی که از سیستم عامل لینوکس و مدل های مشابه آن استفاده می کنید، می توانید در انتظار بروزرسانی لینوکس باشید؛ هر چند که گزارشی از نفوذ در این سیستم عامل داده نشده و حتی نصب وصله امنیتی “بتا” یا اولیه، سرعت این سیستم عامل را به طور چشمگیر کاهش نداده است.

• قدم سوم:

پیشنهاد می کنیم که از نصب بیش از ماشین و سیستم عامل مجازی بر روی سیستم خود اجتناب کنید؛ فرقی نمی کند که از CPU های کدام شرکت استفاده می کنید.

• قدم چهارم:

بروزرسانی بایوس و نصب بسته های امنیتی که توسط شرکت های سازنده کامپیوتر ارائه می گردد. در این حالت بسته ها به طور خودکار و یا دستی از وب سایت سازنده دریافت می گردد.

نکته:

در طول آزمایش های گوناگون، با خبر شده ایم که در برخی موارد سرعت و عملکرد پردازنده بین 5% الی حداکثر 30% کاهش یافته است که البته این مسئله بسیار کلی بوده و در هر بخش تاثیرات متفاوتی را نمایان کرده است.

نکته:

مایکروسافت اعلام کرده است که بسته نهایی را تا 3 شنبه هفته آتی منتشر خواهد کرد، لذا پیشنهاد می کنیم که برای دریافت بسته اصلی صبور باشید. این ایراد تا کنون هیچ یک از سیستم های خانگی و سرورهای مهم را در خطر قرار نداده است.

نکته:

تصور کنید که دسترسی به اطلاعات مهم و رمز های عبور بانکی یک و یا چند کاربر در اختیار یک هکر قرار گیرد؛ در این صورت حتی مدتی زمان لازم است تا متوجه سرقت های مالی شده و حتی اقدام به رهگیری نفوذگر نمود!

نکته:

مایکروسافت اعلام کرده است که هیچ گونه یافته را در اختیار ندارد که نفوذ به سیستم های کاربرانی که از سیستم عامل های ویندوز استفاده می نمایند را تائید کند.

تاثیر وصله های امنیتی بر عملکرد:

آیا نگران عملکرد سیستم خود پس از نصب وصله های امنیتی هستید؟ با وجود آنکه می دانیم که نصب این وصله ها تاثیرات گوناگونی را بر سیستم می گذارد، اما در این بخش به سراغ یک آزمون استرس انجام گرفته بر روی Samsung 960 Pro (NVMe) 2TB می رویم:

(image)

(image)

به یاد داشته باشید که ایرادات Meltdown و Spectre در تمامی پردازنده های ARM، AMD و Intel مشاهده شده است؛ با این وجود گزارش هایی مبنی بر آسیب پذیری کمتر پردازنده های AMD در دست است. هیچ تفاوتی ندارد که از کدام سیستم عامل استفاده می کنید. برای رفع ایرادات مورد بحث، عجله نکرده و در آرامش به گام های توصیه شده ما توجه نمائید.

تمام کمپانی هایی که دارای پلتفرم اختصاصی هستند، برای رفع باگ های سیستم عامل های خود هزینه هایی متحمل میشوند. کمپانی ها برای صرفه جویی در زمان و بالا بردن بازدهی از کاربران عمومی کمک میگیرند و در عوض پیدا کردن مشکلات نرم افزاری و باگ های امنیتی جایزه هایی را پرداخت میکنند. طبیعتا هر کمپانی که مبلغ وسوسه کننده تری را به عنوان جایزه در نظر بگیرد، کاربران و هکر ها تمایل بیشتری به کار بر روی آن سیستم عامل پیدا میکنند. از جمله کمپانی هایی بوده است که به خوبی از کاربران برای یافتن باگ های پلتفرم اندروید استفاده کرده است و نتیجه ی کاملا ایده آلی گرفته است. حال این کمپانی قصد دارد مبلغ بیشتری را به عنوان جایزه برای کسانی که باگ های سیستم عامل اندروید را پیدا کنند، در نظر بگیرد. همراه ما باشید.

 

از سال گذشته که گوگل برنامه ی “پاداش امنیتی اندروید” را اجرا کرده است، این کمپانی بیش از 550 هزار دلار به کسانی که باگ های امنیتی و نرم افزاری پلتفرم این شرکت را کشف کرده و گزارش داده اند و تعداد این افراد 82 نفر بوده، پرداخت کرده است. حال غول فناوری جهان گزارش داده است که از ابتدای ژوئن سال جاری، بین 33 تا 50 در صد پاداش بیشتری را برای این افراد نظر خواهد گرفت.

سال گذشته فردی که بیش از هر کس دیگری حفره های امنیتی اندروید را به گوگل گزارش داده بود، مبلغ 75 هزار دلار برای گزارش 26 حفره ی امنیتی دریافت کرد و 15 شخص دیگر نیز جایزه ی حدود 10 هزار دلار یا حتی بیشتر را دریافت کرده بودند. متوسط مبلغ هر جایزه 2200 دلار بوده است و به طور میانگین 6700 دلار به هر فرد پژوهشگر از سوی گوگل پرداخت شده است. گوگل برای گزارش های با کیفیت که باگ گزارش شده را اثبات کرده اند و در کنار آن، راه حل رفع باگ را نیز ارائه داده اند، 50 در صد پاداش بیشتری را در نظر میگیرد.   

طبیعتا پیدا کردن و رفع این باگ ها میتواند کمک شایانی به ارتقای امنیت سیستم عامل اندروید انجام دهد اما تشویق شرکت کنندگان برای مشارکت بیشتر مطمئنا به سرعت در کار کمپانی بسیار کمک میکند. گوگل گفته است که بیش از یک سوم باگ هایی که گزارش میشوند توسط کد های توسعه داده شده صورت میگیرند و خارج از پروژه ی متن باز اندروید یا AOSP مورد استفاده قرار گرفته اند. در پستی در وبلاگ گوگل گفته شده است که رفع عیب این کرنل ها و برطرف کردن مشکلات امنیتی به ارتقای امنیت صنعت موبایل کمک میکند.

قطعا پیشنهاد پاداش نقدی بیشتر راه بسیار خوبی است تا از هکر های تجاری به منظور گزارش حفره های امنیتی استفاده ی بهینه شود تا جای اینکه همان افراد به کارهایی از جمله جاسوسی و تخریب نرم افزاری مشغول باشند. گوگل اعلام کرده است که برنامه ی مشابهی را برای برنامه های گوگل کروم و دیگر خدمات گوگل ارائه خواهد داد و بیش از یک میلیون دلار برای پاداش افراد در نظر گرفته است. نظر شما در مورد این اقدام گوگل چیست؟  

(image)

تمام کمپانی هایی که دارای پلتفرم اختصاصی هستند، برای رفع باگ های سیستم عامل های خود هزینه هایی متحمل میشوند. کمپانی ها برای صرفه جویی در زمان و بالا بردن بازدهی از کاربران عمومی کمک میگیرند و در عوض پیدا کردن مشکلات نرم افزاری و باگ های امنیتی جایزه هایی را پرداخت میکنند. طبیعتا هر کمپانی که مبلغ وسوسه کننده تری را به عنوان جایزه در نظر بگیرد، کاربران و هکر ها تمایل بیشتری به کار بر روی آن سیستم عامل پیدا میکنند. از جمله کمپانی هایی بوده است که به خوبی از کاربران برای یافتن باگ های پلتفرم اندروید استفاده کرده است و نتیجه ی کاملا ایده آلی گرفته است. حال این کمپانی قصد دارد مبلغ بیشتری را به عنوان جایزه برای کسانی که باگ های سیستم عامل اندروید را پیدا کنند، در نظر بگیرد. همراه ما باشید.

 

از سال گذشته که گوگل برنامه ی “پاداش امنیتی اندروید” را اجرا کرده است، این کمپانی بیش از 550 هزار دلار به کسانی که باگ های امنیتی و نرم افزاری پلتفرم این شرکت را کشف کرده و گزارش داده اند و تعداد این افراد 82 نفر بوده، پرداخت کرده است. حال غول فناوری جهان گزارش داده است که از ابتدای ژوئن سال جاری، بین 33 تا 50 در صد پاداش بیشتری را برای این افراد نظر خواهد گرفت.

سال گذشته فردی که بیش از هر کس دیگری حفره های امنیتی اندروید را به گوگل گزارش داده بود، مبلغ 75 هزار دلار برای گزارش 26 حفره ی امنیتی دریافت کرد و 15 شخص دیگر نیز جایزه ی حدود 10 هزار دلار یا حتی بیشتر را دریافت کرده بودند. متوسط مبلغ هر جایزه 2200 دلار بوده است و به طور میانگین 6700 دلار به هر فرد پژوهشگر از سوی گوگل پرداخت شده است. گوگل برای گزارش های با کیفیت که باگ گزارش شده را اثبات کرده اند و در کنار آن، راه حل رفع باگ را نیز ارائه داده اند، 50 در صد پاداش بیشتری را در نظر میگیرد.   

طبیعتا پیدا کردن و رفع این باگ ها میتواند کمک شایانی به ارتقای امنیت سیستم عامل اندروید انجام دهد اما تشویق شرکت کنندگان برای مشارکت بیشتر مطمئنا به سرعت در کار کمپانی بسیار کمک میکند. گوگل گفته است که بیش از یک سوم باگ هایی که گزارش میشوند توسط کد های توسعه داده شده صورت میگیرند و خارج از پروژه ی متن باز اندروید یا AOSP مورد استفاده قرار گرفته اند. در پستی در وبلاگ گوگل گفته شده است که رفع عیب این کرنل ها و برطرف کردن مشکلات امنیتی به ارتقای امنیت صنعت موبایل کمک میکند.

قطعا پیشنهاد پاداش نقدی بیشتر راه بسیار خوبی است تا از هکر های تجاری به منظور گزارش حفره های امنیتی استفاده ی بهینه شود تا جای اینکه همان افراد به کارهایی از جمله جاسوسی و تخریب نرم افزاری مشغول باشند. گوگل اعلام کرده است که برنامه ی مشابهی را برای برنامه های گوگل کروم و دیگر خدمات گوگل ارائه خواهد داد و بیش از یک میلیون دلار برای پاداش افراد در نظر گرفته است. نظر شما در مورد این اقدام گوگل چیست؟