การล่มสลายและการโจมตีของ Spectre ส่งผลต่อ WordPress อย่างไร

มีการรายงานข้อบกพร่องของฮาร์ดแวร์ใหม่ซึ่งส่งผลต่อโปรเซสเซอร์ ที่ออกแบบโดย Intel, AMD และ ARM ข้อบกพร่องด้านความปลอดภัยเหล่านี้รายงานโดย Project Zero ของ Google และถูกเรียกว่าเป็นหนึ่งในบั๊กการโจมตี CPU ที่แย่ที่สุดเท่าที่เคยพบมา

อธิบายการล่มสลายของ Spectre:

ช่องโหว่ Meltdown และ Spectre ทำให้โปรแกรมที่เป็นอันตรายสามารถอ่านได้ รวมทั้งการเข้าถึงข้อมูลจากโปรแกรมอื่นๆ ระบบทั้งหมดได้รับผลกระทบจากผู้ใช้อุปกรณ์คอมพิวเตอร์ที่ทันสมัย คุณอาจเป็นเจ้าของไซต์ WordPress หรือเบราว์เซอร์ทั่วไปของเว็บไซต์ ปัญหานี้อาจเป็นอันตรายต่อคุณ ตัวอย่างเช่น คุณมีแท็บเบราว์เซอร์ที่เข้าถึงไซต์ที่เป็นอันตราย แท็บนี้สามารถเข้าถึงข้อมูลจากตัวจัดการรหัสผ่านที่ติดตั้งในเบราว์เซอร์ได้ หรือแม้แต่คุกกี้จากแท็บอื่นๆ ในทำนองเดียวกัน หากคุณมีไซต์ WordPress ที่โฮสต์กับโฮสต์เว็บ และมีหลายไซต์ที่ใช้ฮาร์ดแวร์ร่วมกัน ไซต์ของคุณเสี่ยงต่อการถูกขโมยจากการละเมิดข้อมูล ซึ่งหมายความว่าไม่ว่าคุณจะแชร์หรือจัดการโฮสต์ก็ตาม คุณอยู่ในสถานการณ์ที่เลวร้าย

เหตุใด Spectre และ Meltdown จึงเป็นอันตราย

ปัญหานี้ส่งผลกระทบต่อทุกคนที่ใช้อุปกรณ์คอมพิวเตอร์ที่ทันสมัย คุณอาจเป็นเจ้าของไซต์ WordPress หรือเบราว์เซอร์ทั่วไปของเว็บไซต์ ปัญหานี้อาจเป็นอันตรายต่อคุณ ตัวอย่างเช่น คุณมีแท็บเบราว์เซอร์ที่เข้าถึงไซต์ที่เป็นอันตราย แท็บนี้สามารถเข้าถึงข้อมูลจากตัวจัดการรหัสผ่านที่ติดตั้งในเบราว์เซอร์ . หรือแม้แต่จากคุกกี้จากแท็บอื่นๆ ในทำนองเดียวกัน หากคุณมีไซต์ WordPress ที่โฮสต์กับโฮสต์เว็บ และโฮสต์มีหลายไซต์ที่ใช้ฮาร์ดแวร์ร่วมกัน ไซต์ของคุณเสี่ยงต่อการขโมยข้อมูล ซึ่งหมายความว่าไม่ว่าคุณจะอยู่บนโฮสติ้งที่ใช้ร่วมกันหรือที่มีการจัดการ คุณอยู่ในสถานการณ์ที่เลวร้าย

ฉันได้รับผลกระทบในฐานะเจ้าของเว็บไซต์หรือไม่

ณ ตอนนี้ คุณได้รับผลกระทบจากจุดบกพร่องด้านความปลอดภัยของ Meltdown แล้ว การขโมยข้อมูลอาจรวมถึงรหัสผ่าน คีย์ SSL และข้อมูลสำคัญอื่นๆ

ฉันควรทำอย่างไรในฐานะเจ้าของไซต์ WordPress

มีสี่วิธียอดนิยมในการโฮสต์เว็บไซต์ WordPress:

แชร์โฮสติ้ง – GoDaddy, Bluehost, SiteGround และคณะ

บนโฮสติ้งที่ใช้ร่วมกัน มีหลายไซต์ที่ทำงานควบคู่ไปกับไซต์อื่นๆ อีกมากมาย และอยู่ใกล้กันมากบนเซิร์ฟเวอร์ เซิร์ฟเวอร์เหล่านี้มีระดับการป้องกันที่แน่นอน รับรองความปลอดภัยของไซต์หนึ่งจากอีกไซต์หนึ่ง กำแพงระหว่างไซต์นี้เพียงพอภายใต้การทำงานปกติ แต่ก็แหกได้ อินสแตนซ์เว็บไซต์ทั้งหมดกำลังทำงานบนเครื่องเดียวกัน ช่องโหว่นี้อาจทำให้ไซต์ที่เป็นอันตรายพยายามเข้าถึงข้อมูลบนไซต์อื่นได้

ในกรณีนี้ โฮสต์เว็บมีหน้าที่ปรับใช้แพตช์ Spectre Meltdown คุณควรติดตามโฮสต์เว็บของคุณ และให้แน่ใจว่าพวกเขามีแผนสำหรับสิ่งนี้

จัดการโฮสติ้ง WordPress – WP Engine, Pantheon ฯลฯ

โฮสติ้ง WordPress ที่มีการจัดการนั้นถือว่าเป็นโฮสติ้งที่ดีกว่า และตัวเลือกที่ปลอดภัยกว่าโฮสติ้งที่ใช้ร่วมกัน ผู้ให้บริการ Managed WordPress Hosting ยอดนิยมส่วนใหญ่โฮสต์เว็บไซต์บนผู้ให้บริการคลาวด์รายใหญ่ ผู้ให้บริการเหล่านั้นรวมถึง AWS, Digital Ocean, Google cloud เป็นต้น โฮสติ้งที่มีการจัดการช่วยลดความเสี่ยงที่ไซต์หนึ่งจะสามารถสร้างความเสียหายให้กับไซต์อื่นได้ นั่นคือไซต์อื่นๆ บนเซิร์ฟเวอร์เดียวกัน อย่างไรก็ตาม กรณีนี้แตกต่างกันเนื่องจาก Spectre และ Meltdown เป็นข้อบกพร่องของฮาร์ดแวร์ คุณโฮสต์บนคอนเทนเนอร์เฉพาะหรือไม่ รู้ว่าคอนเทนเนอร์หลายตัวอาจทำงานอยู่บนเครื่องเดียวกัน สิ่งนี้ทำให้คุณมีความเสี่ยงเช่นเดียวกับไซต์ที่โฮสต์บนโฮสติ้งที่ใช้ร่วมกัน

แพลตฟอร์มระบบคลาวด์หลายแห่งได้แก้ไขแพลตฟอร์มพื้นฐานของตนแล้ว บางคนยังได้วางแผนสำหรับสิ่งเดียวกันด้วย โฮสต์เว็บที่มีการจัดการจะต้องใช้ซอฟต์แวร์แพตช์สำหรับ Meltdown หรือแพตช์การล่มสลายของสเปกตรัม พวกเขาจะต้องทำเช่นนี้กับระบบของตนเองด้วย

คลาวด์โฮสติ้ง – มหาสมุทรดิจิทัล AWS เป็นต้น

พวกเราสองสามคนใช้ไซต์ของเราโดยเช่าเซิร์ฟเวอร์เสมือนจากแพลตฟอร์มคลาวด์โฮสติ้ง แพลตฟอร์มคลาวด์เหล่านี้ช่วยให้ลูกค้าหลายรายแชร์เซิร์ฟเวอร์จริงได้ ลูกค้าสามารถติดตั้งระบบปฏิบัติการของตนเองได้ แล้วจัดการทั้งกองซ้อนบนนี้ ให้ความยืดหยุ่นอย่างเต็มที่ เซิร์ฟเวอร์พื้นฐานเป็นเรื่องปกติ ดังนั้นจึงเป็นไปได้ที่จะใช้ประโยชน์จากช่องโหว่ของการล่มสลายหรือช่องโหว่ของสเปกตรัม

บริการคลาวด์หลักกำลังปรับปรุงแพลตฟอร์มอย่างรวดเร็ว อย่างไรก็ตาม คุณต้องรับผิดชอบในการบำรุงรักษาเซิร์ฟเวอร์เสมือนของคุณเอง คุณควรอัปเดตระบบปฏิบัติการโดยเร็วที่สุด

เซิร์ฟเวอร์เฉพาะ

การโฮสต์เซิร์ฟเวอร์ส่วนตัวและบำรุงรักษาไม่ใช่ตัวเลือกยอดนิยม เนื่องจากความซับซ้อนและต้นทุน อย่างไรก็ตาม หากคุณทำเช่นนั้น คุณจะมีความเสี่ยงน้อยที่สุดจากข้อผิดพลาดนี้ แม้ว่าเราจะยังแนะนำให้คุณอัปเดตระบบปฏิบัติการอยู่เสมอ

ฉันจะทราบได้อย่างไรว่าไซต์ของฉันถูกโจมตี

น่าเสียดายที่ไม่น่าจะรู้ว่าคุณกำลังถูกโจมตีหรือไม่ สิ่งเหล่านี้เป็นข้อบกพร่องของฮาร์ดแวร์ที่อาจนำไปสู่การขโมยข้อมูล โดยไม่ทิ้งร่องรอยใด ๆ ในล็อกไฟล์แบบเดิม การโจมตีไม่ขึ้นกับระบบปฏิบัติการ และไม่พึ่งพาช่องโหว่ด้านความปลอดภัยของซอฟต์แวร์ใดๆ บั๊กเหล่านี้ทำงานบนชิปคอมพิวเตอร์ส่วนบุคคล อุปกรณ์พกพา และระบบคลาวด์ อาจเป็นไปได้ที่จะขโมยข้อมูลจากคุณและผู้เยี่ยมชมของคุณ แต่นั่นก็ขึ้นอยู่กับโครงสร้างพื้นฐานของผู้ให้บริการโฮสติ้ง

ฉันจะแก้ไขได้อย่างไร

น่าเศร้าที่คุณไม่สามารถทำอะไรได้มากในขณะนี้ ข้อผิดพลาดนี้ส่งผลกระทบต่อเกือบทุกคน ผู้จำหน่ายระบบปฏิบัติการได้เริ่มดำเนินการแก้ไขแล้ว แต่สิ่งเหล่านี้เป็นแพตช์หยุดชั่วคราวและประสิทธิภาพด้านต้นทุน การโจมตี Meltdown หรือโปรแกรมแก้ไข Meltdown Spectre ควรมีผลกระทบต่อประสิทธิภาพของ CPU 5 ถึง 30% ในขณะที่ Spectre (และรุ่น Spectre) จะไม่ได้รับการแก้ไขในเร็วๆ นี้ เราหวังว่าผู้ผลิตชิปอย่าง Intel และ AMD จะดำเนินการตามขั้นตอน ที่จะช่วยจัดการกับการโจมตีประเภทนี้ในอนาคต และจะป้องกันข้อบกพร่องของชิปทุกประเภท

เมื่อเร็ว ๆ นี้มีการอภิปรายกันพอสมควรเกี่ยวกับข้อบกพร่องในการออกแบบโปรเซสเซอร์ของ Intel และสิ่งที่เรียกว่า Intel Spectre ล่มสลายหรือล่มสลายของ Intel ด้วยชิป Intel ที่ปลอดภัยและโปรเซสเซอร์ AMD คุณจะสามารถปกป้องพีซีของคุณได้

ฉันควรติดต่อใครเพื่อขอความช่วยเหลือ

บริษัทโฮสติ้งรายใหญ่ได้เริ่มปรับใช้แพทช์ Spectre และ Meltdown หรือแพทช์ Meltdown และ Spectre แล้ว ในฐานะเจ้าของไซต์ตรวจสอบกับผู้ให้บริการโฮสต์ของคุณเกี่ยวกับสถานะของระบบของพวกเขา ขอให้พวกเขานำการแก้ไขไปใช้ทันทีหากยังไม่ได้ดำเนินการ ตรวจสอบกับพวกเขาว่าการแก้ไขเหล่านี้มีความหมายกับคุณอย่างไรในฐานะผู้ใช้ปลายทาง จะส่งผลต่อประสิทธิภาพของเว็บไซต์หรือไม่? ผู้ใช้ปลายทางของคุณจะมองเห็นเอฟเฟกต์เหล่านี้หรือไม่

แต่การโจมตี Meltdown และ Spectre เหล่านี้คืออะไรหรืออธิบายช่องโหว่ของ Spectre?

Google Project Zero เปิดเผยจุดบกพร่องดังนี้:

ข้อความข้างต้นสรุปการใช้ประโยชน์จาก Meltdown หรือ Spectre อันที่จริง สิ่งเหล่านี้เป็นตัวอย่างของช่องโหว่ช่องด้านข้างหรือการโจมตีช่องด้านข้าง

คำชี้แจงได้รับการเผยแพร่ในเดือนมกราคมโดยบริษัทใหญ่ๆ เช่น Amazon, Google และ AMD พวกเขารับรองผู้ใช้ว่าซอฟต์แวร์เวอร์ชันล่าสุดนั้นปลอดภัย ยักษ์ใหญ่อื่น ๆ มากมายเช่น Apple ยังไม่ได้แสดงความคิดเห็น ใช้ซอฟต์แวร์ป้องกันไวรัสบนคอมพิวเตอร์ของคุณ รับตัวตรวจสอบ Spectre Meltdown บนคอมพิวเตอร์ของคุณด้วย คุณยังดูข้อมูลเพิ่มเติมเกี่ยวกับข่าวสารและข้อมูลอัปเดตของ Project Zero ได้ที่ Blogspot ของทีม Google

ด้านล่างคือรายการของการโจมตีที่ค้นพบใหม่:

Meltdown-PK (Protection Key Bypass)

Meltdown-BR (Bounds Check Bypass)

Spectre-PHT-CA-OP

Spectre-PHT-SA-IP

Spectre-PHT-SA-OP

Spectre-BTB-SA-IP

Spectre-BTB-SA-OP

หวังว่าบล็อกนี้ที่เขียนโดยทีมวิจัยของเราจะชี้แจงข้อสงสัยส่วนใหญ่ของคุณ ระวังพื้นที่นี้สำหรับการอัปเดตความปลอดภัยเพิ่มเติมรวมถึงคำแนะนำด้านความปลอดภัย WordPress ฉบับสมบูรณ์