รายงานพบบั๊กฮาร์ดแวร์ใหม่ ที่ส่งผลต่อโปรเซสเซอร์ ที่ออกแบบโดย Intel, AMD และ ARM ช่องโหว่ด้านความปลอดภัยเหล่านี้ถูกรายงานโดย Google's Project Zero และถูกเรียกว่าเป็นหนึ่งในบั๊กโจมตี CPU ที่แย่ที่สุดที่พบมา
อธิบาย Spectre และ Meltdown:
ช่องโหว่ Meltdown และ Spectre อนุญาตให้โปรแกรมอันตราย อ่านและเข้าถึงข้อมูลจากโปรแกรมอื่นๆ ระบบทุกประเภทที่ใช้เครื่องคอมพิวเตอร์สมัยใหม่ได้รับผลกระทบ คุณอาจเป็นเจ้าของเว็บ WordPress หรือแค่ผู้เข้าเว็บทั่วไป ปัญหานี้สามารถทำลายคุณได้ ตัวอย่าง: คุณมีแท็บเบราว์เซอร์เข้าถึงเว็บไซต์อันตราย แท็บนี้สามารถเข้าถึงข้อมูลจาก password manager ที่ติดตั้งในเบราว์เซอร์ได้ หรือคุกกี้ (cookies) จากแท็บอื่นๆ เช่นเดียวกัน หากคุณมีเว็บ WordPress โฮสต์กับเว็บโฮสต์ และมีหลายเว็บแชร์ฮาร์ดแวร์เดียวกัน เว็บของคุณก็อ่อนไหวต่อการขโมยข้อมูล หมายถึง ไม่ว่าจะเป็น shared หรือ managed hosting คุณอยู่ในสถานการณ์แย่
ทำไม Spectre และ Meltdown จึงอันตราย?
ปัญหานี้ส่งผลต่อทุกคนที่ใช้เครื่องคอมพิวเตอร์สมัยใหม่ คุณอาจเป็นเจ้าของเว็บ WordPress หรือแค่ผู้เข้าเว็บทั่วไป ปัญหานี้สามารถทำลายคุณได้ ตัวอย่าง: คุณมีแท็บเบราว์เซอร์เข้าถึงเว็บไซต์อันตราย แท็บนี้เข้าถึงข้อมูลจาก password manager ที่ติดตั้งในเบราว์เซอร์ได้ หรือคุกกี้จากแท็บอื่นๆ ทางเดียวกัน หากคุณมีเว็บ WordPress โฮสต์กับโฮสต์ และโฮสต์มีหลายเว็บแชร์ฮาร์ดแวร์เดียวกัน เว็บของคุณก็อ่อนไหวต่อการขโมยข้อมูล หมายถึง ไม่ว่าจะเป็น shared หรือ managed hosting คุณอยู่ในสถานการณ์แย่
ฉันได้รับผลกระทบในฐานะเจ้าของเว็บไซต์หรือไม่?
ตั้งแต่ตอนนี้ คุณได้รับผลกระทบจากช่องโหว่ Meltdown แล้ว การขโมยข้อมูลอาจรวมถึง รหัสผ่าน, SSL keys และข้อมูลละเอียดอ่อนอื่นๆ
เจ้าของเว็บ WordPress ควรทำอะไร?
มี 4 วิธียอดนิยมในการโฮสต์เว็บ WordPress:
Shared Hosting – GoDaddy, Bluehost, SiteGround ฯลฯ
บน shared hosting มีหลายเว็บรันควบคู่กัน และอยู่ใกล้ชิดบนเซิร์ฟเวอร์ เซิร์ฟเวอร์เหล่านี้มีระดับการปกป้องบางระดับ รับรองความปลอดภัยของเว็บหนึ่งจากอีกเว็บ กำแพงระหว่างเว็บเพียงพอภายใต้การทำงานปกติ แต่สามารถถูกโจมตีได้ ทุก instance ของเว็บรันบนเครื่องเดียวกัน ช่องโหว่นี้อาจอนุญาตให้เว็บอันตรายพยายามเข้าถึงข้อมูลบนเว็บอื่น
โฮสต์ในกรณีนี้ รับผิดชอบในการปรับใช้ patches สำหรับ Spectre และ Meltdown คุณควรติดตามกับโฮสต์ของคุณ และรับรองว่าพวกเขามีแผนสำหรับเรื่องนี้
Managed WordPress Hosting – WP Engine, Pantheon ฯลฯ
Managed WordPress hosting ถือเป็นโฮสติ้งที่ดีกว่า และปลอดภัยกว่า shared hosting โฮสต์ Managed WordPress ยอดนิยมส่วนใหญ่ โฮสต์เว็บบน cloud provider ใหญ่ๆ ได้แก่ AWS, Digital Ocean, Google Cloud และอื่นๆ Managed hosting ลดความเสี่ยงของเว็บหนึ่งทำลายอีกเว็บบนเซิร์ฟเวอร์เดียวกัน แต่กรณีนี้ต่างออกไป เพราะ Spectre และ Meltdown เป็นบั๊กฮาร์ดแวร์ คุณโฮสต์อยู่บน dedicated container? รู้ว่า multiple containers อาจรันบนเครื่องเดียวกัน นี่ทำให้คุณมีความเสี่ยงเท่าเว็บบน shared hosting
หลาย cloud platforms แก้ไข underlying platforms แล้ว บางที่ก็วางแผนไว้ Managed web hosts ก็ต้องปรับใช้ software patches สำหรับ Meltdown หรือ spectre meltdown patch บนระบบของพวกเขาเองด้วย
Cloud Hosting – Digital Ocean, AWS ฯลฯ
บางคนรันเว็บโดยเช่า virtual servers จาก cloud hosting platforms พลตฟอร์มเหล่านี้อนุญาตหลายลูกค้าแชร์ physical server ลูกค้าติดตั้ง operating system เอง และจัดการ full stack บนมัน ให้ความยืดหยุ่นเต็มที่ เซิร์ฟเวอร์พื้นฐาน (underlying server) เป็นของร่วม ดังนั้นจึง exploit meltdown vulnerability หรือ spectre vulnerability ได้
Cloud services หลักๆ กำลัง patch platforms ของพวกเขาเร็ว แต่คุณรับผิดช้องดูแล virtual server ของตัวเอง ควรอัปเดท OS ทันทีที่เป็นไปได้
Dedicated servers (เซิร์ฟเวอร์เฉพาะ)
โฮสต์เซิร์ฟเวอร์ส่วนตัวและดูแลเอง ไม่ใช่ตัวเลือกยอดนิยม เนื่องจากความซับซ้อนและต้นทุน แต่หากคุณทำเช่นนั้น คุณอยู่ในความเสี่ยงน้อยที่สุดจากบั๊กนี้ แม้เรายังแนะนำให้อัปเดท OS ค่อยๆ
รู้ได้ไหมว่าเว็บของเราถูกโจมตี?
น่าเสียดาย ไม่น่าจะรู้ได้ว่าถูกโจมตี บั๊กฮาร์ดแวร์เหล่านี้นำไปสู่การขโมยข้อมูล โดยไม่ทิ้งร่องรอยใน log files แบบดั้งเดิม การโจมตีเป็นอิสระจากระบบปฏิบัติการ และไม่พึ่งพาช่องโหว่ด้านความปลอดภัยของซอฟต์แวร์ บั๊กเหล่านี้ทำงานบน chips คอมพิวเตอร์ส่วนตัว อุปกรณ์มือถือ และระบบคลาวด์ อาจขโมยข้อมูลจากคุณและผู้เยี่ยมชมได้ แต่ว่าจะเกิดขึ้นหรือไม่ ขึ้นกับโครงสร้างพื้นฐานของโฮสติ้ง provider
แก้ไขอย่างไร?
น่าเสียดาย ไม่มีอะไรทำได้มากตอนนี้ บั๊กนี้ส่งผลต่อเกือบทุกคน OS vendors เริ่มปล่อย fixes แล้ว แต่นี่คือ stopgap patches (รองแก้ชั่วคราว) และมีผลกระทบต่อประสิทธิภาพ Meltdown attacks หรือ Meltdown Spectre patch คาดว่ามีผลกระทบ CPU performance 5 ถึง 30% ส่วน Spectre (และ Spectre variants) จะไม่ได้รับการแก้ไขเร็วๆ นี้ เราหวังว่าผู้ผลิตชิปอย่าง Intel และ AMD จะดำเนินการ จัดการกับการโจมตีประเภทนี้ในอนาคต และป้องกัน chip flaws ทุกประเภท
เมื่อไม่กี่วันมา มีการพูดคุยมากเกี่ยวกับ design flaw ของ Intel processor และสิ่งที่เรียกว่า Intel Spectre meltdown หรือ meltdown Intel ด้วย Intel chips ที่ปลอดภัย และ AMD processor คุณจะปกป้อง PC ได้
ควรติดต่อใครขอความช่วยเหลือ?
บริษัทโฮสติ้งใหญ่ๆ เริ่มปรับใช้ patches สำหรับ Spectre และ Meltdown หรือ Meltdown และ Spectre patches แล้ว ในฐานะเจ้าของเว็บ ตรวจสอบกับโฮสติ้ง provider เกี่ยวกับสถานะระบบของพวกเขา ขอให้ปรับใช้ fixes ทันที หากยังไม่ได้ทำ ถามพวกเขาว่า fixes นี้หมายถึงอะไรต่อคุณในฐานะ end user จะส่งผลต่อประสิทธิภาพเว็บไหม? ผลกระทบเหล่านี้จะมองเห็นได้โดย end users ไหม?
แต่ Meltdown และ Spectre attacks คืออะไรจริงๆ หรือ Spectre vulnerability explained?
Google Project Zero เปิดเผยบั๊กว่า:
ข้อความข้างต้นสรุป exploits ที่ Meltdown หรือ Spectre ทำ จริงๆ แล้ว พวกมันเป็นตัวอย่างของ side channel vulnerabilities หรือ side channel attacks
มี statements ปล่อยออกมาในเดือนมกราคม โดยบริษัทใหญ่อย่าง Amazon, Google และ AMD ยืนยันผู้ใช้ว่า software versions ล่าสุดของพวกเขาปลอดภัย บริษัทใหญ่อื่นๆ อย่าง Apple ยังไม่ได้คอมเมนต์ ใช้ antivirus software บนคอมพิวเตอร์ และได้ Spectre Meltdown checker บนคอมพิวเตอร์ สามารถเรียนรู้เพิ่มเติมเกี่ยวกับ Project Zero news และ updates บนบล็อกของทีม Google บน Blogspot
รายการโจมตีที่ค้นพบใหม่:
Meltdown-PK (Protection Key Bypass)
Meltdown-BR (Bounds Check Bypass)
Spectre-PHT-CA-OP
Spectre-PHT-SA-IP
Spectre-PHT-SA-OP
Spectre-BTB-SA-IP
Spectre-BTB-SA-OP
หวังว่าบล็อกนี้ที่เขียนโดยทีมวิจัยของเรา ช่วยชี้แจงข้อสงสัยส่วนใหญ่ โปรดติดตามพื้นที่นี้สำหรับอัปเดตความปลอดภัยเพิ่มเติม รวมถึงคู่มือฉบับสมบูรณ์เกี่ยวกับความปลอดภัย WordPress
