Meltdown y Spectre: La crisis de los chips desata nuevas dudas sobre la seguridad informática en favor del rendimiento

« No existe una solución única para este fallo de diseño y cada fabricante que incorpore estos productos debe desarrollar una protección», sostienen fuentes del Instituto Nacional de Ciberseguridad (Incibe). Una de las primeras en reaccionar ha sido Intel, principal afectada por esta crisis mundial, al lanzar un parche de seguridad de urgencia, ya disponible para su instalación. Microsoft ha hecho lo propio y cuenta con actualizaciones para sus sistemas operativos Windows 7, Windows 8 y Windows 10, que solucionan parte del problema también en los navegadores Edge, anteriormente Internet Explorer. Otra de las firmas afectadas de manera colateral, Google , también ha confirmado que prepara una actualización para dispositivos Android, mientras que Apple ha asegurado que a partir del 9 enero se podrán descargar las nuevas versiones sus sus plataformas, iOS 11.2, macOS 10.13.2 y tvOS 11.2, que contarán con algunas protecciones necesarias para reducir la amenaza de una de las dos técnicas descubiertas, la bautizada como Meltdown, mientras que promete una actualización para el navegador Safari de cara a reducir el impacto de Spectre.

En cualquier caso, solventar esta inesperada crisis supondrá , además de un gasto multimillonario al sector por ahora incuantificable, exponer temporalmente a millones de máquinas a posibles riesgos , ya que se tardará al menos una semana en lograr actualizar el 90% de equipos fabricados desde hace cinco años , según las previsiones de Intel. Muchos suministradores de sistemas operativos y de nubes públicas, fabricantes de dispositivos y otras empresas del sector han indicado que ya han actualizado sus productos y servicios o, al menos, se encuentran trabajando en una respuesta.

Por el momento, se desconoce si un ciberdelincuente o grupo ha podido aprovechar estas técnicas para realizar un ciberataque. Los fallos detectados ponen de relieve un problema que se desconocía y ha estado presente en la industria desde hace más de una década. Las vulnerabilidades halladas han desvelado un problema invisible : que el diseño de los microchips de los últimos años, un componente informático de vital importancia para el funcionamiento de los ordenadores, contenía un defecto .

La mayoría de chips fabricados desde finales de los años noventa incluyen un sistema denominado «ejecución especulativa» , por el cual es el propio chip el que, de cara a optimizar recursos y mejorar su velocidad de procesamiento, anticipa y prevé ciertas acciones. En caso de que no se utilicen las instrucciones se guardan temporalmente en la memoria caché.

Por regla general, los programas y aplicaciones no tienen permisos para consultar los datos que se guardan en el «kernel» o núcleo del sistema operativo . Lo que han puesto de relieve estas técnicas es que es posible acceder a ese «cajón» y robar datos personales almacenados. «La peligrosidad de estas vulnerabilidades reside en que han conseguido acceso privilegiado a la memoria, tanto de lectura como de escritura, evadiendo todos los sistemas de seguridad», apunta Iván Lastra , responsable de ciberseguridad de la firma de servicios en la nube Vector ITC.

La solución se encuentra en las actualizaciones de los sistemas operativos que se encontrarán disponibles a través de los fabricantes de equipos, suministradores de sistemas operativos y otras empresas del sector. Sin embargo, los expertos en seguridad informática creen que los parches de seguridad pueden ralentizar hasta en un 30 % la velocidad de los equipos. Fuentes de Intel han insistido que el impacto en el rendimiento de estas actualizaciones dependerá «en gran medida de la carga de trabajo» y que para el usuario medio de ordenadores «no debería ser importante y se minimizará con el tiempo».

De hecho, el mayor impacto puede encontrarse en las empresas. Son muchos los proveedores «cloud» que proporcionan a sus clientes servicios compartidos con máquinas virtuales. En estos casos, sobre una misma máquina física se ejecutan un número determinado de máquinas virtuales y cada una de ellas puede pertenecer a clientes distintos. «En este escenario, ahora es posible que un atacante pudiera desarrollar un programa para acceder a los datos de otros clientes que se están ejecutando dentro de la misma máquina», señala Alfonso Franco, director general de la firma de seguridad All4sec . «Habrá que ver qué implicaciones tiene, sobre todo, en aquellos clientes que tienen servicios en modo pago por uso y que pueden ver necesario aumentar la capacidad y los costes que actualmente disponen».