Lỗi phần cứng mới được báo cáo ảnh hưởng đến bộ xử lý (processor). Những bộ vi xử lý do Intel, AMD và ARM thiết kế. Các lỗ hổng bảo mật này được báo cáo bởi Project Zero của Google. Và đã được coi là một trong những lỗi tấn công CPU tồi tệ nhất từng tìm thấy.
Giải thích Spectre Meltdown:
Lỗ hổng Meltdown và Spectre cho phép chương trình độc hại đọc cũng như truy cập dữ liệu từ chương trình khác. Tất cả hệ thống sử dụng thiết bị tính toán hiện đại đều bị ảnh hưởng. Bạn có thể là chủ sở hữu trang WordPress hoặc người duyệt web bình thường. Vấn đề này có thể hại bạn. Ví dụ: bạn có tab trình duyệt truy cập trang độc hại. Tab này có thể truy cập dữ liệu từ trình quản lý mật khẩu cài trên trình duyệt. Hoặc thậm chí cookie từ các tab khác. Tương tự, nếu bạn có trang WordPress lưu trữ ở host. Và host có nhiều trang chia sẻ cùng phần cứng. Trang của bạn dễ bị vi phạm dữ liệu. Nghĩa là bất kể bạn dùng host chia sẻ (shared) hay host quản lý (managed). Bạn đang trong tình huống xấu.
Tại sao Spectre và Meltdown nguy hiểm?
Vấn đề cụ thể này ảnh hưởng đến mọi người dùng thiết bị tính toán hiện đại. Bạn có thể là chủ sở hữu trang WordPress hoặc người duyệt web bình thường. Vấn đề này có thể hại bạn. Ví dụ: bạn có tab trình duyệt truy cập trang độc hại. Tab này có thể truy cập dữ liệu từ trình quản lý mật khẩu cài trên trình duyệt. Hoặc từ cookie các tab khác. Cách tương tự, nếu bạn có trang WordPress lưu trữ ở host. Và host có nhiều trang chia sẻ cùng phần cứng. Trang của bạn dễ bị đánh cắp dữ liệu. Nghĩa là bất kể bạn dùng host chia sẻ hay host quản lý. Bạn đang trong tình huống xấu.
Tôi có bị ảnh hưởng với tư cách chủ sở hữu trang web không?
Ngày nay, bạn đã bị ảnh hưởng bởi lỗ hổng bảo mật Meltdown. Việc đánh cắp dữ liệu có thể bao gồm mật khẩu, khóa SSL, và thông tin nhạy cảm khác.
Chủ sở hữu trang WordPress nên làm gì?
Có bốn cách phổ biến lưu trữ trang WordPress:
Host chia sẻ (Shared Hosting) – GoDaddy, Bluehost, SiteGround v.v.
Trên host chia sẻ, nhiều trang chạy cùng nhau, gần nhau trên máy chủ. Các máy chủ có mức bảo vệ nhất định. Đảm bảo an toàn trang này khỏi trang kia. Lào chắn giữa các trang đủ dưới vận hành bình thường. Nhưng có thể bị xâm phạm. Tất cả instance trang web chạy trên cùng một máy. Lỗ hổng này cho phép trang độc hại cố gắng truy cập dữ liệu trên các trang khác.
Nhà cung cấp host, trong trường hợp này, chịu trách nhiệm triển khai bản vá Spectre Meltdown. Bạn nên theo dõi với host. Và đảm bảo họ có kế hoạch cho việc này.
Host WordPress quản lý (Managed WordPress Hosting) – WP Engine, Pantheon, v.v.
Host WordPress quản lý truyền thống được coi là host tốt hơn. Và thậm chí an toàn hơn host chia sẻ. Hầu hết nhà cung cấp Managed WordPress Hosting phổ biến lưu trữ trang trên nhà cung cấp đám mây lớn. Những nhà cung cấp bao gồm AWS, Digital Ocean, Google Cloud. Host quản lý giảm rủi ro một trang làm ảnh hưởng trang khác. Đó là các trang khác trên cùng máy chủ. Tuy nhiên, trường hợp này khác vì Spectre và Meltdown là lỗi phần cứng. Bạn được lưu trữ trên container chuyên dụng? Hãy biết nhiều container có thể chạy trên cùng một máy. Điều này đặt bạn ở cùng rủi ro như trang lưu trữ trên host chia sẻ.
Nhiều nền tảng đám mây đã vá nền tảng bên dưới. Một số khác cũng đã đặt ra kế hoạch. Host web quản lý cũng cần áp dụng bản vá phần mềm cho Meltdown hoặc bản vá spectre meltdown cho hệ thống của họ.
Host đám mây (Cloud Hosting) – Digital Ocean, AWS v.v.
Một số chạy trang bằng cách thuê máy chủ ảo từ nền tảng host đám mây. Những nền tảng này cho phép nhiều khách hàng chia sẻ máy chủ vật lý. Khách hàng có thể cài hệ điều hành riêng. Và quản lý toàn bộ stack trên đó. Cho sự linh hoạt hoàn toàn. Máy chủ bên dưới chung. Do đó, có thể khai thác lỗ hổng meltdown hoặc spectre.
Các dịch vụ đám mây lớn đang nhanh chóng vá nền tảng. Tuy nhiên, bạn chịu trách nhiệm bảo trì máy chủ ảo riêng. Nên cập nhật OS sớm nhất có thể.
Máy chủ chuyên dụng (Dedicated servers)
Lưu trữ máy chủ riêng tư sở hữu và bảo trì không phổ biến. Do độ phức tạp và chi phí. Tuy nhiên, nếu bạn làm vậy, rủi ro từ lỗi này tối thiểu. Tuy vẫn khuyên cập nhật OS.
Có biết được trang có bị tấn công không?
Rất tiếc, khó biết nếu bạn đang bị tấn công. Đây là lỗi phần cứng dẫn đến đánh cắp dữ liệu. Mà không để lại dấu vết trong file log truyền thống. Tấn công độc lập với hệ điều hành. Và không dựa vào lỗ hổng bảo mật phần mềm. Các lỗi này hoạt động trên chip máy tính cá nhân, thiết bị di động, và hệ thống đám mây. Có thể đánh cắp dữ liệu từ bạn và khách truy cập. Nhưng phụ thuộc vào cơ sở hạ tầng nhà cung cấp host.
Làm sao khắc phục?
Rất tiếc, hiện tại không làm được nhiều. Lỗi này ảnh hưởng hầu như mọi người. Nhà cung cấp Hệ điều hành đã bắt đầu phát hành bản sửa. Nhưng đây là bản vá tạm (stopgap patches) và tốn hiệu suất. Bản vá Meltdown hoặc Meltdown Spectre dự kiến ảnh hưởng 5-30% hiệu suất CPU. Trong khi Spectre (và các biến thể) sẽ không được sửa trong thời gian gần. Hy vọng nhà sản xuất chip như Intel và AMD sẽ采取措施. Giúp đối phó các loại tấn công tương lai. Và ngăn chặn bất kỳ lỗi chip nào.
Gần đây có nhiều thảo luận về lỗi thiết kế bộ vi xử lý Intel và cái gọi là Intel Spectre meltdown hoặc meltdown Intel. Với chip Intel an toàn và bộ vi xử lý AMD, bạn sẽ bảo vệ được PC.
Nên liên hệ ai để được giúp đỡ?
Các công ty host lớn đã bắt đầu triển khai bản vá Spectre và Meltdown hoặc Meltdown và Spectre. Là chủ sở hữu trang, hãy kiểm tra với nhà cung cấp host về trạng thái hệ thống. Yêu cầu họ triển khai bản sửa ngay nếu chưa làm. Hỏi họ bản sửa này nghĩa gì đối với bạn là người dùng cuối. Có ảnh hưởng hiệu suất trang? Các ảnh hưởng có nhìn thấy được bởi người dùng cuối không?
Nhưng Meltdown và Spectre attacks到底是什么 hoặc Spectre vulnerability explained?
Google Project Zero tiết lộ lỗi như sau:
Câu trên tóm tắt các cuộc khai thác bởi Meltdown hoặc Spectre. Thực tế, chúng là ví dụ của lỗ hổng kênh phụ (side channel vulnerabilities) hoặc tấn công kênh phụ (side channel attacks).
Các tuyên bố đã được phát hành tháng 1 bởi các công ty lớn như Amazon, Google, và AMD. Họ đảm bảo người dùng phiên bản phần mềm mới nhất an toàn. Nhiều ông lớn khác như Apple chưa bình luận. Dùng phần mềm diệt virus trên máy tính. Cũng cài công cụ kiểm tra Spectre Meltdown trên máy. Có thể tìm hiểu thêm tin tức và cập nhật Project Zero trên Blogspot của nhóm Google.
Dưới đây là danh sách các cuộc tấn công mới phát hiện:
Meltdown-PK (Protection Key Bypass)
Meltdown-BR (Bounds Check Bypass)
Spectre-PHT-CA-OP
Spectre-PHT-SA-IP
Spectre-PHT-SA-OP
Spectre-BTB-SA-IP
Spectre-BTB-SA-OP
Hy vọng bài viết của nhóm nghiên cứu làm rõ hầu hết thắc mắc. Theo dõi không gian này cho thêm cập nhật bảo mật và hướng dẫn hoàn chỉnh về bảo mật WordPress.