Meltdown e Spectre quando si utilizzano crittografia e VPN

12

Le vulnerabilità di Meltdown e Spectre possono interessare anche i computer con home directory crittografata e l'utilizzo di un servizio VPN? In altre parole, gli hacker sarebbero ancora in grado di rubare le password quando vengono implementate trasmissioni crittografate e servizi VPN?

security vpn

— ekrisch
fonte

Sebbene le risposte siano tecnicamente corrette, nessuna di esse affronta il fatto che Meltdown e Spectre sono attacchi locali. Una VPN sarebbe utile solo contro un avversario remoto e le home directory crittografate sono utili solo quando la macchina è spenta, nessuna delle quali è rilevante per Meltdown e Spectre. Se l'attaccante non è sulla tua macchina, Meltdown e Spectre (in una certa misura) non possono essere usati.

— Qwerty01,

23

Sì.

La crittografia del disco protegge dall'accesso al disco quando non viene utilizzato, ad esempio se qualcuno ruba il tuo computer. VPN protegge da chiunque fiuti il filo.

Meltdown e Spectre possono fornire agli aggressori l'accesso locale ai dati, prima che vengano crittografati.

Per il sistema di utilizzare qualsiasi tipo di informazione, più o meno deve essere disponibile in forma non criptati. Ogni volta che è disponibile in forma non crittografata, qualsiasi utente malintenzionato con accesso da superutente al computer può copiarlo a piacimento.

— vidarlo
fonte

1

"Affinché il sistema possa utilizzare qualsiasi tipo di informazione, deve essere più o meno disponibile in forma non crittografata." - Questo non è vero. Il noto controesempio sono le password, che non devono mai essere archiviate, neppure crittografate. La verifica della password si basa su hash sicuri. Questo può essere sicuro per il tracollo; ottenere il valore con hash non ti darà la password che esegue l'hashing a quel valore.

— MSalter

Ma è vero per il traffico di rete crittografato e il contenuto del disco in generale . Le password sono un caso speciale. E nemmeno sono criptati; sono hash con una funzione unidirezionale.

— vidarlo,

4

Le password potrebbero non essere memorizzate su disco, ma vengono trasmesse attraverso le reti e risiedono in memoria prima di essere sottoposte a hash per l'archiviazione o il confronto con un altro hash.

— John Qualcuno il

3

Inoltre, un gestore di password (uno dei target preferiti nelle storie su Meltdown / Spectre) deve archiviare password [crittografate] e decrittografarle a volte per svolgere il proprio lavoro.

— TripeHound,

@MSalters Quando si tratta di VPN, la password di crittografia dei pacchetti deve essere memorizzata, poiché i dati vengono crittografati / decrittografati tramite una chiave simmetrica dopo l'handshake iniziale. Indipendentemente da ciò, sarebbe estremamente difficile trovare e copiare una password dalla memoria. Sarebbe meno lavoro solo per keylog.

— Qwerty01,

9

Sì, in effetti questa è una delle ipotetiche situazioni in cui queste vulnerabilità potrebbero essere attaccate: quando si utilizza la crittografia e si tenta di accedere alla chiave di crittografia in memoria normalmente non disponibile per altri processi.

— thomasrutter
fonte

1

Sì. Potrebbe consentire a un utente malintenzionato, ad esempio, visitando il suo sito Web, di leggere la memoria delle app attualmente in esecuzione. Il contenuto della memoria potrebbe essere costituito da cookie per il sito Web in cui si è attualmente connessi, password salvate nel gestore delle password, configurazione della connessione VPN o persino una chiave di crittografia utilizzata per la home directory.

D'altra parte, se sei sicuro al 100% di non eseguire alcun codice di terze parti (scaricando un software non attendibile o eseguendo un browser / visitando siti Web), sei praticamente risparmiato. In realtà questo è il punto di vista di Microsoft sull'argomento: presumevano che la maggior parte delle istanze di Windows Server funzionasse in un ambiente "isolato", in cui gli utenti inserivano solo app affidabili, quindi le correzioni di Meltdown / Spectre non sono necessarie per essere abilitate lì per impostazione predefinita.

— Piotr Dąbrowski
fonte

1

Sì. La crittografia dei dischi e delle connessioni di rete lascia comunque tutta la memoria ad accesso casuale leggibile da un processo dannoso in esecuzione sullo stesso computer. Memoria locale, traffico di rete e RAM sono 3 cose completamente diverse.

Per sfruttare i difetti di fusione e di spettro, il processo dannoso deve essere in esecuzione sul tuo computer. Ciò può accadere, ad esempio se si esegue un programma da una fonte sconosciuta / non attendibile o se una pagina Web riesce a manipolare il compilatore JIT del motore javascript del browser per eseguire tale codice.

— delt
fonte

0

Le vulnerabilità consentono la lettura dei dati da altri programmi, quindi se qualsiasi altro programma ha i dati non crittografati, un programma dannoso può leggerli. Quindi, se si digita la password in un altro programma, la password può essere rubata. Inoltre, se si accede a dati crittografati, non devono essere crittografati per vederli, quindi possono essere rubati. A seconda di come funziona la crittografia del disco, i dati sul disco potrebbero non essere crittografati anche se non si accede direttamente ad esso. Se stai usando la crittografia end-to-end, come una VPN, beh, il tuo computer è un fine, quindi i dati non vengono crittografati una volta che arrivano al tuo computer, quindi sono vulnerabili.

Se si dispone di un file crittografato e la password non è memorizzata sul computer e non si accede mai ad esso, i dati non crittografati non sono vulnerabili (a meno che la crittografia non possa essere altrimenti violata). Ma non appena si monta un'unità crittografata, è vulnerabile.

— Acccumulation
fonte