Descubiertos nuevos fallos de seguridad en los procesadores Intel

Millones y millones de dispositivos electrónicos tienen un procesador fabricado por Intel. El año pasado se conoció que la gran mayoría de los comercializados en la última década por la marca son vulnerables a ataques, pero no todas las debilidades salieron a la luz en ese momento. Esta semana la multinacional ha alertado que detectó, en colaboración con distintos grupos de investigación independientes, un nuevo fallo de seguridad que dejaba expuestos datos sensibles como claves, nombres de usuarios o historial de navegación en ordenadores de mesa, portátiles y servicios de en la nube (sin concretar la cifra de clientes afectados). Intel dice que no tiene constancia de que se hayan producido ataques y que ya ha puesto en marcha medidas correctivas. Expertos consultados por este diario creen que se trata de un fallo igual de grave que los detectados en 2018 y no descartan que en futuro se hallen otros nuevos.

La nueva brecha de seguridad se reveló el pasado martes. Lo hicieron tanto la propia compañía en su web corporativa como investigadores pertenecientes a distintas universidades y empresas tecnológicas a través de otra página. La compañía afirma que la vulnerabilidad fue descubierta internamente y después notificada también por informáticos externos. Estos últimos aseguran que trabajaron en equipos no vinculados y que comunicaron los hallazgos a la empresa.

El problema deja al descubierto datos contenidos en la memoria del microprocesador que no deberían ser accesibles, según José Rosell, socio director del grupo de seguridad S2. Si el usuario estuviera manejando información sensible como un documento confidencial o una contraseña en el momento de un ataque, esta podría estar al alcance de los hackers, agrega el experto.

Los dispositivos considerados vulnerables antes de que Intel empezara a corregir el fallo son ordenadores y servicios en la nube actualmente en el mercado. La multinacional dice que no tiene el número de equipos afectados. Cristiano Giuffrida, investigador del grupo VUSec en la Universidad VU Amsterdam, afirma que su equipo detectó el problema en todos los modelos de procesador comercializados a partir de 2008. Otro grupo analizó fallos en equipos instalados desde 2011. “Millones de dispositivos”, según Giuffrida.

La brecha es técnicamente del mismo tipo que la detectada en enero de 2018 (dividida en dos partes, llamadas Meltdown y Spectre), coinciden las fuentes consultadas. Esta también hacía vulnerable una gran cantidad de dispositivos (incluidos móviles y tabletas) e involucraba además los procesadores de otras compañías. En agosto del año pasado se dio a conocer otra vulnerabilidad de los procesadores Intel, llamada Foreshadow.

La gravedad del fallo

Intel afirma que la nueva brecha tiene un grado de peligrosidad entre bajo y medio, es técnicamente sofisticada y su explotación en un entorno real es “extremamente compleja”. La compañía sostiene que ya ha aplicado medidas de seguridad para los procesadores de uso individual de octava y novena generación (comercializados a partir de 2017), y para los de servicios en la nube sacados este año. También explicó que ha difundido los parches para que la comunidad digital pueda proteger los entornos expuestos.

Compañías como Google, Apple, Microsoft, Amazon y Mozilla han comunicado a su vez que están actuando para defender a sus propios clientes, según recoge TechCrunch. Intel recomienda que todo el mundo mantenga los sistemas actualizados. “Es una de las mejores maneras para quedarse protegidos”, explican fuentes de la empresa por correo electrónico. “Cuando salen actualizaciones automáticas en el ordenador u otro dispositivo, no hay que retrasarlas”, aconseja por su lado José Rosell.

Giuffrida no está de acuerdo con Intel sobre la valoración de la gravedad del fallo. En su opinión, aprovechar esta vulnerabilidad es más complejo que en el caso de las detectadas en 2018, pero es posible sin ser hacker de primer nivel. “Nosotros tenemos ya implementados ataques capaces de llegar a los datos más sensibles de nuestros ordenadores. Los ha desarrollado en 10 días un equipo de cuatro estudiantes de doctorado”, afirma. Además, cree que Intel no está dando instrucciones de protección claras. “Así se creará una situación fragmentada, donde cada uno aplicará una estrategia de defensa diferente según el sistema. En este contexto hacer un análisis de seguridad eficaz será muy complicado y eso empeorará las cosas”, afirma.

El investigador agrega que también existe un problema relacionado con las prestaciones de los procesadores, en concreto respecto a una tecnología desarrollada por Intel y llamada Hyper Threading, presente en la gran mayoría de ellos y capaz de mejorar su rendimiento sin aumentar significativamente los costes. Giuffrida explica que hay que deshabilitar esa funcionalidad porque “no garantiza seguridad ante los ataques y mantenerla protegida a través de algún software es “muy complejo si no imposible”. En su opinión, “este fallo es el primero que demuestra “el problema que puede suponer esta tecnología”. También recuerda que algunas compañías, como Google en el caso de su sistema operativo Chrome OS, ha decidido desactivarla.

Por su lado, Intel desaconseja hacer eso y asegura que en los ordenadores para usuarios individuales la pérdida de prestaciones tras la aplicación de parches correctivos del fallo no superará el 3%. En el caso de los servicios de nube, y con Hyper Threading activa, esta disminución de rendimiento podría llegar a un 10%, agrega.

¿El problema irá a más?

Giuffrida cree que las vulnerabilidades detectadas en los procesadores Intel a partir de 2018 se debe a que la atención del mundo académico por los defectos de seguridad se ha movido progresivamente desde los fallos en software hacia la parte hardware de los dispositivos, en particular en los últimos tres años. “La situación es mucho peor de lo que nos esperábamos. Se pueden crear ataques a los sistemas hardware con demasiado poco esfuerzo. Las empresas empiezan a tomarse en serio el problema, pero creemos que deberían actuar con mucha más contundencia”, asegura.

El académico opina que el ataque desvelado esta semana demuestra que Intel no tomó medidas suficientes tras descubrir las vulnerabilidades del año pasado, ya que las nuevas “están muy cerca de las anteriores”. Esto, en su opinión, se debe a dos posibilidades: una es que ni compañías ni investigadores tengan una respuesta efectiva a estos problemas. La segunda, afirma, “es aún peor, porque significaría que Intel es consciente de la gravedad del problema pero no muestra las cosas tal y como están al público para proteger sus intereses”. En cualquier caso, concluye, su sensación es que los fallos ya desvelados solo representan “la punta del iceberg” con respecto a lo que queda por llegar. Intel afirma que se espera que en los nuevos procesadores la vulnerabilidad ya no esté presente.

José Rosell de S2 se muestra menos pesimista que Giuffrida. “Casi todos los días saltan vulnerabilidades nuevas. Y hay algunas de ellas que son más impactantes que esta para el usuario común”, afirma al recordar la que afectó a Whatsapp el pasado lunes. En su opinión, el hecho de que Intel haya sacado a la luz el problema que detectó es “una buena práctica”, porque permite a las compañías tecnológicas y los grupos de seguridad parchear las brechas y evitar daños más graves.