Uvodnik

Kada no­va ge­ne­ra­ci­ja pro­ce­so­ra una­pre­di per­for­man­se računa­ra za 5 ili 10 pro­ce­na­ta, ka­že­mo da je na­prav­ljen ve­li­ki ko­rak una­pred i da ima smi­sla ra­zmi­šlja­ti o sle­dećem PC-ju. Krplje­nje ba­go­va na­zva­nih Spe­ctre i Mel­tdown una­za­diće per­for­man­se mno­gih računa­ra za 50 i vi­še pro­ce­na­ta, da­kle vra­ti­ti nas de­se­tak go­di­na una­zad. Hoćemo li iza­bra­ti spo­ri­ji rad, ku­po­vi­nu no­vog pro­ce­so­ra ili zlo­srećnu rečeni­cu „ma neće valj­da baš me­ne na­pas­ti“?

Kao prednost softvera otvorenog koda često se navodi činjenica da svako može da proveri da li je realizacija bezbedna i ima li nekih „zadnjih vrata“ u kodu, dok komercijalni softver „nije preporučljiv“ jer ko zna šta su autori tamo stavili... Ta tvrdnja je sama po sebi besmislena, jer to što neko može da proveri bezbednost ne znači da se to zaista i radi – „zadnja vrata“ nisu komanda nalik na if password=“Joshua“ then... iz filma War Games, nego neka suptilna greška koja slabi sigurnost na kritičnom mestu. Da bi se takva greška možda našla potreban je ozbiljan (dakle skup) security audit koji se retko radi; zanimljiv primer je audit program TrueCrypt i sve ono što se kasnije desilo. Ozbiljno istraživanje bezbednosti sebi priušte uglavnom proizvođači vlasničkog softvera, pa je tako Apple u iOS-u 6 otkrio komandu koju im je po svemu sudeći poturio neko iz NSA da bi oslabio kod za proveru SSL sertifikata.

Fanatici open source softvera čak odbijaju da koriste standardne računare, verujući u Libreboot gde bi i u BIOS-u bio softver otvorenog koda, podložan proverama. Sve to zvuči lepo na papiru i u teoriji, ali je sada krug zatvoren: šta vam vrede operativni sistem i BIOS koje svako može da proveri, kad je sigurnosni bag negde duboko u mikroprocesoru? Kako je došlo do Spectre baga? Detalje nećemo još dugo znati ali, ukratko rečeno, savremeni procesori su postali neverovatno komplikovani da bi, povinujući se Murovom zakonu, udvostručavali performanse na svake dve godine. Jedna od ideja je spekulativno izvršavanje programa – jezgra procesora, kad su slobodna, preliminarno izvršavaju naredbe programa koje još nisu došle na red da se izvrše. Ako neko grananje ili petlja u programu učine da to izvršavanje bude nepotrebno rezultati se zanemaruju, ali će u većini slučajeva procesor zaista izvršavati te naredbe, i onda su rezultati unapred spremni. Pokazuje se da veštim manipulisanjem instrukcijama jedan proces može da pročita nešto što je spremano za drugi, i tako recimo „ukrade“ cookie koji omogućava login na sajt. Ovaj... ne bih rekao bag, nego vrsta napada, u nekoj meri pogađa sve Intel i AMD procesore. Da bi se napad sprečio nije dovoljan update operativnog sistema, već i prekonfigurisanje hardvera, tj. nova verzija BIOS-a i ko zna šta još. Meltdown je jednostavniji problem koji omogućava korisničkom programu da, na Intel procesoru, pristupi informacijama iz kernel sloja, i rešava se update-om Windows-a ili Linux-a.

Instalirane zakrpe usporavaju PC. Noviji računari (Skylake, Kabylake) će biti neprimetno usporeni, dok će na računarima kupljenim 2015. godine i ranije usporenje biti značajno, što je naročito neprijatno na serverima. A opet, serveri najpre moraju da se „zakrpe“, dok kod kućnih računara možda može i da se dopusti neka slabost, uz opravdanje da još nema poznatih napada koji koriste ove bagove, a osim toga ni budući napadi neće moći da na ovaj način ubacuju melware na PC; samo će eventualno ukrasti informacije. A valjda smo se već pomirili s tim da su sve informacije na našim računarima manje ili više dostupne raznim NSA i hakerskim mađioničarima...