«Meltdown» ha meriti sufficienti per sconvolgere completamente il mondo dell'informatica, ma la cattiva notizia è che non è solo. È stato accompagnato da «Spectre», una vulnerabilità che in sostanza colpisce quasi tutti i processori con supporto per l'esecuzione speculativa, e che fa perdere la testa agli esperti di sicurezza. Come se non bastasse, Spectre dà origine a tutta una nuova serie di attacchi, incluso uno via JavaScript. Quindi, quanto sono vulnerabili i browser? Un nuovo strumento online di Tencent ci aiuta a scoprirlo.
L'industria dovrà lavorare per diversi anni per mitigare, contenere e infine eliminare gli effetti di Meltdown e Spectre. Entrambe le vulnerabilità possono essere contenute fino a un certo punto con l'aiuto di patch, ma il prezzo è una perdita di prestazioni in ambienti di lavoro specifici. Le soluzioni di fondo richiederanno nuove architetture e nuovo hardware, quindi la priorità di tutti i responsabili è ridurre al minimo l'impatto sulla velocità. Da un punto di vista tecnico, Spectre è più difficile da sfruttare rispetto a Meltdown, e più difficile da neutralizzare. Una delle strategie disponibili è attaccare i principali exploit basati su Spectre con hotfix, e alcuni browser web hanno iniziato ad adottarli.
Il problema è che non tutti i browser sono aggiornati in ogni caso, e se interpretiamo correttamente le informazioni su Spectre, colpisce computer, server, dispositivi mobili e piattaforme IoT che di solito restano molto indietro in materia di aggiornamenti. Un modo per verificare il proprio stato è visitare il portale del laboratorio XuanWu di Tencent e fare clic sul pulsante. Il controllo è quasi istantaneo, ma la descrizione ufficiale ci obbliga a prendere il risultato con le pinze. Se lo strumento segnala che il browser è «vulnerabile», questo è sicuramente vero, tuttavia l'annuncio di «non vulnerabile» non lo rende affatto, poiché potrebbero esistere altri exploit sconosciuti là fuori.
In generale, le protezioni contro Spectre sono un lavoro in corso. Google distribuirà la prima serie di patch per Google Chrome a partire dal 23 gennaio, ma c'è anche la possibilità di attivare la modalità sperimentale «Strict Site Isolation». Dal lato di Firefox, la build standard ha già ricevuto aggiustamenti, mentre l'edizione ESR avrà un aggiornamento proprio il 23. Pazienza.
