O Meltdown tem méritos suficientes para abalar completamente o mundo da informática, mas a má notícia é que ele não está sozinho. Ele veio acompanhado do Spectre, uma vulnerabilidade que essencialmente afeta quase todos os processadores com suporte a execução especulativa, e que coloca os especialistas em segurança em alerta. Como se não bastasse, o Spectre dá origem a toda uma nova série de ataques, incluindo um via JavaScript. Então, quão vulneráveis são os navegadores? Uma nova ferramenta online da Tencent nos ajuda a descobrir.
A indústria terá que trabalhar por vários anos para mitigar, conter e, finalmente, eliminar os efeitos do Meltdown e do Spectre. Ambas as vulnerabilidades podem ser contidas até certo ponto com a ajuda de patches, mas o preço é uma perda de desempenho em ambientes de trabalho específicos. As soluções definitivas exigirão novas arquiteturas e novo hardware; portanto, a prioridade de todos os responsáveis é minimizar o impacto na velocidade. Do ponto de vista técnico, o Spectre é mais difícil de explorar que o Meltdown, e mais difícil de neutralizar. Uma das estratégias disponíveis é atacar os principais exploits baseados no Spectre com hotfixes, e alguns navegadores web já começaram a adotá-los.
O problema é que nem todos os navegadores estão atualizados em cada caso, e se interpretarmos corretamente as informações sobre o Spectre, ele afeta computadores, servidores, dispositivos móveis e plataformas IoT que costumam ficar muito para trás em atualizações. Uma maneira de verificar seu estado é visitando o portal do laboratório XuanWu da Tencent e clicando no botão. A verificação é quase instantânea, mas a descrição oficial nos obriga a encarar o resultado com cautela. Se a ferramenta informar que o navegador é "vulnerável", isso é definitivamente verdade; no entanto, o anúncio de "não vulnerável" não o torna absolutamente, já que podem existir outros exploits desconhecidos por aí.
Em linhas gerais, as proteções contra o Spectre são um trabalho em andamento. O Google distribuirá a primeira rodada de patches para o Google Chrome a partir de 23 de janeiro, mas também existe a opção de ativar o modo experimental "Strict Site Isolation". Pelo lado do Firefox, o build padrão já recebeu ajustes, enquanto a edição ESR terá uma atualização própria no dia 23. Paciência.
