Intel dice que tiene una vacuna efectiva contra Meltdown y Spectre

Intel anunció sobre el final del jueves que tenía lista una "vacuna" para inmunizar a sus procesadores de los ataques conocidos como Meltdown y Spectre, que se conocieron esta semana y generaron alarma mundial. Estos ataques, que por ahora son teóricos (no se conoce que se hayan aplicado) aprovechan la forma en como están diseñados los procesadores de las computadoras modernas para infiltrarse y tener acceso a datos que se suponía eran hiper seguros.

Los expertos que dieron la voz de alarma dijeron que como el problema estaba en el diseño de los microprocesadores, no había solución efectiva sin cambio de hardware; las actualizaciones para sistemas operativos y browsers que Microsoft, Apple, Google, Linux, Mozilla y demás publicaron son parches para mitigar el posible ataque. Una solución de contingencia.

Pero en el comunicado que publicó ayer, Intel opina lo contrario, y asegura que la actualización de firmware que está desarrollando y distribuyendo inmuniza a sus procesadores de ambos ataques, y que está trabajando con AMD y ARM (también afectados por estos ataques posibles, porque usan diseños similares en sus procesadores) para compartir e implementar esta técnica de defensa. Y calcula que tendrá soluciones para el 90 por ciento de los chips presentados por la compañía en los últimos cinco años para el fin de la próxima semana; los está compartiendo con fabricantes y desarrolladores para acelerar su implementación.

Mitigar, inmunizar

El anuncio causó algo de sorpresa, porque los expertos que vienen investigando el tema consideran que una solución por la vía del software es limitada (por eso usan la palabra mitigar), y que la única alternativa es el cambio en el diseño del procesador. El uso del concepto de inmunizar aplicado por Intel trae un rayo de esperanza (porque sería una solución definitiva para los cientos millones de procesadores que hay que en el mercado), pero se desconoce la técnica aplicada por Intel, por lo que habrá que esperar a la evaluación de la comunidad informática.

La urgencia de Intel es comprensible: aunque no es el único afectado, es el más visible de todos los fabricantes de procesadores. La mayoría de los chips de AMD y ARM quedan fuera de uno los ataques (Meltdown) y sólo son vulnerables a otro (Spectre), que según los expertos en seguridad informática es extremadamente difícil de implementar. Así, recibe el grueso de las críticas, sobre todo porque domina el mundo de las PC y de los servidores, los más afectados (por así decirlo: casi todos los sitios Web y servicios digitales corren en un chip de Intel, y todos están en peligro); por su naturaleza cerrada, lograr un ataque efectivo en un celular o tableta (con chip ARM) es más complejo.

No ayuda, tampoco, que el 29 de noviembre el CEO de la compañía, Brian Krzanich, vendiera la mitad de sus acciones en la compañía. La fecha es llamativa: para ese entonces Intel llevaba meses trabajando en secreto en una solución a esta falla de seguridad que afectaba a casi todos los procesadores de su marca en uso en el mercado; ya estaba todo en marcha para hacer un anuncio conjunto con todos los desarrolladores de sistemas operativos (debía ser la semana próxima, pero se filtró la información) explicando lo que sucedía, y el paliativo. Intel asegura que es una coincidencia desafortunada, que la venta es parte de un plan de venta de acciones automatizado, y que la fecha ya estaba establecida mucho antes.

Preocuparse o no

Lo que permiten Meltdown y Spectre es gravísimo, porque una aplicación maliciosa podría abusar del diseño base del procesador para saltearse ciertas barreras de software y tener acceso a información que, en teoría, le estaba vedada a cualquier aplicación. Desde contraseñas hasta ver, en un servidor en el que conviven los recursos de varias empresas, qué está haciendo el vecino. Y sin dejar rastro. Es una falla gravísima, según los expertos, porque es muy difícil de resolver, aunque ahora Intel asegure lo contrario.

Todos los sistemas operativos modernos están afectados, porque el problema está en los chips fabricados en las últimas dos décadas, y en cómo procesan la información. Así que es un problema enorme.

A la vez, para el usuario común, una primera red de contención ya está disponible: hay actualizaciones para Windows 10, macOS, Linux, Android, iOS, y para los navegadores Edge y Firefox (porque el ataque puede venir de un sitio Web); para Chrome estará listo en breve. Los primeros reportes de gente que actualizó sus equipos (con la herramienta estándar de actualización del sistema operativo) confirma que, al menos en las PC, no hay una ralentización del sistema como se temía: la PC no anda más lento con un uso normal. Más afectados estarán los servidores corporativos, donde la exigencia para los chips es mucho mayor, y donde una demora, por pequeña que sea, es notoria.

Lo más importante es que no se conocen casos en los que alguien se haya aprovechado de estas vulnerabilidades para robar información (ni, de hecho, si alguien la había descubierto hasta ahora); pero la comunidad de seguridad informática no puede darse el lujo de esperar, y optó (correctamente) por la prevención.