Vulnerabilidades Meltdown y Specter

Que manera tan rara de empezar el año, el cual nos recibe con 2 vulnerabilidades de alto impacto ya que simplemente no pueden ser detectadas y si son corregidas tiene un impacto de hasta cerca del 30% en CPU, esto es algo conocido y no había querido tocar el tema porque habían conjeturas sin evidencias, en los últimos días esto a sido aclarándose y creo que es hora de poder hablar al respecto. Y aunque no soy un experto en seguridad si es algo importante si trabajas en base de datos y es importante estar al día, dejare links con mayor información para aquellos que gusten adentrarse en detalle.

Primero que nada que es SPECTRE y MELTDOWN, ambos son fallos en la arquitectura de los procesadores, estos se derivan gracias a que se ha dado prioridad al desempeño de los mismos sobre seguridad y toman decisiones adelante intentando predecir y ser mas rápidos, este tipo de decisión puede causar que alguien tenga acceso a memoria kernel o privada que normalmente no se tiene acceso, contrario a lo que se cree esto afecta a casi cualquier procesador de los últimos 15 años seas Android, Mac, Linux, Microsoft, ARM.

MELTDOWN

Principalmente afecta arquitecturas Intel o basados en ella desde 1995, es mucho mas fácil de atacar que SPECTER, en laboratorios y análisis (uno emitido por Microsoft) y permite acceso a memoria kernel o memoria privada que las aplicaciones de usuario normalmente not tienen acceso, tu contraseña de un sitio web como la bance electrónica es vulnerable, que tienes un certificado SSL y estas en HTTPS, no importa se lleva las llaves también y adiós seguridad.

SPECTRE

Afecta a casi cualquier maquina moderna, es mas difícil de detectar, usar y corregir lo que permite es tener acceso a la memoria de otros programas y obtener los datos de ellos, no existe una solución única y de inicio los navegadores de internet, esta afección aun afecta a las capas de virtualizacion y contenedores también son afectados.

De lo que he podido recabar los parches emitidos por Microsoft tienen el siguiente impacto.

Afecciones de 0% a 5% en CPU en Windows 10, Windows Server 2016
Afecciones de 5% a 10% en CPU en Windows 8 y Windows Server 2012 y 2012 R2
Afecciones de 15 a 25% en CPU en Windows 7, Windows server2008 R2 y anteriores

La escritura en el subsistemas de IO (almacenamiento) casi no sufre excepto en escritura de 4k (que normalmente es usado en SQL Server si se siguen mejores practicas) hasta un 26% en baja penetracion y hasta 42% en algo queue depth.

Esto se basa tambien en datos ofrecidos por Intel y Microsoft

Las arquitecturas mas modelas, Kaby Lake, Coffee Lake no llegan normalmente a pasar de 7% de degradación.

La tabla con más información esta aqui.

Para SQL Server.

https://support.microsoft.com/en-us/help/4073225/guidance-for-sql-server

Más información

Lamentamos presentaros a Meltdown y Spectre
Meltdown
Spectre
Intel security issue update: Initial performance data results for clients systems
Understanding the performance impact of Spectre and Meltdown mitigations on WIndows Systems