--- id: CP-087 slug: attacchi-canale-laterale-spectre-meltdown lang: it title: Attacchi a canale laterale description: "Spectre e Meltdown: come un codice malevolo legge segreti attraverso il processore, senza mostrare nulla sullo schermo, e come proteggersi." canonical_url: https://startbrain.io/cyberpedia/it/articles/attacchi-canale-laterale-spectre-meltdown/ markdown_url: https://startbrain.io/cyberpedia/it/articles/attacchi-canale-laterale-spectre-meltdown.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Attacchi a canale laterale», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/attacchi-canale-laterale-spectre-meltdown/ (CC BY 4.0) wing: 1 theme: secure_devices reflex: cr-054 schema: G3 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/attacchi-canale-laterale-spectre-meltdown/ fr: https://startbrain.io/cyberpedia/fr/articles/attaques-canal-auxiliaire-spectre-meltdown/ en: https://startbrain.io/cyberpedia/en/articles/side-channel-attacks-spectre-meltdown/ de: https://startbrain.io/cyberpedia/de/articles/seitenkanalangriffe-spectre-meltdown/ es: https://startbrain.io/cyberpedia/es/articles/ataques-canal-auxiliar-spectre-meltdown/ nl: https://startbrain.io/cyberpedia/nl/articles/zijkanaalaanvallen-spectre-meltdown/ sources: - "n": 1 title: Meltdown and Spectre Side-Channel Vulnerability Guidance publisher: CISA url: https://www.cisa.gov/news-events/alerts/2018/01/04/meltdown-and-spectre-side-channel-vulnerability-guidance published: "2018-01-04" accessed: "2026-11-03" - "n": 2 title: Multiples vulnérabilités de fuite d'informations dans des processeurs publisher: CERT-FR (ANSSI) url: https://cert.cyber.gouv.fr/alerte/CERTFR-2018-ALE-001/ published: "2018-01-04" accessed: "2026-11-03" - "n": 3 title: "Spectre Attacks: Exploiting Speculative Execution" publisher: arXiv url: https://arxiv.org/abs/1801.01203 published: "2018-01-03" accessed: "2026-11-03" - "n": 4 title: Multiples vulnérabilités dans les produits VMware publisher: CERT-FR (ANSSI) url: https://cert.cyber.gouv.fr/avis/CERTFR-2018-AVI-006/ published: "2018-01-04" accessed: "2026-11-03" - "n": 5 title: Vulnerability management guidance publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/vulnerability-management/guidance accessed: "2026-11-03" --- # Attacchi a canale laterale Un attacco a canale laterale osserva un effetto collaterale del calcolo, per esempio il tempo che una lettura in memoria impiega a completarsi, e ne deduce un'informazione che l'attaccante non ha il diritto di leggere. Spectre e Meltdown, rese pubbliche il 4 gennaio 2018 [2], ne sono due esempi. Riguardano il processore stesso. Spectre interessa quasi tutti i dispositivi [1], mentre Meltdown non interessa AMD [2]. Sullo schermo del dipendente non compare nulla: il suo compito è tenere aggiornati i propri dispositivi e installare gli aggiornamenti di sicurezza solo da fonti ufficiali [2]. ## In 30 secondi - Dove accade: su un computer, uno smartphone o un server il cui processore è interessato, non appena vi viene eseguito codice estraneo (JavaScript, pubblicità malevola, phishing) [1]. - Cosa vuole l'attaccante: leggere memoria non destinata a lui, quindi sequenze di tasti digitate, password o chiavi di cifratura [1]. - Il riflesso: installare gli aggiornamenti di sicurezza il prima possibile, e solo dalle fonti ufficiali dei produttori [2]. - Se è già fatto: applicare comunque gli aggiornamenti successivi, perché alcune prime correzioni erano parziali [2]. ## Domande dirette ### Vedrei qualcosa se fossi preso di mira? No, le fonti citate qui non descrivono alcun segnale visibile sullo schermo. Un antivirus classico si basa sulle firme e può non rilevare queste vulnerabilità [1]. Il CERT-FR ha tuttavia pubblicato regole Yara per individuare i binari legati a una libreria pubblica di dimostrazione di Meltdown, il che riguarda i team di sicurezza, non i dipendenti [2]. ### Bisogna cliccare su qualcosa per essere attaccati? L'attaccante deve prima riuscire a far eseguire del codice sulla macchina. La CISA cita JavaScript malevolo, pubblicità malevola e phishing come modi per riuscirci [1]. ### Quali dispositivi sono interessati? Spectre interessa quasi tutti i dispositivi: computer fissi e portatili, server nel cloud e smartphone [1]. I ricercatori parlano di processori Intel, AMD e ARM usati in miliardi di dispositivi [3]. Secondo il CERT-FR, AMD è vulnerabile a Spectre ma non a Meltdown [2]. ### Basta un aggiornamento? Non sempre. Per Spectre, la CISA indica che il difetto si trova nell'architettura del processore e non in un software, che è difficile da correggere, ma più difficile da sfruttare [1]. Gli autori dell'articolo di ricerca ritengono che soluzioni solide richiederanno di modificare la progettazione dei processori [3]. ## Nei panni dell'attaccante L'attaccante vuole i dati che un altro programma conserva in memoria. Su una postazione di lavoro, si tratta della memoria del sistema operativo, che secondo la CISA contiene sequenze di tasti digitate, password e chiavi di cifratura [1]. Il punto di partenza è un codice che riesce a far girare: JavaScript malevolo, pubblicità malevola o phishing [1]. Una volta che questo codice è in esecuzione, spiega il CERT-FR, Meltdown consente di accedere alla memoria del sistema operativo da un programma utente [2]. La CISA aggiunge che un attaccante potrebbe anche elevare i propri privilegi per sfruttare queste falle [1]. L'impatto è più grave dove le risorse sono condivise. Il CERT-FR osserva che da un container (Docker, LXC) potrebbe essere possibile accedere ai dati della macchina fisica che lo ospita [2]. ## Cosa si vede sullo schermo Nulla di particolare. Le fonti citate qui non descrivono alcun messaggio né rallentamento come segnale d'allarme. L'unico effetto visibile è sul lato della difesa: dopo la correzione, le prestazioni possono variare a seconda dell'uso, e la CISA chiede agli amministratori di monitorarle sulle applicazioni critiche [1]. Esiste invece una trappola legata all'argomento, ed è visibile: i falsi aggiornamenti (vedere più sotto). ## Sotto il cofano I processori moderni cercano di essere veloci. Il CERT-FR descrive due tecniche. Nell'esecuzione detta out-of-order, le istruzioni vengono eseguite in base alla disponibilità delle risorse di calcolo e non più in modo strettamente sequenziale [2]. Nell'esecuzione speculativa, il processore formula ipotesi su risultati non ancora disponibili e prosegue il lavoro; se l'ipotesi è sbagliata, gli effetti vengono annullati [2]. Meltdown sfrutta una debolezza della prima: un'istruzione può essere eseguita senza che il livello di privilegio richiesto venga verificato correttamente. Il suo risultato non viene poi convalidato, ma l'informazione può essere recuperata tramite un canale nascosto [2]. Spectre sfrutta la seconda. Gli effetti sulla cache di un'esecuzione speculativa errata permangono, e misurando i tempi di accesso ad alcune aree di memoria si conosce lo stato della cache. L'attaccante ne deduce i risultati intermedi dell'esecuzione errata [2]. Gli autori dell'articolo di ricerca lo descrivono come indurre la vittima a eseguire in modo speculativo operazioni che normalmente non avrebbero luogo e le cui informazioni trapelano attraverso un canale laterale [3]. Tre identificativi designano le falle iniziali: CVE-2017-5753 e CVE-2017-5715 per Spectre, CVE-2017-5754 per Meltdown [2]. ## Autopsie ### 3 e 4 gennaio 2018: la rivelazione La CISA indica di essere venuta a conoscenza di Meltdown e Spectre il 3 gennaio 2018 [1]. L'articolo di ricerca su Spectre viene depositato lo stesso giorno [3]. Il CERT-FR data al 4 gennaio 2018 la pubblicazione delle due vulnerabilità [2], e pubblica lo stesso giorno un avviso sui prodotti VMware: ESXi, Workstation e Fusion sono interessati finché gli aggiornamenti non sono installati [4]. ### Un falso aggiornamento a nome della BSI Il CERT-FR rileva una campagna di spam che approfitta della situazione. Alcuni attaccanti, spacciandosi per la BSI, l'equivalente tedesco dell'ANSSI, invitano i destinatari a visitare una copia del suo sito. L'allerta vi è modificata: l'utente è invitato a installare un aggiornamento che in realtà è un software malevolo [2]. Il CERT-FR ricorda di installare gli aggiornamenti solo dalle fonti ufficiali dei produttori [2]. ### Aprile 2018: «Total Meltdown» Secondo la CISA, gli utenti di Windows 7 a 64 bit o Windows Server 2008 R2 a 64 bit su processore Intel, che avevano installato l'aggiornamento di gennaio o febbraio 2018, dovevano installare subito l'ultimo aggiornamento. Secondo il ricercatore Ulf Frisk, gli aggiornamenti precedenti contenevano una falla che permetteva di leggere e scrivere nella memoria del kernel [1]. Ha l'identificativo CVE-2018-1038 [1]. ### Maggio 2018: nuove varianti Il 21 maggio 2018 vengono pubblicate due nuove vulnerabilità basate su principi simili, CVE-2018-3639 e CVE-2018-3640 [2]. ## Cosa fare - Installi gli aggiornamenti del sistema e del browser. Per il firmware di Intel, il CERT-FR raccomanda una maggiore prudenza, fino ad attendere la versione finale, e di testare gli aggiornamenti in ambienti controllati prima di distribuirli [2]. - Installi solo software di cui si fida. Scarichi aggiornamenti e firmware direttamente dal sito del produttore [1]. - Se la sua postazione è gestita dall'azienda, lasci che sia il servizio informatico a condurre gli aggiornamenti. Il NCSC raccomanda una politica di aggiornamento predefinita, con applicazione delle correzioni il prima possibile e idealmente in modo automatico [5]. - Non dia seguito a un'email che chiede di installare un «aggiornamento»: passi dalle fonti ufficiali [2]. ## Le trappole La prima trappola è credere che l'antivirus protegga. La CISA invita a verificare con il produttore dell'antivirus la compatibilità con gli aggiornamenti [1]. Secondo il CERT-FR, gli aggiornamenti di Microsoft dipendono dagli antivirus installati [2]. Un'altra trappola: fidarsi di un primo aggiornamento. Diversi produttori avevano pubblicato solo correzioni parziali [2], e il caso «Total Meltdown» mostra che un aggiornamento può a sua volta contenere una falla [1]. Infine, anche il ritardo negli aggiornamenti degli aggiornamenti è un problema: il NCSC precisa che decidere di non aggiornare è una decisione di rischio a livello della direzione [5]. ## Fonti 1. CISA, «Meltdown and Spectre Side-Channel Vulnerability Guidance», 4 gennaio 2018. https://www.cisa.gov/news-events/alerts/2018/01/04/meltdown-and-spectre-side-channel-vulnerability-guidance (consultato il 3 novembre 2026) 2. CERT-FR (ANSSI), «Multiples vulnérabilités de fuite d'informations dans des processeurs», 4 gennaio 2018. https://cert.cyber.gouv.fr/alerte/CERTFR-2018-ALE-001/ (consultato il 3 novembre 2026) 3. arXiv, «Spectre Attacks: Exploiting Speculative Execution», 3 gennaio 2018. https://arxiv.org/abs/1801.01203 (consultato il 3 novembre 2026) 4. CERT-FR (ANSSI), «Multiples vulnérabilités dans les produits VMware», 4 gennaio 2018. https://cert.cyber.gouv.fr/avis/CERTFR-2018-AVI-006/ (consultato il 3 novembre 2026) 5. NCSC (Royaume-Uni), «Vulnerability management guidance». https://www.ncsc.gov.uk/collection/vulnerability-management/guidance (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/attacchi-canale-laterale-spectre-meltdown/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.