Cyberpediaod Brain
PLDEENESFRITNLPT

Ataki z kanału bocznego

Spectre i Meltdown: jak złośliwy kod odczytuje sekrety przez procesor, nic nie pokazując na ekranie, i jak się przed tym chronić.

W 30 sekund

Gdzie to się zdarza
Na komputerze, telefonie lub serwerze z procesorem, którego sprawa dotyczy, gdy tylko działa na nim obcy kod (JavaScript, złośliwa reklama, phishing)1.
Czego chce atakujący
Odczytać pamięć, która nie jest dla niego przeznaczona, czyli naciśnięcia klawiszy, hasła lub klucze szyfrowania1.
Odruch
Zainstalować poprawki bezpieczeństwa jak najszybciej i wyłącznie z oficjalnych źródeł producentów2.
Jeśli to już zrobione
Mimo to zainstalować kolejne aktualizacje, ponieważ niektóre pierwsze poprawki były częściowe2.

O co chodzi

Atak z kanału bocznego obserwuje efekt uboczny obliczeń, na przykład czas, jaki zajmuje odczyt z pamięci, i na tej podstawie wnioskuje o informacji, której atakujący nie ma prawa odczytać.

Spectre i Meltdown, ujawnione 4 stycznia 2018 roku2, są dwoma przykładami. Dotyczą samego procesora. Spectre dotyczy prawie wszystkich urządzeń1, natomiast Meltdown nie dotyczy procesorów AMD2. Na ekranie pracownika nic się nie pojawia: jego rola polega na aktualizowaniu urządzeń i instalowaniu poprawek wyłącznie z oficjalnych źródeł2.

Pytania wprost

Czy zauważę cokolwiek, jeśli ktoś mnie zaatakuje?

Nie, cytowane tu źródła nie opisują żadnego znaku widocznego na ekranie. Klasyczny program antywirusowy opiera się na sygnaturach i może nie wykryć tych podatności1. CERT-FR opublikował jednak reguły Yara do wykrywania plików binarnych powiązanych z publiczną biblioteką demonstracyjną Meltdown, co dotyczy zespołów bezpieczeństwa, a nie pracowników2.

Czy trzeba w coś kliknąć, żeby paść ofiarą ataku?

Atakujący musi najpierw doprowadzić do wykonania kodu na maszynie. CISA wymienia jako sposoby złośliwy JavaScript, złośliwą reklamę i phishing1.

Których urządzeń to dotyczy?

Spectre dotyczy prawie wszystkich urządzeń: komputerów stacjonarnych i przenośnych, serwerów w chmurze oraz telefonów1. Badacze mówią o procesorach Intel, AMD i ARM używanych w miliardach urządzeń3. Według CERT-FR procesory AMD są podatne na Spectre, ale nie na Meltdown2.

Czy jedna poprawka wystarczy?

Nie zawsze. W przypadku Spectre CISA wskazuje, że luka tkwi w architekturze procesora, a nie w oprogramowaniu, że trudno ją naprawić, ale trudniej ją wykorzystać1. Autorzy artykułu naukowego oceniają, że trwałe rozwiązania będą wymagały zmiany konstrukcji procesorów3.

1W skórze atakującego1 min

Atakujący chce danych, które inny program trzyma w pamięci. Na stanowisku pracy jest to pamięć systemu operacyjnego, która według CISA zawiera naciśnięcia klawiszy, hasła i klucze szyfrowania1.

Punktem wyjścia jest kod, który udaje mu się uruchomić: złośliwy JavaScript, złośliwa reklama lub phishing1. Gdy ten kod już działa, jak wyjaśnia CERT-FR, Meltdown pozwala z poziomu programu użytkownika uzyskać dostęp do pamięci systemu operacyjnego2. CISA dodaje, że atakujący mógłby też podnieść swoje uprawnienia, aby wykorzystać te luki1.

Skutki są poważniejsze tam, gdzie zasoby są współdzielone. CERT-FR zauważa, że z poziomu kontenera (Docker, LXC) może być możliwy dostęp do danych fizycznej maszyny, która go hostuje2.

2Co widać na ekranie1 min

Nic szczególnego. Cytowane tu źródła nie opisują żadnego komunikatu ani spowolnienia jako sygnału ostrzegawczego. Jedyny widoczny skutek dotyczy obrony: po wdrożeniu poprawek wydajność może się zmieniać w zależności od sposobu użycia, a CISA zaleca administratorom jej monitorowanie w aplikacjach krytycznych1.

Wokół tego tematu istnieje natomiast pułapka, i to widoczna: fałszywe poprawki (patrz niżej).

3Pod maskąZespoły IT1 min

Nowoczesne procesory dążą do szybkości. CERT-FR opisuje dwie techniki. W wykonywaniu poza kolejnością (out-of-order) instrukcje wykonują się zależnie od dostępności zasobów obliczeniowych, a nie w ściśle sekwencyjnej kolejności2. W wykonywaniu spekulatywnym procesor przyjmuje założenia co do wyników jeszcze niedostępnych i kontynuuje pracę; jeśli założenie jest błędne, skutki są wycofywane2.

Meltdown wykorzystuje słabość pierwszej z nich: instrukcja może się wykonać bez należytego sprawdzenia wymaganego poziomu uprawnień. Jej wynik nie jest potem zatwierdzany, ale informację można odzyskać ukrytym kanałem2.

Spectre wykorzystuje drugą. Skutki błędnego wykonania spekulatywnego dla pamięci podręcznej (cache) utrzymują się, a mierząc czasy dostępu do obszarów pamięci, można poznać stan cache. Atakujący wnioskuje z tego o wynikach pośrednich błędnego wykonania2. Autorzy artykułu naukowego opisują to jako nakłonienie ofiary do spekulatywnego wykonania operacji, które normalnie by nie zaszły i których informacja wycieka kanałem bocznym3.

Początkowe luki oznaczają trzy identyfikatory: CVE-2017-5753 i CVE-2017-5715 dla Spectre oraz CVE-2017-5754 dla Meltdown2.

4Analizy incydentówPrawdziwe przypadki1 min

3 i 4 stycznia 2018: ujawnienie

CISA podaje, że dowiedziała się o Meltdown i Spectre 3 stycznia 2018 roku1. Artykuł naukowy o Spectre został złożony tego samego dnia3. CERT-FR datuje publikację obu podatności na 4 stycznia 2018 roku2 i tego samego dnia publikuje komunikat o produktach VMware: ESXi, Workstation i Fusion są narażone, dopóki poprawki nie zostaną zainstalowane4.

Fałszywa poprawka w imieniu BSI

CERT-FR odnotowuje kampanię spamową wykorzystującą sytuację. Atakujący podszywający się pod BSI, niemiecki odpowiednik ANSSI, zachęcają adresatów do odwiedzenia kopii jej strony. Alert jest tam zmieniony: użytkownik ma zainstalować poprawkę, która w rzeczywistości jest złośliwym oprogramowaniem2. CERT-FR przypomina, by instalować poprawki wyłącznie z oficjalnych źródeł producentów2.

Kwiecień 2018: „Total Meltdown”

Według CISA użytkownicy 64-bitowego Windows 7 lub 64-bitowego Windows Server 2008 R2 na procesorze Intel, którzy zainstalowali poprawkę ze stycznia lub lutego 2018 roku, mieli zainstalować najnowszą poprawkę bez zwłoki. Według badacza Ulfa Friska wcześniejsze poprawki zawierały lukę pozwalającą czytać i zapisywać w pamięci jądra1. Ma ona identyfikator CVE-2018-10381.

Maj 2018: nowe warianty

21 maja 2018 roku opublikowano dwie nowe podatności oparte na podobnych zasadach, CVE-2018-3639 i CVE-2018-36402.

5Co robić1 min
  • Instalować aktualizacje systemu i przeglądarki. W przypadku oprogramowania układowego Intela CERT-FR zaleca zwiększoną ostrożność, a nawet czekanie na wersję końcową, oraz testowanie poprawek w kontrolowanych środowiskach przed wdrożeniem2.
  • Instalować wyłącznie zaufane oprogramowanie. Poprawki i oprogramowanie układowe pobierać bezpośrednio ze strony producenta1.
  • Jeśli stanowisko jest zarządzane przez firmę, pozwolić działowi IT prowadzić aktualizacje. NCSC zaleca domyślną politykę aktualizacji, z instalowaniem poprawek jak najwcześniej i najlepiej automatycznie5.
  • Nie reagować na e-mail z prośbą o zainstalowanie „poprawki”: korzystać z oficjalnych źródeł2.
6Pułapki1 min

Pierwsza pułapka to przekonanie, że chroni program antywirusowy. CISA zaleca sprawdzić u producenta antywirusa zgodność z poprawkami1. Według CERT-FR poprawki Microsoftu zależą od zainstalowanych programów antywirusowych2.

Druga pułapka: poleganie na pierwszej poprawce. Kilku producentów opublikowało tylko poprawki częściowe2, a przypadek „Total Meltdown” pokazuje, że sama poprawka może zawierać lukę1.

Wreszcie problemem jest też opóźnianie aktualizacji aktualizacji: NCSC zaznacza, że decyzja o niewykonywaniu aktualizacji jest decyzją o ryzyku na poziomie kierownictwa5.

Karta

Identyfikator
CP-087
Skrzydło
1. Ataki i techniki
Kompetencja Brain
Zabezpieczać urządzenia (secure_devices)
Odruch Brain
cr-054
Schemat
G3 · Przekrój anatomiczny
Języki
de, en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 3 listopada 2026: 5
ŹródłaŹródła: 5
  1. CISA, „Meltdown and Spectre Side-Channel Vulnerability Guidance”, 4 stycznia 2018. https://www.cisa.gov/news-events/alerts/2018/01/04/meltdown-and-spectre-side-channel-vulnerability-guidance (dostęp 3 listopada 2026)
  2. CERT-FR (ANSSI), „Multiples vulnérabilités de fuite d'informations dans des processeurs”, 4 stycznia 2018. https://cert.cyber.gouv.fr/alerte/CERTFR-2018-ALE-001/ (dostęp 3 listopada 2026)
  3. arXiv, „Spectre Attacks: Exploiting Speculative Execution”, 3 stycznia 2018. https://arxiv.org/abs/1801.01203 (dostęp 3 listopada 2026)
  4. CERT-FR (ANSSI), „Multiples vulnérabilités dans les produits VMware”, 4 stycznia 2018. https://cert.cyber.gouv.fr/avis/CERTFR-2018-AVI-006/ (dostęp 3 listopada 2026)
  5. NCSC (Royaume-Uni), „Vulnerability management guidance”. https://www.ncsc.gov.uk/collection/vulnerability-management/guidance (dostęp 3 listopada 2026)

Zacytuj ten artykuł

Brain, „Ataki z kanału bocznego”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/ataki-kanal-boczny-spectre-meltdown/

BibTeX 
@misc{brain_cp087_pl_2026,
  author = {Brain},
  title = {Ataki z kanału bocznego},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/ataki-kanal-boczny-spectre-meltdown/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0