l'unico punto di facile penetrazione in un sistema sembra essere tramite javascript in esecuzione in un browser web.

Che ne dici di Flash? Giava? Silverlight? VBA in un documento d'ufficio? Esistono applicazioni che caricano pagine web all'interno di se stesse?

Il fatto è che, una volta che una scatola ha del codice non autorizzato in esecuzione, è già compromessa.

Con il codice in esecuzione con il tuo account utente si può fare molto. Ma compromesso è un termine relativo. Ad esempio, non è possibile installare un key logger di basso livello. Le autorizzazioni potrebbero impedirti di leggere lo spazio di memoria di altre applicazioni anche se eseguite con lo stesso account utente. E ovviamente non hai accesso a file e processi eseguiti con altri account utente. Un utente su una macchina aziendale non può dirottare un'altra sessione degli utenti registrati.

Essere in grado di leggere valori RAM arbitrari può darti i token di accesso necessari per sconfiggere tutto questo.

Nel mio mondo, applicare le patch è un dato di fatto. Lo faremo e ci vuole un'eccezione per NON applicare una patch.

In questo momento, quelli sono gli exploit che conosciamo per Spectre e Meltdown. Tuttavia, cosa garantisce che non ce ne saranno più? Inoltre, molti exploit disponibili (come Wannacry / Petya) coinvolgono sistemi che non sono patchati per questo problema noto.

Concluderei con questo pensiero: sei pronto a scommettere sulla tua reputazione professionale su applicare una patch nota per correggere una vulnerabilità nota? Mi sembra che non sia una scommessa saggia. Immagina nella tua azienda se il malware basato su uno di questi due entra nella tua rete. Una delle prime domande del management è: come è successo? Sapevamo che era possibile? C'erano prevenzioni disponibili e, in caso affermativo, le abbiamo applicate? Sono stato oggetto di queste domande sulla base delle decisioni della direzione di accettare un rischio per la sicurezza e non era un posto comodo dove stare.

Per rispondere alla tua domanda: no, non è necessario. Ma non farlo, IMO, è irresponsabile.

Sì, perché può essere utilizzato per l'escalation dei privilegi. Di solito, se un attacco compromette un host, hanno solo i privilegi dell'utente. Utilizzando questa vulnerabilità, possono aumentare i privilegi perdendo le credenziali. L'escalation dei privilegi è importante per gli aggressori che eseguono molti attacchi, come arp spoofing, SMB / LDAP relaying, token hijacking, credential dumping, ecc.

Installa le patch a meno che tu non abbia un motivo molto valido per non farlo.

L'approccio che descrivi può essere riassunto sostanzialmente come questo:

Conosco l'exploit X. Potrei patchare il mio sistema operativo per risolvere l'exploit X, oppure potrei rivisitare attentamente ogni operazione che faccio sul mio computer (comprese le attività di aggiornamento automatico fatte per me). Se nessuna di queste attività rappresenta un rischio, non è necessario installare la patch.

Sì, in effetti, la tua logica è valida. È la stessa logica che dice "Un computer spento e scollegato è molto resistente agli hacker". Tuttavia, ti richiederà di esistere in un continuo stato di vigilanza. Ogni singolo byte di codice che viene trasferito al tuo computer deve provenire da una fonte affidabile al 100%. Potresti persino operare su una rete in cui questa logica è sufficientemente valida. Ma molto probabilmente non lo sei, quindi installa le patch. (Stuxnet potrebbe essere l'ultimo esempio di ciò che accade quando qualcuno pensa che la propria rete non sia bloccabile)

Dovrai rimanere in questo stato di vigilanza continua per sempre, o almeno finché non ti alleni e installi le patch.

Come Daniel Grover risponde, consideralo come un vettore per l'escalation dei privilegi. La sicurezza di molti sistemi dipende dal presupposto che un segreto sia effettivamente un segreto. Meltdown / Spectre sfida questo presupposto.

Sulle macchine Windows, è necessario applicare le patch a Spectre e Meltdown?

Da quello che ho letto, Spectre e Meltdown richiedono ciascuno un codice canaglia per essere eseguito una casella di Windows in modo che gli attacchi abbiano luogo. Il fatto è che una volta che una scatola ha un codice canaglia in esecuzione, è già compromessa.

In primo luogo, sembra proprio che tu lo stia dicendo, per evitare di essere hackerato tramite Spectre o Meltdown, devi solo evitare di essere hackerato con qualsiasi metodo. Ma questa è una cosa molto più difficile da fare!

Secondo, confronta,

In un'azienda, è necessario chiudere la cassaforte?

Da quello che ho letto, rubare cose da una cassaforte richiede che un ladro si trovi all'interno dell'edificio. Il fatto è che una volta che un ladro è all'interno dell'edificio, è già compromesso.

Beh, certo, ma proteggiti da alcune cose che il ladro potrebbe fare è ancora meglio che alzare le mani e dire: "Beh, è ​​entrato così potrebbe anche prendere tutto".

Il miglior argomento che ho visto per applicare le patch quando è stato presentato con questa linea di pensiero è questo:

Rilevare Spectre e Meltdown è molto difficile e il tuo prodotto AV non fermerà questi attacchi .

Questi sono difetti nell'hardware che espone l'esecuzione speculativa (previsione dei rami, ecc.). Il tuo processore lo fa sempre e rilevare un uso dannoso sarà estremamente difficile da fare. L'intera strategia di mitigazione è quindi quella di applicare patch, poiché il rilevamento è fuori discussione.

Dato il numero di PoC exploit che sono stati sviluppati e dimostrati nell'ultima settimana (e solo da un'idea di cosa fossero i bug, prima che finisse l'embargo) non ho dubbi che exploit armati dannosi per questi esistono bug.