Yleiset järjestelmäpäivitykset koskien Spectre ja Meltdown-haavoittuvuuksia

Tietoturvahaavoittuvuudet Spectre ja Meltdown (https://www.viestintavirasto.fi/kyberturvallisuus/haavoittuvuudet/2018/haavoittuvuus-2018-001.html) ovat saaneet viimeisen viikon aikana merkittävää julkisuutta. Haavoittuvuudelle ja siihen liittyville ensimmäisille päivityksille oli alun pitäen suunniteltu julkistuspäiväksi 9.1.2018, mutta tiedot haavoittuvuudesta vuotivat julkisuuteen ennenaikaisesti.

Haavoittuvuudet ovat luonteeltaan vakavia ja vaativat käytännössä kaikkien palvelinjärjestelmien päivittämistä. Tutkijat ovat löytäneet käytännössä kolme erillistä haavoittuvuutta, joista kaksi kulkee nimellä ”Spectre” (koskettaa laajasti kaikkia prosessoreja) ja yksi nimellä ”Meltdown” (koskettaa nykytiedolla Intel-pohjaisia suorittimia). Tällä hetkellä eri käyttöjärjestelmille on saatavilla päivityksiä vaihtelevalla kattavuudella. Päivityksiä on jouduttu kiirehtimään kehittäjäpuolella, joten suurena riskinä on, että päivityksistä voi aiheutua myös odottamattomia ongelmia. Selvä tunnettu haittavaikutus on se, että nyt ohjelmistotasolla tehdyt korjaukset, joilla paikataan laitteistotason ongelmaa, aiheuttavat selkeää hidastumista järjestelmiin. Nopeushaitta vaihtelee sovelluksesta riippuen tyypillisesti 5-30% välillä.

Yhden merkittävimmistä Linux kehittäjistä tilannekatsaus haavoittuvuuksiin Linux-kernelin näkökulmasta: http://www.kroah.com/log/blog/2018/01/06/meltdown-status/

TNNetin ylläpito seuraa aktiivisesti päivitysten saatavuustilannetta ja suorittaa päivityksiä käyttäen tarkkaa harkintaa sen osalta, onko saatavilla oleva päivitys varmasti riittävän kypsä tuotantoon.

Koska päivityksiä eri järjestelmiin tulee saataville vaihtelevalla tahdilla, ennakoimme että näihin haavoittuvuuksiin liittyviä korjauksia tulee saataville tammikuun ja mahdollisesti myös helmikuun aikana.

Tästä syystä varaamme normaalista poikkeavia päivitysikkunoita ennakoivasti kaikille tammikuun tuleville torstai ja perjantai -aamuöille (11.1, 12.1, 17.1, 18.1, 25.1 ja 26.1.) ajalle kello 0:00-6:00.

Suoritamme päivityksiä järjestelmiin, joita voidaan päivittää ilman asiakasvaikutusta myös muina aikoina tammikuun aikana. Pääsääntöisesti päivityksiä tehdään ilta- ja yöaikaan. Huoltoikkunoiden aikana suoritetaan toimenpiteitä, joilla on suoraa näkyvää asiakasvaikutusta. Esimerkiksi asiakkaiden virtuaalipalvelinten uudelleenkäynnistyksen aiheuttavia päivityksiä.