POSEBNA Otapanja i Sablast: sve što trebate znati o ovim ranjivostima (AŽURIRANO)

Pretpostavlja se da oko 20% privremenih i ekonomskih resursa dodijeljenih stvaranju novog čipa odlazi na sam dizajn, dok ostatak, odnosno puno vremena i novca, ide na simulacije, ispitivanja i provedena ispitivanja da provjerite radi li sve ispravno. Pa, čini se da neki proizvođači nisu učinili stvari sasvim u redu sa svojim proizvodima, i to je slučaj IntelaKao što ćemo vidjeti, nije jedini pogođen, ali već ima puno problema sa svojim čipovima, od poznatog problema s pokretnom zarezom, preko drugih kvarova na svojim čipsetima, pa sve do ranjivosti također otkrivene u Management Engineu, a sada ovo ...

Sve su društvene mreže i mediji preplavljene vijestima, neke pomalo kontradiktorne u vezi sa ovim slučajem o kojem će se puno razgovarati i koje vam savjetujem da napravite dobru zdjelu kokica za gledanje sapunice, jer ovo tek započeo. Stoga, kako se korisnici, posebno oni s Linuxa, ne bi izgubili s toliko informacija i znanja kako se ponašati i čega se, pored toga, pridržavaju znati da li su pogođeni ili ne, objavit ćemo ovaj članak u LxA.

Šta je Spectre and Meltdown?

Vjerojatno je problem s Rowhammerom koji smo već vidjeli donekle beznačajan u odnosu na dubinu koju ima ovaj drugi problem. Sigurno ste već čuli poznata imena koja sije paniku, a to su Topljenje i bauk. Ovi napadi koji mogu ozbiljno ugroziti našu sigurnost iskorištavaju neke značajke poput izvršavanja izvan reda i spekulativnog izvršavanja koje se implementiraju u sve savremene procesore radi poboljšanja performansi. Objasnit ćemo šta je svaki u dijelovima:

• topljenje jezgra nuklearnog reaktora: tako se naziva jer u osnovi topi sigurnosna ograničenja između aplikacija koje nameće hardver, iako je u informacijskoj bazi MITER poznat kao CVE-2017-5754. To je najozbiljniji problem koji je otkriven i posebno pogađa Intelove procesore objavljene u posljednjoj deceniji. Zbog ove ranjivosti, neprivilegirani proces mogao bi pristupiti području rezerviranom u memoriji za jezgru, što je ozbiljan sigurnosni problem. Na primjer, područja RAM memorije mogu biti odbačena. Zakrpe za rješavanje ove ranjivosti značajno pogoršavaju performanse.
• Spectre: njegovo ime leži u tome koliko je složeno riješiti ga, stoga će nas kao spektar pratiti još dugo. Pojavljuje se u nekoliko varijanti (CVE-2017-5753 i CVE-2017-5717), potencijalno ozbiljan, jer može dopustiti procesu da "prevari" kernel u premještanje informacija iz memorijskih zona koje taj proces kontrolira, tj. Drugim riječima, razbija barijeru između aplikacija. U ovom slučaju utječe na više mikroprocesora, ali to se može popraviti jednostavnim softverskim izmjenama i gubitak performansi je praktički nikakav ...

Ovo je sve o Meltdown-u i Spectru koji su objašnjeni na jednostavan način i bez korištenja vrlo tehničkog jezika tako da svi razumiju. Na kraju, ono što smo vidjeli je da Meltdown i Spectre mogu pristupiti podacima pohranjenim u memoriji pokrenutih programa, a to uz eksploatacije i zlonamjerni kod predstavlja prijetnju. E sad, kako ovo može uticati na mene? Pa i odgovor je jednostavan, jer oni to mogu dopustiti mijenjati podatke, filtrirati lozinke i povjerljive podatke, fotografije, e-poštu, podatke obrazaca itd.. Stoga je to veliki sigurnosni problem, vjerojatno jedan od najvećih u posljednje vrijeme.

Linus Torvalds je govorio

Linus Torvalds, tvorac NVIDIA Jebi se! sada se čini da je Intelu dao poziv za uzbunu zbog velike greške koju su napravili. A u nitima rasprave o problemu koji je ostao uslijed utjecaja na Linux kernel, prve riječi tvorca nisu natjerane na čekanje:

Zašto je sve ovo bez mogućnosti konfiguracije? Nadležni CPU inženjer bi to popravio osiguravajući da špekulacije ne prođu kroz zaštitne domene. [...] Mislim da INtel mora pogledati svoje CPU-e i zaista priznati da imaju problema umjesto da napišu PR modnu riječ koja kaže da sve funkcionira kako je dizajnirano. (Pozivajući se na Intelove izjave). ...a to stvarno znači da sve one zakrpe za ublažavanje problema trebaju biti napisane imajući na umu "nisu svi CPU smeće".. (Što se tiče zakrpe koja je primijenjena i koja utječe na sve x86-64 mikroprocesore, uključujući AMD, iako to nije pogođeno gubitkom performansi) Ili Intel u osnovi kaže "obvezali smo se da ćemo vam prodati sranje zauvijek i nikad ništa ne popravljamo"? […] Jer ako je to slučaj, možda bismo trebali početi više gledati prema strani ARM64-a (u odnosu na to hoće li Intel riješiti problem ili neće i dalje prodavati problematične proizvode). Molimo razgovarajte sa upravom. Jer zaista vidim tačno dvije mogućnosti:

1. Intel nikada ne tvrdi da je išta popravio.
2. Ili ova rješenja imaju način da budu onemogućena.

Izjave se odnose na kod primijenjeni flaster ozbiljno narušava performanse CPU i utječu na sve procesore u ovoj porodici, bez obzira na to utječe li na njih ranjivost. Zbog toga je AMD nagovijestio da rade na tome da spriječe da njihovi mikroprocesori imaju i gubitke u performansama zakrpe jer nisu pogođeni.

Na koje procesore to utječe?

To je pitanje od milion dolara od tada ne utječe samo na Linux daleko od njega, To je problem sa čipom i stoga utječe na macOS, Windows, Android, pa čak i iOS, itd. Stoga nije nešto specifično, a sada ćemo vidjeti na koje čipove utječe ovaj problem dizajna:

Mikroprocesori zahvaćeni topljenjem:

Praktično svi Intelovi mikroprocesori proizvedeni od 1995 Do sada su pogođeni ovim ozbiljnim problemom, jer za njegovo korištenje iskorištava izvršenje izvan reda. To znači da se računari, računari, serveri i superračunari koji koriste ove procesore, pa čak i neki mobilni uređaji sa Atom čipovima itd. Izuzetak su Intel Atomi koji koriste izvršenje po redoslijedu (oni koji su izašli prije 2013., jer najmoderniji Atomi koriste OoOE), kao i Intel Itanium koji niko neće imati kod kuće, jer su namijenjeni velikim mašinama.

* LAST MINUTE: Otapanje utječe i na ARM Cortex-A75. Trenutno se čini da je pogođen samo ovaj model, ali već znate da ARM licencira IP jezgre za druge SoC dizajnere i ako imaju Cortex-A75 to će također biti pogođeno. Ali čini se da je u ovom slučaju efekt minimalan ...

u Mikroprocesori zasnovani na AMD-u i ARM-u (Qualcomm, Samsung, Apple, Mediatek, itd.) Ovaj problem ne utječe. Ako imate jedan od ovih čipova možete lako disati... To je dovelo do prodaje Intelovih dionica i one padaju na berzi na zvučan način istovremeno s porastom AMD-ovih dionica. Razlog je taj što AMD ne dozvoljava reference memorije ovog tipa, uključujući spekulativne reference, stoga su neranjive za Meltdown.

Mikroprocesori pogođeni spektrom:

U ovom slučaju broj pogođenih uređaja i čipova je proširen, budući da vidimo i kako tableti, pametni telefoni, radne površine, laptopi, serveri, superračunari itd. su pogođeni. U ovom slučaju to utječe na Intelove čipove, mogli bi utjecati i svi oni ARM Cortex-A i AMD.

* U slučaju ARM-a, to utječe na veliki broj SoC-ova koji implementiraju modificirane dizajne ili ARM IP jezgre unutar poput Qualcomm Snapdragon, Samsung Exynox, Apple A-Series, Mediatek, NVIDIA (ne mislim na GPU-ove, već na SoC-ovi zasnovani na ARM-u) itd.

*** Neki su mediji zbunjivali vijesti, ali GPU-ovi to ne utječu (pogledajte UPDATE (last minute)).

** Sada prelazimo na slučaj AMD, na službenoj web stranici dizajnera CPU možemo vidjeti tablicu koja nas vodi do optimizma i ostavlja nas nešto mirnijima:

Razlike u AMD-ovom dizajnu izbjegavaju probleme uzrokovane Meltdownom, jer ovi CPU ne pretpostavljaju učitavanje korisničkog koda izravno u memoriju jezgra. A AMD ASID također blokira probleme za gostujuće VM-ove i korijenske korisnike na njima.

Mikroprocesori NIJE pogođeni Spektrom:

Ova lista mikroprocesora nema ranjivosti poput Spectra, jer je njihov kanal s uputama rigorozniji i urađen u redu (oni nisu OoOE mikroarhitekture) ili zato što uključuju karakteristike zbog kojih su imunis. Neki se mogu činiti vrlo starima, ali drugi su prilično moderni, kao što je to slučaj SPARC i AMD Zen. Dakle, ako imate CPU koji se nalazi na sljedećem popisu, ne morate se brinuti ni o čemu:

• strongARM
• superSPARC
• Transmeta Crusoe i Efficeon
• Power PC 603
• Stari x86: Pentium I i klonovi, svi stari 8-bitni i 16-bitni čipovi, IDT WinChip, VIA C3, 386 i klonovi, 486 i klonovi
• z80
• 6500 i slično
• 68k
• ARM Cortex-A7 MPCore (Raspberry Pi 2)
• ARM Cortex-A5
• ARM Cortex-A53 MPCore iako ima drugačije izvršenje od prethodnih i čini se da to nije pod utjecajem račvanja. Ovdje su uključeni oni od Raspberry Pi 3 i nekih pametnih telefona i tableta poput Qualcomm Snapdragon 625 ...
• Intel Atom prije 2013. godine, odnosno oni koji se temelje na mikroarhitekturama poput Diamondvillea, Silverthornea, Pineviewa itd., Jer ne koriste izvršavanje izvan reda.
• VIA C7 koristi osnovnu shemu predviđanja grana, ali to ne utječe.
• Intel Itanium (IA-64)
• IBM POWER6 ima ograničeno predviđanje grana pa se čini neranjivim.
• Xeon Phi i GPGPU
• SPARC serija T
• AMD Zen: Mikroprocesori Ryzen i EPyC imaju zanimljive funkcije kako bi mogli prekidati ili biti neranjivi za Spectre. Ta konfiguracija o kojoj govorim je SME / SEV (Secure Memory Encryption & Secure Encrypted Virtualization) koja bi izbjegla bilo kakav oporavak memorije koji bi mogao ugroziti sistem i okruženja za virtualizaciju.

Šta je rešenje?

aplicar zakrpe ili ažurirajte naš sistem, bilo što i sa Zakrpe Imat ćemo mogući gubitak performansi što ćemo razjasniti u posljednjoj točki, ali barem ćemo na razini sigurnosti biti nešto zaštićeniji. Recimo da već postoje zakrpe protiv Meltdown-a za Linux i druge operativne sisteme. Najgore je što se tiče Android uređaja, nemaju svi OTA nadogradnje ...

Mozes da vidis više informacija o tome na ovim vezama:

• Linux Kernel Mailing List
• XenProject
• Intel
• AMD
• ARM
• Google
• Mozilla
• Debian
• Ubuntu
• SUSE
• crvena kapa
• CERT
• VMWare
• Citrix

Koji je gubitak performansi?

Sreli smo se sa dva moguća rješenja:

1. Po softveru: Uključuje implementaciju zakrpa za operativne sisteme macOS, Linux, Windows, iOS i Android, ali one, nažalost, ne samo da rješavaju sigurnosni problem, već će usporiti naš sistem zbog načina na koji utječu na to izvršavanje izvan reda, spekulativne izvršavanje ili brisanje TLB-a našeg CPU-a sa prilično značajnim gubicima performansi. Neki su govorili o do 50% manjim performansama u našem CPU-u, druga manje negativna predviđanja govore o između 5 i 30% izgubljenih performansi, ovisno o vrsti softvera koji pokrećemo. Neki pokušavaju smiriti alarm i tvrde da su neke testirane video igre samo izgubile 2% u performansama u smislu FPS-a (samo u slučaju Linuxa, u sustavu Windows nisu analizirane), već da u video igrama igra rijetko traži da uskoči u prostor jezgre, ali što se događa s drugim programima i sa softverom čiji kôd ima mnogo uputa ovisnih o stanju ...? Ovdje gubitak performansi može biti znatan. Ono što je sigurno je da su neki poput Intela i drugih web lokacija pokušali smiriti korisnike i rekli da gubici performansi neće biti primjetni za većinu kućnih korisnika i da je to problem koji će utjecati na podatkovne centre, servere itd. I superračunare ... U koje prognoze vjerujemo? Istina je da morate ostati mirni i čekati da vidite šta će se dogoditi.
2. Po hardveru: Uključuje pregled trenutnih čipova i redizajn postojećih mikroarhitektura tako da se to ne dogodi, što je dugotrajno, vrlo skupo i ne možemo uskoro očekivati ​​rješenja. Što se tiče Intela koji je odlučio zamijeniti čipove svih pogođenih kupaca, mislim da je najjasniji odgovor: hahaha, pričekajte. To bi za kompaniju značilo višemilionske gubitke i mislim da se to neće dogoditi.

Očigledno se gubici u performansama neće osjetiti u svim namjenama i svim CPU modelima, pa će postojati modeli koji su pogođeni više od ostalih. I jeste velika kuja platite čip posljednje generacije i uvjerite se da za jednu od ovih zakrpa ne možete iskoristiti njegove performanse na 100%, ali to je ono što postoji kad neki ne rade svoj posao dobro.

Veliki podatkovni centri poput Amazon Web Service, Microsoft Azure i Google Cloud Zbog ovog problema, kada se koriste Intel mikroprocesori na njihovim serverima, gubici performansi se procjenjuju na oko 20% u ovim slučajevima kada se obrađuju SQL baze podataka. Tačno je i da drugi poput Googlea kažu da je gubitak performansi zanemariv.

AŽURIRANJE (zadnji sat):

Kako sati prolaze saznajemo nove stvari o ovom slučaju:

• Jedan od njih je tužba protiv Intela to nije natjerano da čeka. Konkretno, čip div je primio tri iz Sjedinjenih Država i možda će doći još. Sudovi u Kaliforniji, Indiani i Oregonu prvi su postupili po optužbama kao propuštanju da na vrijeme otkriju postojanje ranjivosti, uspori svoje procesore ažuriranjima i ne zaštite sigurnost korisnika.
• Intelove dionice padaju dok se AMD-ovi oporavljaju, a to je također otkrilo akciju koja bi, da se to nije dogodilo, prošla nezapaženo. I je li to Izvršni direktor Intel-a prodao je gotovo polovinu svojih dionica za mesec dana neposredno pre otkrivanja narušavanja bezbednosti. Brian Krzanich se riješio svojih dionica i to bi, iako iz kompanije kažu da to nema nikakve veze s vijestima, moglo sugerirati da su navodno već znali za problem i da su zato postupili u skladu s tim.
• Pojavi se nove arhitekture pogođene problemomIako nisu toliko rašireni, važni su za servere i superračunare. Razgovaramo o IBM POWER8 (Little Endian i Big Endian), IBM System Z, IBM POWER9 (Little Endian) i vidjet ćemo da li ćemo uskoro morati proširiti listu.
• El Linux kernel je redizajniran zakrpano kako bi se spriječilo da ozbiljni centri velikih podataka, serveri i veliki sistemi koji o njemu ovise budu ozbiljno pogođeni. Konkretno, dodirnut je KPTI (Izolacija tablice stranice jezgre), koji je prethodno bio poznat kao KAISER ili u kolokvijalnom nazivu FUCKWIT (Prisilno odvojiti kompletnu jezgru s prekidnim trampolinima), koji bolje izolira korisnički prostor iz prostora jezgre u memoriji dijeljenjem sadržaja u dva stranična stola odvojeno. Dijeljenje stola stalno se čisti TLB predmemorija s posljedičnim porastom kvarova i potrebom za više ciklusa takta za traženje podataka i uputa u memoriji, odnosno znatno smanjuje performanse i ovisno o sistemskim pozivima koje program izvrši, to će utjecati na više ili manje, ali najmanje izbjegavajte da se topljenje digne u zrak. Neke proaktivne obrane poput ASLR-a dodane su i implementirane u Linux 4.14.11 i druge prethodne LTS verzije: 4.9.74, 4.4.109, 3.16.52, 3.18.91 i 3.2.97.
• Procjene gubitka performansi sadašnji govore o gubitku performansi od 5% prema onome što je komentirao Linus Torvalds, ali također kaže da bi u nešto starijim procesorima koji ne uključuju PCID učinak bio mnogo veći.
• Trenutno istraživači sigurnosti oni ne vjeruju da su ti neuspjesi iskorišteni izvoditi napade, barem one važne.
• Luke Wagner iz Mozille, inženjer specijaliziran za JavaScript i WebAssembly tvrdio je da su napravili PoC-ove i potvrđeno je da se napadi zasnovani na JavaScript-u mogu izvoditi putem preglednika. Stoga oni već rade na rješenjima ... Google također radi na ažuriranju Google Chromea, a 23. januara Chrome 64 će biti objavljen s izmjenama i dopunama. Trenutno možemo učiniti sljedeće:
  • Mozilla Firefox: Nema puno posla, oni su bili zaduženi za ažuriranje svojih verzija sa 57 modifikovanjem funkcije performance.now () i onemogućavanjem funkcije SharedArrayBuffer i rade na drugim sigurnosnim mjerama.
  • Google Chrome: u međuvremenu možete aktivirati zaštitne mehanizme za ručno izoliranje web stranica. Za to možete pristupiti adresi chrome: // flags / # enable-site-per-process i omogućujemo žuto označenu opciju Script Site Isolation. Ako imate Chrome na Androidu, ovoj opciji možete pristupiti i u aplikaciji hrom: // zastave ali to može dovesti do sukoba ili gubitka performansi.
• Zakrpe za rješavanje problema drugima uzrokuju veće performanse. Na primjer, u sustavu Windows postoje problemi s nekim antivirusima i oni se generiraju snimke plavog ekrana iz sukoba. Dakle, potreban vam je kompatibilni antivirus ...
• Google radi na ažuriranju koji će biti objavljen danas, 5. januara 2018. za Android, ali doseći će samo one telefone koji podržavaju OTA ažuriranja, prvi će biti Pixel 2, a ostalo će ovisiti o proizvođačima našeg terminala ...
• jabuka Također priprema zakrpe za iOS i macOS, ali trenutno nisu dali nikakve izjave ... Čini se da je u macOS High Sierra 10.13.2 problem očito riješen, ali čini se da će u verziji 10.13.3 biti više vijesti. Vidjet ćemo što rade s iOS-om za svoje iPhone i iPad uređaje.
• ARM Također nudi zakrpe za pogođene procesore, a zakrpe su sada dostupne za Linux kernel, kao i podsjećajući nas da koristimo ARM Trusted Firmware za dodatnu sigurnost.
• Vino i softver za virtualizaciju To su vrste softvera koji bi mogli imati više gubitaka u performansama u svom izvršavanju zbog broja syscallova neophodnih za njihovo izvršavanje.
• Ne pogađaju se samo računari i mobilni uređaji, kao i drugi uređaji kao što su povezani automobili, industrijski sistemi koji imaju SoC bazirane na pogođenim čipovima, kućna automatizacija, određeni IoT proizvodi, itd.
• NVIDIA je ažurirala svoje upravljačke programe za svoje GeGorce, Quadro i NVS modele, jer bi na njih mogao utjecati Spectre u njihovom kontroleru, zato su požurili da ažuriraju upravljačke programe. Ali to ne utječe na sam GPU ... to je jednostavno ažuriranje upravljačkog programa kako bi se izbjegli zloupotrebe u ranjivim sistemima, jer se pregledači, antivirusni i drugi softver takođe ažuriraju. Vijest o pogođenim GPU-ima je lažna ...
• Proširenje pogođenih arhitektura, Već znate da je Meltdown samo Intelov problem (i ARM i AMD nisu pogođeni zadovoljavajućim PoC-ovima), dok Spectre također utječe na:

• U međuvremenu Intel nastavlja s lansiranjem modela na pogođeno tržište a da niste popravili ništa izvan zakrpa. Da li biste danas kupili mikroprocesor za koji znate da je to pogođeno? Ne samo da se stariji modeli još uvijek prodaju na lageru, već i modeli koji su sada lansirani iz fabrike poput Coffe Lake ...
• Nastavit ćemo proširiti informacije i čekati zadnji sat, budući da je vjerovatno da će se pojaviti nove sigurnosne protumjere, a također je moguće da budu objavljene nove varijante koje bi mogle i dalje stvarati probleme ...

Kao što kažem sapunica je tek započela, i imam osjećaj da će biti napisano mnogo ovih vijesti koje su postale NAJVEĆI PROPUST SIGURNOSTI U POVIJESTI:

Ne zaboravite ostaviti komentare... Ako imate komentare za dodavanje, sumnje ili bilo što drugo.