ERILINE Meltdown ja Spectre: kõik, mida peate nende haavatavuste kohta teadma (UUENDATUD)

Eeldatakse, et umbes 20% uue kiibi loomiseks eraldatud ajutistest ja majanduslikest ressurssidest lähevad ise kavandamisele, ülejäänud aga palju aega ja raha kulub simulatsioonidele, katsetele ja katsetustele. veendumaks, et kõik töötab korralikult. Noh, tundub, et mõned tootjad pole oma toodetega asju päris õigesti teinud ja see on nii Inteli puhulNagu näeme, pole see ainus mõjutatud, kuid sellel on juba palju probleeme oma kiipidega, alates kuulsast ujukoma probleemist, läbi muude kiibikomplektide rikete kuni juhtimismootoris tuvastatud haavatavuseni ja nüüd see ...

Kõik suhtlusvõrgustikud ja meedia on üle ujutatud uudistega, mõned selle juhtumi osas on mõnevõrra vastuolulised, millest tuleb palju rääkida ja millest ma soovitan teil seebiooperi vaatamiseks teha korralik kauss popkorni, kuna see on alles alanud. Seega, et kasutajad, eriti Linuxi kasutajad, nii palju teavet ja teadmisi ei eksiks kuidas käituda ja millest nad lisaks kinni peavad teada, kas need on mõjutatud või mitte, avaldame selle artikli LxA-s.

Mis on Spectre ja Meltdown?

Tõenäoliselt on Rowhammeri probleem, mida me juba nägime, mõnevõrra tähtsusetu, võrreldes selle teise probleemi sügavusega. Kindlasti olete juba kuulnud kuulsaid nimesid, mis külvavad paanikat, ja needki on Meltdown ja Spectre. Need rünnakud, mis võivad meie julgeolekut tõsiselt kahjustada, kasutavad ära mõningaid funktsioone, näiteks tellimuseta täitmine ja spekulatiivne täitmine, mida rakendatakse jõudluse parandamiseks kõigis kaasaegsetes protsessorites. Selgitame, mis on igaüks osade kaupa:

• Meltdown: seda nimetatakse seetõttu, et see sulatab põhimõtteliselt riistvaraga kehtestatud rakenduste vahelised turvanõuded, ehkki MITERi infobaasis tuntakse seda kui CVE-2017-5754. See on avastatud probleemidest kõige tõsisem ja mõjutab konkreetselt viimase kümnendi jooksul välja antud Inteli protsessoreid. Selle haavatavuse tõttu võib privileegitu protsess pääseda juurde tuuma jaoks reserveeritud alale, mis on tõsine turbeprobleem. Näiteks võiks RAM-i mälu alad välja visata. Selle haavatavuse kõrvaldamiseks mõeldud plaastrid halvendavad jõudlust märkimisväärselt.
• Spekter: selle nimi seisneb selles, kui keeruline on seda lahendada, seetõttu jälgib see spektrina meid pikka aega. See ilmub mitmes variandis (CVE-2017-5753 ja CVE-2017-5717), mis võib olla tõsine, kuna see võib lubada protsessil tuuma "petta" teabe liikumiseks mälu tsoonidest, mida see protsess kontrollib, see tähendab Teisisõnu, see lõhub barjääri rakenduste vahel. Sel juhul mõjutab see küll rohkem mikroprotsessoreid, kuid seda saab parandada lihtsate tarkvaramuudatustega ja jõudluse kadu on praktiliselt null ...

See kõik käib Meltdowni ja Spectre'i kohta, mida on selgitatud lihtsal viisil ja ilma väga tehnilist keelt kasutamata, et kõik aru saaksid. Lõppkokkuvõttes oleme näinud seda, et Meltdown ja Spectre pääsevad juurde töötavate programmide mällu salvestatud andmetele ning see koos ärakasutamise ja pahatahtliku koodiga on oht. Kuidas see mind võib mõjutada? Noh, vastus on ka lihtne, sest nad saavad seda lubada muuta andmeid, filtreerida paroole ja konfidentsiaalseid andmeid, fotosid, e-kirju, vormiandmeid jne.. Seetõttu on see suur julgeolekuprobleem, ilmselt üks viimase aja suurimaid.

Linus Torvalds on rääkinud

Linus Torvalds, NVIDIA looja Fuck you! nüüd näib, et ta on Inteli äratanud nende tehtud tohutu vea pärast. Ja arutelulõngades probleemi kohta, mis on jäänud Linuxi tuuma mõjutamise tõttu, pole looja esimesi sõnu oodatud:

Miks on see kõik ilma seadistamisvõimalusteta? Pädev protsessori insener lahendaks selle, veendudes, et spekuleerimine ei läbiks kaitsevaldkondi. [...] Ma arvan, et INtel peab heitma pilgu nende protsessoritele ja tõepoolest tunnistama, et neil on probleeme selle asemel, et kirjutada PR-moesõna, öeldes, et kõik töötab nii, nagu on kavandatud. (Viidates Inteli avaldustele). ...ja see tähendab tegelikult seda, et kõik need probleemide leevendamiseks mõeldud plaastrid tuleks kirjutada "mitte kõik protsessorid pole prügi" silmas pidades.. (Viidates sellele, et plaaster on rakendatud ja mõjutab kõiki x86-64 mikroprotsessoreid, sealhulgas AMD-d, hoolimata sellest, et seda ei mõjuta tulemuste toimivuse vähenemine), või ütleb Intel põhimõtteliselt, et "oleme pühendunud müüma teile pask igavesti ja igavesti, mitte kunagi midagi parandamata"? […] Sest kui see nii on, peaksime võib-olla hakkama rohkem ARM64 inimeste poole vaatama (viidates sellele, kas Intel kavatseb probleemi lahendada või jätkata probleemtoodete müümist). Palun rääkige juhtkonnaga. Sest ma näen tõesti kahte võimalust:

1. Intel ei väida kunagi midagi parandavat.
2. Või on nendel lahendustel viis puudega.

Deklaratsioonid viitavad koodile paigaldatud plaaster kahjustab tõsiselt jõudlust Protsessor ja mõjutab kõiki selle perekonna protsessoreid, olenemata sellest, kas haavatavus neid mõjutab või mitte. Seetõttu on AMD näidanud, et nad töötavad selle nimel, et vältida nende mikroprotsessorite plaastri jõudluse kadumist, kuna need ei mõjuta neid.

Milliseid protsessoreid see mõjutab?

Sellest ajast alates on see miljoni dollari küsimus mitte ainult ei mõjuta Linuxit kaugel sellest, See on kiibiprobleem ja mõjutab seetõttu nii macOS-i, Windowsi, Androidi kui isegi iOS-i jne. Seetõttu pole see midagi konkreetset ja nüüd näeme, milliseid kiipe see disainiprobleem mõjutab:

Meltdowni mõjutatud mikroprotsessorid:

Praktiliselt kõik Inteli mikroprotsessorid, mis on toodetud alates 1995. aastast Siiani on see tõsine probleem neid mõjutanud, kuna see kasutab rakenduse ärahoidmiseks korrast ära. See tähendab, et neid protsessoreid kasutavad sülearvutid, lauaarvutid, serverid ja superarvutid ning isegi mõned Atomi kiipidega mobiilseadmed. Erandiks on Inteli aatomid, mis kasutavad järjekorras täitmist (need, mis ilmusid enne 2013. aastat, kuna kõige kaasaegsemad aatomid kasutavad OoOE-d) ja ka Intel Itanium, mida kellelgi kodus pole, kuna need on mõeldud suurte masinate jaoks.

*VIIMASE HETKE: ARM Cortex-A75 mõjutab ka Meltdown. Praegu näib see olevat mõjutatud ainult sellest mudelist, kuid teate juba, et ARM litsentsib IP-südamikke teistele SoC-i disaineritele ja kui neil on Cortex-A75, mõjutatakse ka neid. Kuid tundub, et antud juhul on mõju minimaalne ...

osa AMD ja ARM-põhised mikroprotsessorid (Qualcomm, Samsung, Apple, Mediatek jne) see probleem ei mõjuta. Kui teil on üks neist kiibidest saate kergelt hingata… See on põhjustanud Inteli aktsiate müümise ja nende kukkumise aktsiaturul samal ajal, kui AMD on suurenenud. Põhjus on see, et AMD ei luba seda tüüpi mäluviiteid, sealhulgas spekulatiivseid viiteid, seetõttu on need Meltdowni jaoks haavatavad.

Spektrist mõjutatud mikroprotsessorid:

Sel juhul mõjutatud seadmete ja kiipide arvu laiendatakse, kuna näeme ka seda, kuidas tahvelarvutid, nutitelefonid, lauaarvutid, sülearvutid, serverid, superarvutid jne. on mõjutatud. Sel juhul on mõjutatud Inteli kiibid, kõik need ARM Cortex-A ja AMD-d.

* ARM-i puhul mõjutab see paljusid SoC-sid, mis rakendavad modifitseeritud kujundusi või ARM-i IP-südamikke, näiteks Qualcomm Snapdragon, Samsung Exynox, Apple A-Series, Mediatek, NVIDIA (ma ei pea silmas GPU-sid, vaid ARM-põhised SoC-d) jne.

*** Mõned meediumid on uudised segi ajanud, kuid GPU-sid see ei mõjuta (vt UUENDAMINE (viimane hetk)).

** Nüüd läheme AMD juhtumi juurde. CPU disaineri ametlikul veebisaidil näeme tabelit, mis viib meid optimismi ja jätab meid mõnevõrra rahulikumaks:

AMD disainierinevused väldivad Meltdowni tekitatud probleeme, kuna need protsessorid ei spekuleeri kasutajakoodide laadimist otse kernelmällu. Ja AMD ASID blokeerib ka külalistega virtuaalseadmete ja juurkasutajate probleeme.

Mikroprotsessorid, mida Spectre ei mõjuta:

Selles mikroprotsessorite loendis ei ole selliseid haavatavusi nagu Spectre, kuna nende juhendamiskanal on rangem ja korrektselt tehtud (need pole OoOE mikroarhitektuurid) või kuna need sisaldavad omadused, mis muudavad nad immuunsekss. Mõni võib tunduda väga vana, kuid teine ​​on üsna moodne, nagu see on SPARC ja AMD Zen. Nii et kui teil on järgmises loendis olev protsessor, ei pea te millegi pärast muretsema:

• Tugev
• superSPARC
• Transmeta Crusoe ja Efficeon
• Power PC 603
• Vana x86: Pentium I ja kloonid, kõik vanad 8- ja 16-bitised kiibid, IDT WinChip, VIA C3, 386 ja kloonid, 486 ja kloonid
• z80
• 6500 jms
• 68k
• ARM Cortex-A7 MPCore (Raspberry Pi 2)
• ARM Cortex-A5
• ARM Cortex-A53 MPCore, kuigi see on eelmistest erinev ja hargnenud, ei näi seda mõjutavat. Siia kuuluvad Raspberry Pi 3 ning mõned nutitelefonid ja tahvelarvutid, näiteks Qualcomm Snapdragon 625 ...
• Intel Atom enne 2013. aastat, st need, mis põhinevad mikroarhitektuuridel nagu Diamondville, Silverthorne, Pineview jne, kuna nad ei kasuta tellimusevälist käivitamist.
• VIA C7 kasutab haru ennustamise põhiskeemi, kuid neid see ei mõjuta.
• Intel Itanium (IA-64)
• IBM POWER6-l on piiratud haru ennustus, nii et see näib olevat haavamatu.
• Xeon Phi ja GPGPU-d
• SPARC T-seeria
• AMD Zen: Ryzeni ja EPyC mikroprotsessoritel on huvitavad funktsioonid, et nad saaksid Spectre'i katkestada või olla haavamatud. See konfiguratsioon, millest ma räägin, on SME / SEV (Secure Memory Encryption & Secure Encrypted Virtualization), mis väldiks mälu taastamist, mis võib süsteemi ja virtualiseerimiskeskkondi kahjustada.

Mis on lahendus?

aplicar plaastreid või värskendage meie süsteemimis iganes see on, ja koos Plaastrid Meil on võimalik jõudluse kaotus, mille täpsustame viimases punktis, kuid vähemalt turvalisuse tasemel oleme mõnevõrra kaitstud. Oletame, et Linuxi ja muude operatsioonisüsteemide jaoks on Meltdowni vastu juba paiku. Halvim on Android-seadmete osas, kõigil neist pole OTA-värskendusi ...

Sa näed más información selle kohta nendel linkidel:

• Linuxi kerneli meililist
• Xeni projekt
• Intel
• AMD
• ARM
• Google
• Mozilla
• Debian
• Ubuntu
• SUSE
• Red Hat
• CERT
• VMWare
• Citrix

Mis on jõudluse kadu?

Me kohtusime kaks võimalikku lahendust:

1. Tarkvara järgi: See hõlmab MacOSi, Linuxi, Windowsi, iOS-i ja Android-i operatsioonisüsteemide paranduste juurutamist, kuid kahjuks ei lahenda need mitte ainult turbeprobleeme, vaid muudavad meie süsteemi aeglasemaks, kuna need mõjutavad seda täitmist korrast ära, spekulatiivne täitmine või meie protsessori TLB kustutamine üsna märkimisväärse jõudluskaotusega. Mõni rääkis meie protsessori kuni 50% väiksemast jõudlusest, teised vähem negatiivsed ennustused räägivad vahemikus 5–30% kaotatud jõudlusest, sõltuvalt meie kasutatava tarkvara tüübist. Mõni üritab häiret rahustada ja väidab, et mõned testitud videomängud on FPS-i jõudluses kaotanud ainult 2% (ainult Linuxi puhul pole Windowsis neid analüüsitud), juba see videomängudes palub mäng harva kerneliruumi hüpata, kuid mis juhtub teiste programmide ja tarkvaraga, mille koodil on palju tingimustest sõltuvaid juhiseid ... Siin võib jõudluskaotus olla märkimisväärne. Tõsi on see, et mõned, näiteks Intel ja muud veebisaidid, on püüdnud kasutajaid rahustada ja öelda, et jõudluskaod ei ole enamiku kodukasutajate jaoks märgatavad ja see on probleem, mis mõjutab andmekeskusi, servereid ja superarvuteid. kas me usume? Tõde on see, et peate jääma rahulikuks ja ootama, et näha, mis juhtub.
2. Riistvara järgi: See hõlmab praeguste kiipide ülevaatamist ja praeguste mikroarhitektuuride ümberkujundamist, et seda ei juhtuks, mis on aeganõudev, väga kallis ja me ei saa lahendusi niipea oodata. Mis puudutab Inteli otsustamist asendada kõigi oma mõjutatud klientide kiibid, siis arvan, et selgeim vastus on: hahaha, oota istudes. See tähendaks ettevõttele mitme miljoni dollari suurust kahjumit ja ma ei usu, et see juhtub.

Toimivuse vähenemist ei tunneta ilmselgelt kõigi kasutusviiside ja kõigi protsessorite mudelite puhul ühtemoodi, seega on mudeleid, mida see mõjutab rohkem kui teisi. Ja ongi suurepärane lits makske viimase põlvkonna kiibi eest ja vaadake, et ühe sellise plaastri puhul ei saa te selle jõudlust 100% -ni ära kasutada, kuid see on see, mis on siis, kui mõned ei tee oma tööd hästi.

Suured andmekeskused, näiteks Amazoni veebiteenus, Microsoft Azure ja ka Google Cloud Selle probleemi tõttu on Inteli mikroprotsessorite kasutamisel oma serverites hinnanguliselt jõudluskaod umbes 20% nendel juhtudel, kui käideldakse SQL-i andmebaasidega. Samuti on tõsi, et teised nagu Google ütlevad, et jõudluse kadu on tühine.

UUENDAMINE (viimane tund):

Tundide möödudes õpime selle juhtumi kohta uusi asju:

• Üks neist on kohtuasi Inteli vastu seda pole pandud ootama. Täpsemalt on kiibihiiglane saanud USA-lt kolm ja võib-olla tuleb neid juurde. California, Indiana ja Oregoni kohtud on esimesed, kes süüdistuste järgi tegutsevad, kuna ei suuda õigeaegselt avastada haavatavuste olemasolu, aeglustavad nende protsessoreid värskenduste abil ja ei kaitse kasutajate turvalisust.
• Inteli aktsiad langevad, samal ajal kui AMD-d taastuvad, ja see on näidanud ka tegevust, mis oleks jäänud märkamata, kui seda poleks juhtunud. Ja kas see on Inteli tegevjuht on müünud ​​peaaegu pooled oma aktsiatest kuu jooksul vahetult enne turvarikkumise avastamist. Brian Krzanich on oma aktsiad müünud ​​ja ehkki nad ütlevad ettevõttelt, et sel pole uudistega midagi pistmist, võib see arvata, et nad olid väidetavalt juba varem probleemist teadlikud ja seetõttu nad ka vastavalt tegutsesid.
• Ilmuvad uued probleemidest mõjutatud arhitektuuridKuigi need pole nii laialt levinud, on need serverites ja superarvutites olulised. Räägime IBM POWER8-st (Little Endian ja Big Endian), IBM System Z-st, IBM POWER9-st (Little Endian) ja näeme, kas peame loendit varsti laiendama.
• El Linuxi tuum on ümber kujundatud parandatud, et vältida suurte andmekeskuste, serverite ja sellest sõltuvate suurte süsteemide tõsist kahjustamist. Täpsemalt on puudutatud KPTI-d (kerneli lehe tabeli isoleerimine), mis varem oli tuntud kui KAISER või kõnekeeles FUCKWIT (sundmööda täielik kernel katkestavate batuutidega), mis isoleerib paremini kasutaja ruumi mälus olevast tuumaruumist, jagades sisu kaks otsingutabelit eraldi. Laua lõhestamine puhastab pidevalt TLB vahemälu koos sellega kaasnevate tõrgete suurenemisega ja vajadusega mälust andmete ja juhiste otsimiseks rohkem taktsükleid, see tähendab, et see vähendab jõudlust märkimisväärselt ja sõltuvalt programmi tehtud kõnedest mõjutab see enam-vähem, kuid vähemalt vältida Meltdowni õhkimist. Mõned proaktiivsed kaitsemehhanismid, näiteks ASLR, on lisatud ja neid on rakendatud Linuxi 4.14.11 ja teistes varasemates LTS-i versioonides: 4.9.74, 4.4.109, 3.16.52, 3.18.91 ja 3.2.97.
• Toimivuskaotuse hinnangud praegused räägivad jõudluse 5-protsendilisest vähenemisest vastavalt Linus Torvaldsi kommentaaridele, kuid ta ütleb ka, et mõnevõrra vanemates protsessorites, mis PCID-d ei sisalda, oleks mõju palju suurem.
• Praegu turvauurijad nad ei usu, et neid ebaõnnestumisi on ära kasutatud rünnakute sooritamiseks, vähemalt oluline.
• Luke Wagner Mozillast, JavaScripti ja WebAssembleeni insener on väitnud, et nad on PoC-sid teinud ja on kinnitatud, et JavaScripti-põhiseid rünnakuid saab teha brauserite kaudu. Seetõttu töötavad nad juba lahenduste kallal ... Google töötab ka Google Chrome'i värskendamise nimel ja 23. jaanuaril avaldatakse muudatusega ka Chrome 64. Praegu saame teha järgmist:
  • Mozilla Firefox: Palju pole teha, nad on vastutanud oma versioonide värskendamise eest alates 57. aastast, muutes funktsiooni performance.now () ja keelates funktsiooni SharedArrayBuffer ning töötavad muude turvameetmetega.
  • Google Chrome: vahepeal saate veebisaitide käsitsi isoleerimiseks aktiveerida kaitsemehhanisme. Selleks pääsete juurde aadressile chrome: // flags / # enable-site-per-process ja lubame kollasega tähistatud valiku, mis ütleb skripti saidi eraldamine. Kui teil on Androidis Chrome, saate sellele valikule juurde pääseda ka chrome: // lipud kuid see võib põhjustada konflikte või jõudluse kaotust.
• Plaastrid probleemide lahendamiseks põhjustavad teisi jõudlusest kaugemale. Näiteks Windowsis on mõne viirusetõrjega probleeme ja need luuakse sinised ekraanipildid konfliktist. Nii et vajate ühilduvat viirusetõrjet ...
• Google töötab värskenduse kallal mis avaldatakse täna Androidile 5. jaanuaril 2018, kuid see jõuab ainult nendesse telefonidesse, mis toetavad OTA värskendusi, esimene on Pixel 2 ja ülejäänud sõltub meie terminali tootjatest ...
• õun See valmistab ette ka iOS-i ja macOS-i plaastreid, kuid nad pole praegu ühtegi avaldust teinud ... Tundub, et macOS High Sierra 10.13.2-s on probleem ilmselt lahendatud, kuid tundub, et versioonis 10.13.3 on rohkem uudiseid. Näeme, mida nad teevad iOS-iga oma iPhone'i ja iPadi jaoks.
• ARM Samuti pakub see plaastreid mõjutatud protsessoritele ja nüüd on Linuxi kerneli jaoks saadaval ka plaastrid, samuti tuletatakse meile meelde, et turvalisuse tagamiseks tuleks kasutada ARM Trusted Firmware'i.
• Veini- ja virtualiseerimistarkvara Need on tarkvara tüübid, mille rakendamisel võib olla suurem jõudluskaotus, kuna nende käivitamiseks vajalik arv süsteemikõnesid.
• Mõjutatud pole ainult arvutid ja mobiilseadmed, ka muud seadmed, nagu ühendatud autod, tööstussüsteemid, millel on mõjutatud kiipidel põhinevad SoC-d, koduautomaatika, teatud asjade Interneti-tooted jne.
• NVIDIA on oma draivereid värskendanud nende GeGorce, Quadro ja NVS mudelite jaoks, kuna nende kontroller võib Spectre mõjutada, nii et nad on draivereid värskendanud kiiresti. Kuid see ei mõjuta GPU-d ennast ... see on lihtne draiveri värskendus, et vältida haavatavates süsteemides kasutamist, kuna värskendatakse ka brausereid, viirusetõrjet ja muud tarkvara. Uudised mõjutatud graafikaprotsessoritest on valed ...
• Mõjutatud arhitektuuride laiendamine, Te juba teate, et Meltdown on ainult Inteli probleem (rahuldavalt tehtud PoC-de puhul pole see mõjutanud nii ARM-i kui ka AMD-d), samas kui Spectre mõjutab ka järgmist:

• Vahepeal jätkab Intel mõjutatud mudelite turule toomist ilma plaastritest kaugemale kinnitamata. Kas ostaksite täna mikroprotsessori, mida teate, et see on mõjutatud? Laos ei müüda mitte ainult vanemaid mudeleid, vaid ka nüüd turule toodud mudeleid, mis on just vabrikust lahkunud nagu Coffe Lake ...
• Jätkame viimase tunni teabe ja ooteloleku laiendamist, kuna on tõenäoline, et ilmnevad uued turvalisuse vastumeetmed ja on ka võimalik, et ilmub uusi variante, mis võivad jätkuvalt probleeme tekitada ...

Nagu ma ütlen seebiooper on alles alanudja mul on tunne, et kirjutatakse palju neid uudiseid, millest on saanud AJALUGU KÕIGE SUUREM TURVALISUS:

Ärge unustage oma kommentaare jätta… Kui teil on kommentaare, kahtlusi või mida iganes.