SPECIAL Meltdown and Specter: tout ce que vous devez savoir sur ces vulnérabilités (MISE À JOUR)

On suppose qu'environ 20% des ressources temporaires et économiques allouées à la création d'une nouvelle puce vont à la conception elle-même, tandis que le reste, c'est-à-dire beaucoup de temps et d'argent, va à des simulations, des tests et des tests effectués pour vérifier que tout fonctionne correctement. Eh bien, il semble que certains fabricants n'ont pas fait les choses correctement avec leurs produits, et c'est le cas d'IntelComme nous le verrons, il n'est pas le seul touché, mais il a déjà un grand nombre de problèmes avec ses puces, du fameux problème de virgule flottante, en passant par d'autres pannes dans ses chipsets, à la vulnérabilité également détectée dans le Management Engine, et maintenant ça ...

Tous les réseaux sociaux et médias ont été inondés d'actualités, certaines quelque peu contradictoires sur cette affaire qui va donner beaucoup à parler et dont je vous conseille de faire un bon bol de pop-corn pour regarder le feuilleton, puisque cela ne fait que commencé. Par conséquent, pour que les utilisateurs, en particulier ceux de Linux, ne se perdent pas avec autant d'informations et sachent comment agir et à quoi adhèrent-ils, en plus de savoir s'ils sont touchés ou non, nous allons publier cet article dans LxA.

Qu'est-ce que Spectre et Meltdown?

Le problème de Rowhammer que nous avons déjà vu est probablement un peu insignifiant par rapport à la profondeur de cet autre problème. Vous avez sûrement déjà entendu les noms célèbres qui sèment la panique, et ce sont Meltdown et Spectre. Ces attaques qui peuvent sérieusement compromettre notre sécurité tirent parti de certaines fonctionnalités telles que l'exécution dans le désordre et l'exécution spéculative qui sont implémentées dans tous les processeurs contemporains pour améliorer les performances. Nous allons expliquer ce que chacun est en parties:

• Meltdown: il est ainsi appelé parce qu'il fait fondre les limites de sécurité entre les applications qui sont imposées par le matériel, bien que dans la base d'informations MITRE, il soit connu sous le nom de CVE-2017-5754. C'est le plus grave des problèmes qui ont été détectés et affecte spécifiquement les processeurs Intel sortis au cours de la dernière décennie. En raison de cette vulnérabilité, un processus non privilégié pourrait accéder à une zone réservée en mémoire pour le noyau, ce qui est un problème de sécurité sérieux. Par exemple, des zones de la mémoire RAM pourraient être vidées. Les correctifs pour remédier à cette vulnérabilité dégradent considérablement les performances.
• Spectre: son nom réside dans la complexité de sa résolution, donc en tant que spectre, il nous suivra pendant un certain temps. Il apparaît dans quelques variantes (CVE-2017-5753 et CVE-2017-5717), étant potentiellement sérieux, car il peut permettre à un processus de «tromper» le noyau en déplaçant des informations à partir des zones de mémoire que ce processus contrôle, c'est-à-dire En d'autres termes, il brise la barrière entre les applications. Dans ce cas, cela affecte plus de microprocesseurs, mais il peut être corrigé avec de simples modifications logicielles et la perte de performances est pratiquement nulle ...

Tout est à propos de Meltdown et Spectre expliqué de manière simple et sans utiliser de langage très technique pour que tout le monde comprenne. En fin de compte, ce que nous avons vu, c'est que Meltdown et Spectre peuvent accéder aux données stockées dans la mémoire des programmes en cours d'exécution et cela avec des exploits et du code malveillant est une menace. Maintenant, comment cela peut-il m'affecter? Eh bien, la réponse est simple aussi, puisqu'ils peuvent permettre modifier les données, filtrer les mots de passe et les données confidentielles, les photos, les e-mails, les données de formulaire, etc.. C'est donc un gros problème de sécurité, probablement l'un des plus importants de ces derniers temps.

Linus Torvalds a parlé

Linus Torvalds, le créateur de NVIDIA Fuck you! maintenant, il semble qu'il ait donné à Intel un signal d'alarme pour l'énorme erreur qu'ils ont commise. Et dans les fils de discussion sur le problème resté en raison de l'affectation du noyau Linux, les premiers mots du créateur n'ont pas été faits attendre:

Pourquoi tout cela sans options de configuration? Un ingénieur CPU compétent résoudrait ce problème en s'assurant que la spéculation ne passe pas par des domaines de protection. […] Je pense qu'INtel doit jeter un œil à leurs processeurs, et admettre vraiment qu'ils ont des problèmes au lieu d'écrire un buzz de relations publiques en disant que tout fonctionne comme ils l'ont conçu. (En référence aux déclarations d'Intel). ...et cela signifie vraiment que tous ces correctifs pour atténuer le problème doivent être écrits en gardant à l'esprit «tous les processeurs ne sont pas des déchets».. (En référence au correctif appliqué et affectant tous les microprocesseurs x86-64, y compris AMD, bien qu'il ne soit pas affecté par une perte de performances conséquente) Ou est-ce qu'Intel dit fondamentalement `` nous nous engageons à vous vendre de la merde pour toujours et pour toujours, sans jamais rien réparer ''? […] Parce que si c'est le cas, peut-être devrions-nous commencer à regarder plus du côté des ARM64 (en référence à savoir si Intel va résoudre le problème ou continuer à vendre des produits problématiques). Veuillez parler à la direction. Parce que je vois vraiment exactement deux possibilités:

1. Intel ne prétend jamais rien réparer.
2. Ou ces solutions ont une manière d'être désactivées.

Les déclarations renvoient au code de la le patch appliqué nuit gravement aux performances CPU et affectent tous les processeurs de cette famille, qu'ils soient ou non affectés par la vulnérabilité. C'est pourquoi AMD a indiqué qu'elle s'efforçait d'éviter que ses microprocesseurs subissent également la perte de performances du patch puisqu'ils ne sont pas affectés.

Quels processeurs cela affecte-t-il?

C'est la question à un million de dollars, puisque n'affecte pas seulement Linux loin de làC'est un problème de puce et affecte donc à la fois macOS, Windows, Android et même iOS, etc. Par conséquent, ce n'est pas quelque chose de spécifique, et maintenant nous allons voir quelles puces sont affectées par ce problème de conception:

Microprocesseurs affectés par Meltdown:

Pratiquement tous les microprocesseurs Intel fabriqués depuis 1995 Jusqu'à présent, ils sont touchés par ce grave problème, car il profite de l'exécution dans le désordre pour en profiter. Cela signifie des ordinateurs portables, des ordinateurs de bureau, des serveurs et des supercalculateurs utilisant ces processeurs, et même certains appareils mobiles avec des puces Atom, etc. Les exceptions sont les Intel Atoms qui utilisent une exécution dans l'ordre (ceux qui sont sortis avant 2013, puisque les atomes les plus modernes utilisent OoOE) et aussi l'Intel Itanium que personne n'en aura à la maison puisqu'ils sont destinés aux grosses machines.

*DERNIÈRE HEURE: ARM Cortex-A75 est également affecté par Meltdown. Pour le moment, seul ce modèle semble être affecté, mais vous savez déjà que ARM octroie des licences de cœurs IP pour d'autres concepteurs de SoC et s'ils ont un Cortex-A75, ils seront également affectés. Mais il semble que l'effet soit minime dans ce cas ...

Les Microprocesseurs AMD et ARM (Qualcomm, Samsung, Apple, Mediatek, etc.) ne sont pas concernés par ce problème. Si vous possédez une de ces puces tu peux respirer facilement… Cela a provoqué la vente d'actions d'Intel et leur chute sur le marché boursier d'une manière retentissante en même temps que les AMD ont augmenté. La raison en est qu'AMD n'autorise pas les références mémoire de ce type, y compris les références spéculatives, elles sont donc invulnérables à Meltdown.

Microprocesseurs affectés par le spectre:

Dans ce cas, le nombre d'appareils et de puces affectés est augmenté, puisque nous voyons aussi comment les tablettes, les smartphones, les ordinateurs de bureau, les ordinateurs portables, les serveurs, les supercalculateurs, etc. sont affectés. Dans ce cas, les puces Intel sont affectées, tous ces ARM Cortex-A et AMD pourraient également être affectés.

* Dans le cas d'ARM, cela affecte un grand nombre de SoC qui implémentent des conceptions modifiées ou des cœurs IP ARM à l'intérieur tels que ceux de Qualcomm Snapdragon, Samsung Exynox, Apple A-Series, Mediatek, NVIDIA (je ne parle pas de GPU, mais de SoC basés sur ARM), etc.

*** Certains médias ont confondu l'actualité, mais les GPU ne sont pas affectés (voir MISE À JOUR (dernière minute)).

** Passons maintenant au cas d'AMD, sur le site officiel du concepteur de CPU, nous pouvons voir un tableau qui nous conduit à l'optimisme et nous laisse un peu plus calme:

Les différences dans la conception d'AMD évitent les problèmes causés par Meltdown, car ces processeurs ne spéculent pas sur les charges de code utilisateur directement dans la mémoire du noyau. Et l'ASID AMD bloque également les problèmes pour les machines virtuelles invitées et les utilisateurs root sur ces derniers.

Microprocesseurs NON affectés par Spectre:

Cette liste de microprocesseurs est exempte de vulnérabilités comme Spectre car leur canal d'instruction est plus rigoureux et se fait dans l'ordre (ce ne sont pas des microarchitectures OoOE) ou parce qu'ils incluent caractéristiques qui les rendent immunitairess. Certains peuvent sembler très vieux, mais d'autres sont assez modernes comme c'est le cas avec SPARC et l'AMD Zen. Donc, si vous avez un processeur qui figure dans la liste suivante, vous n'avez à vous soucier de rien:

• Bras fort
• Super SPARC
• Transmeta Crusoe et Efficeon
• Power PC 603
• Ancien x86: Pentium I et clones, toutes les anciennes puces 8 bits et 16 bits, IDT WinChip, VIA C3, 386 et clones, 486 et clones
• z80
• 6500 et similaires
• 68K
• ARM Cortex-A7 MPCore (Raspberry Pi 2)
• ARM Cortex-A5
• ARM Cortex-A53 MPCore bien qu'il ait une exécution différente des précédentes et avec la fourche, il ne semble pas être affecté. Ceux du Raspberry Pi 3 et de certains smartphones et tablettes comme le Qualcomm Snapdragon 625 sont inclus ici ...
• Intel Atom avant 2013, c'est-à-dire ceux basés sur des microarchitectures telles que Diamondville, Silverthorne, Pineview, etc., car ils n'utilisent pas une exécution dans le désordre.
• VIA C7 utilise un schéma de prédiction de branchement de base mais ils ne sont pas affectés.
• Intel Itanium (IA-64)
• IBM POWER6 a une prédiction de branche limitée et semble donc invulnérable.
• Xeon Phi et GPGPU
• Série SPARC T
• AMD Zen: Les microprocesseurs Ryzen et EPyC ont des fonctions intéressantes pour pouvoir interrompre ou être invulnérable à Spectre. Cette configuration dont je parle est SME / SEV (Secure Memory Encryption & Secure Encrypted Virtualization) qui éviterait toute récupération de mémoire qui pourrait compromettre le système et les environnements de virtualisation.

Qui est la solution?

Appliquer patchs ou mettre à jour notre système, quoi que ce soit, et avec Les patchs Nous aurons une possible perte de performance que nous clarifierons de quoi il s'agit dans le dernier point, mais au moins au niveau de la sécurité nous serons un peu plus protégés. Disons qu'il existe déjà des correctifs contre Meltdown pour Linux et d'autres systèmes d'exploitation. Le pire, c'est en ce qui concerne les appareils Android, tous n'ont pas de mises à jour OTA ...

Tu peux voir plus d'informations à ce sujet dans ces liens:

• Liste de diffusion du noyau Linux
• Projet Xen
• Intel
• AMD
• BRAS
• Google
• Mozilla
• Debian
• Ubuntu
• SUSE
• Red Hat
• CERT
• VMware
• Citrix

Quelle est la perte de performance?

Nous avons rencontré deux solutions possibles:

1. Par logiciel: Cela implique la mise en œuvre de correctifs pour les systèmes d'exploitation macOS, Linux, Windows, iOS et Android, mais ceux-ci malheureusement non seulement résolvent le problème de sécurité, mais rendront notre système plus lent en raison de la façon dont ils affectent cette exécution dans le désordre, l'exécution spéculative ou la suppression du TLB de notre CPU avec des pertes de performances assez notables. Certains parlent de jusqu'à 50% de performances en moins dans notre CPU, d'autres prédictions moins négatives parlent de 5 à 30% de perte de performances en fonction du type de logiciel que nous exécutons. Certains tentent de calmer l'alarme et allèguent que certains jeux vidéo qui ont été testés n'ont donné qu'une perte de 2% de performances en termes de FPS (uniquement dans le cas de Linux, sous Windows ils n'ont pas été analysés), déjà que dans les jeux vidéo, le jeu demande rarement à sauter dans l'espace du noyau, mais que se passe-t-il avec d'autres programmes et avec des logiciels dont le code a de nombreuses instructions dépendant des conditions ...? Ici, la perte de performance peut être considérable. Ce qui est vrai, c'est que certains comme Intel et d'autres sites Web ont essayé de calmer les utilisateurs et disent que les pertes de performances ne seront pas perceptibles pour la plupart des utilisateurs à domicile et que c'est un problème qui affectera les centres de données, les serveurs, etc. et les supercalculateurs ... croyons-nous aux prévisions? La vérité est que vous devez rester calme et attendre de voir ce qui se passe.
2. Par matériel: Cela implique une révision des puces actuelles et une refonte des microarchitectures actuelles pour que cela ne se produise pas, ce qui prend du temps, très cher, et nous ne pouvons pas attendre de solutions bientôt. Quant à Intel qui décide de remplacer les puces de tous ses clients concernés, je pense que la réponse la plus claire est: hahaha, attendez assis. Cela signifierait des pertes de plusieurs millions de dollars pour l'entreprise et je ne pense pas que cela se produira.

Les pertes de performances ne se feront pas sentir dans toutes les utilisations et tous les modèles de CPU de la même manière, évidemment, il y aura donc des modèles plus affectés que d'autres. Et c'est une super salope payer pour une puce de nouvelle génération et voir que pour l'un de ces correctifs, vous ne pouvez pas exploiter ses performances à 100%, mais c'est ce qu'il y a quand certains ne font pas bien leur travail.

Grands centres de données tels que ceux de Amazon Web Service, Microsoft Azure et aussi Google Cloud En raison de ce problème, lors de l'utilisation de microprocesseurs Intel dans leurs serveurs, les pertes de performances sont estimées à environ 20% dans les cas où les bases de données SQL sont gérées. Il est également vrai que d'autres comme Google disent que la perte de performances est négligeable.

MISE À JOUR (Dernière heure):

Au fil des heures, nous apprenons de nouvelles choses sur cette affaire:

• L'un d'eux est le poursuite contre Intel cela n'a pas été fait attendre. Plus précisément, le géant des puces en a reçu trois des États-Unis et peut-être d'autres viendront. Les tribunaux de Californie, de l'Indiana et de l'Oregon ont été les premiers à donner suite à des accusations de non-révélation de l'existence de vulnérabilités à temps, de ralentissement de leurs processeurs grâce à des mises à jour et de ne pas protéger la sécurité des utilisateurs.
• Les actions d'Intel chutent alors que celles d'AMD rebondissent, ce qui a également révélé une action qui serait passée inaperçue si cela ne s'était pas produit. Et est-ce que Le PDG d'Intel a vendu près de la moitié de ses actions dans un mois juste avant que la faille de sécurité ne soit révélée. Brian Krzanich a cédé ses actions et cela, bien qu'ils disent de la société que cela n'a rien à voir avec l'actualité, pourrait laisser penser qu'ils étaient censés déjà connaître le problème avant et c'est pourquoi ils ont agi en conséquence.
• Apparaître nouvelles architectures affectées par le problèmeBien qu'ils ne soient pas si répandus, ils sont importants dans les serveurs et les supercalculateurs. Nous parlons d'IBM POWER8 (Little Endian et Big Endian), d'IBM System Z, d'IBM POWER9 (Little Endian) et nous verrons si nous devons bientôt élargir la liste.
• El Le noyau Linux a été repensé corrigé pour empêcher les grands centres de données, les serveurs et les grands systèmes qui en dépendent d'être gravement affectés. Plus précisément, le KPTI (Kernel Page Table Isolation) a été touché, qui était auparavant connu sous le nom de KAISER ou familièrement FUCKWIT (Forcefully Unmap Complete Kernel With Interrupt Trampolines), qui isole mieux l'espace utilisateur de l'espace noyau en mémoire en divisant le contenu en deux tables de pagination séparément. Fendre la table purge constamment le Cache TLB avec l'augmentation conséquente des défauts et le besoin de plus de cycles d'horloge pour rechercher des données et des instructions en mémoire, c'est-à-dire que cela diminue considérablement les performances et en fonction des appels système qu'un programme fait, cela affectera plus ou moins, mais à le moins à éviter Meltdown est explosé. Certaines défenses proactives telles que ASLR ont été ajoutées et ont été implémentées dans Linux 4.14.11 et d'autres versions LTS précédentes: 4.9.74, 4.4.109, 3.16.52, 3.18.91 et 3.2.97.
• Estimations des pertes de performances les plus actuels parlent d'une perte de performance de 5% selon ce que Linus Torvalds a commenté, mais il dit également que dans des processeurs un peu plus anciens qui n'incluent pas de PCID, l'impact serait beaucoup plus grand.
• À l'heure actuelle, les chercheurs en sécurité ils ne croient pas que ces échecs ont été exploités pour effectuer des attaques, au moins importantes.
• Luke Wagner de Mozilla, un ingénieur spécialisé dans JavaScript et WebAssembly a affirmé avoir créé des PoC et il est confirmé que les attaques basées sur JavaScript peuvent être effectuées via des navigateurs. Par conséquent, ils travaillent déjà sur des solutions ... Google travaille également à la mise à jour de Google Chrome et le 23 janvier, Chrome 64 sera publié avec l'amendement. Pour le moment, nous pouvons faire ce qui suit:
  • Mozilla Firefox: Il n'y a pas grand chose à faire, ils ont été chargés de mettre à jour leurs versions à partir de 57 en modifiant la fonction performance.now () et en désactivant la fonction SharedArrayBuffer et ils travaillent sur d'autres mesures de sécurité.
  • Google Chrome: en attendant, vous pouvez activer des mécanismes de protection pour isoler manuellement les sites Web. Pour cela, vous pouvez accéder à l'adresse chrome: // flags / # enable-site-per-process et nous activons l'option marquée en jaune qui dit Isolation du site de script. Si vous avez Chrome sur Android, vous pouvez également accéder à cette option dans chrome :/ / flags mais cela peut conduire à des conflits ou à une perte de performance.
• Les correctifs pour résoudre les problèmes en causent d'autres au-delà des performances. Sous Windows, par exemple, il y a des problèmes avec certains antivirus et ils sont générés captures d'écran bleu du conflit. Il vous faut donc un antivirus compatible ...
• Google travaille sur une mise à jour qui sera publié aujourd'hui le 5 janvier 2018 pour Android, mais il n'atteindra que les téléphones prenant en charge les mises à jour OTA, le premier sera le Pixel 2 et le reste dépendra des fabricants de notre terminal ...
• Apple Il prépare également des correctifs pour iOS et macOS mais ils n'ont fait aucune déclaration pour le moment ... Il semble que dans macOS High Sierra 10.13.2 le problème a apparemment été résolu, mais il semble que dans la version 10.13.3 il y aura plus de nouvelles. Nous verrons ce qu'ils font avec iOS pour leurs iPhones et iPads.
• BRAS Il propose également des correctifs pour ses processeurs affectés, et des correctifs sont maintenant disponibles pour le noyau Linux, tout en nous rappelant d'utiliser le micrologiciel de confiance ARM pour plus de sécurité.
• Logiciel de vin et de virtualisation Ce sont les types de logiciels qui pourraient avoir le plus de pertes de performances dans leur exécution en raison du nombre d'appels système nécessaires à leur exécution.
• Non seulement les ordinateurs sont affectés et les appareils mobiles, ainsi que d'autres appareils tels que les voitures connectées, les systèmes industriels dotés de SoC basés sur les puces concernées, la domotique, certains produits IoT, etc.
• NVIDIA a mis à jour ses pilotes pour leurs modèles GeGorce, Quadro et NVS car ils pourraient être affectés par Spectre dans leur contrôleur, c'est pourquoi ils se sont précipités pour mettre à jour les pilotes. Mais cela n'affecte pas le GPU lui-même ... il s'agit d'une simple mise à jour du pilote pour éviter les exploits dans les systèmes vulnérables, car les navigateurs, les antivirus et autres logiciels sont également en cours de mise à jour. La nouvelle des GPU concernés est fausse ...
• Expansion des architectures affectées, Vous savez déjà que Meltdown n'est que le problème d'Intel (ARM et AMD n'ont pas été affectés de manière satisfaisante dans les PoC), tandis que Spectre affecte également:

• Pendant ce temps, Intel continue de lancer les modèles concernés sur le marché sans avoir réparé quoi que ce soit au-delà des correctifs Achèteriez-vous aujourd'hui un microprocesseur dont vous savez qu'il est affecté? Non seulement les anciens modèles sont toujours vendus en stock, mais aussi les modèles lancés maintenant qui viennent de quitter l'usine comme le Coffe Lake ...
• Nous continuerons d'élargir les informations et en attente de la dernière heure, car il est probable que de nouvelles contre-mesures de sécurité émergeront et qu'il est également possible que de nouvelles variantes soient publiées qui pourraient continuer à générer des problèmes ...

Comme je dis le feuilleton ne fait que commencer, et j'ai le sentiment que beaucoup de ces nouvelles seront écrites qui sont devenues LA PLUS GRANDE ÉCHEC DE SÉCURITÉ DE L'HISTOIRE:

N'oubliez pas de laisser vos commentaires… Si vous avez des commentaires à ajouter, des doutes, ou quoi que ce soit.