POSEBNO Otapanje i bauk: sve što trebate znati o ovim ranjivostima (AŽURIRANO)

Pretpostavlja se da oko 20% privremenih i ekonomskih resursa dodijeljenih stvaranju novog čipa odlazi na sam dizajn, dok ostatak, odnosno puno vremena i novca, ide na simulacije, ispitivanja i provedena ispitivanja kako bi provjerili radi li sve ispravno. Pa, čini se da neki proizvođači nisu učinili stvari sasvim u redu sa svojim proizvodima, i to je slučaj IntelaKao što ćemo vidjeti, nije jedini pogođen, ali već ima velik broj problema sa svojim čipovima, od poznatog problema s pokretnom zarezom, preko drugih kvarova na svojim čipsetima, do ranjivosti također otkrivene u Management Engineu, a sada ovo ...

Sve su društvene mreže i mediji preplavljene vijestima, neke pomalo kontradiktorne u vezi s ovim slučajem o kojima će se puno razgovarati i o kojima vam savjetujem da napravite dobru zdjelu kokica za gledanje sapunice, jer ovo je tek počelo. Stoga, kako se korisnici, posebno oni Linux, ne bi izgubili s toliko informacija i znanja kako postupati i čega se, uz to, pridržavaju znati jesu li pogođeni ili ne, objavit ćemo ovaj članak u LxA.

Što je Spectre and Meltdown?

Vjerojatno je problem s Rowhammerom koji smo već vidjeli pomalo beznačajan u usporedbi s dubinom koju ima ovaj drugi problem. Sigurno ste već čuli poznata imena koja izazivaju paniku, a to su Topljenje i bauk. Ovi napadi koji mogu ozbiljno ugroziti našu sigurnost iskorištavaju neke značajke poput izvršavanja izvan reda i spekulativnog izvršavanja koje su implementirane u sve suvremene procesore radi poboljšanja performansi. Objasnit ćemo što je svaki u dijelovima:

• Topljenje jezgra nuklearnog reaktora: tako se naziva jer u osnovi topi sigurnosna ograničenja između aplikacija koje nameće hardver, iako je u informacijskoj bazi MITER poznat kao CVE-2017-5754. To je najozbiljniji problem koji je otkriven, a posebno utječe na Intelove procesore objavljene u posljednjem desetljeću. Zbog ove ranjivosti, nepovlašteni proces mogao bi pristupiti području rezerviranom u memoriji za jezgru, što je ozbiljan sigurnosni problem. Na primjer, područja RAM memorije mogu se izbaciti. Zakrpe za rješavanje ove ranjivosti značajno pogoršavaju performanse.
• spektar: njegovo ime leži u tome koliko je složeno riješiti ga, stoga će nas kao spektar pratiti još neko vrijeme. Pojavljuje se u nekoliko varijanti (CVE-2017-5753 i CVE-2017-5717), potencijalno ozbiljan, jer može dopustiti procesu da "prevari" kernel u premještanje informacija iz memorijskih zona kojima taj proces upravlja, tj. Drugim riječima, razbija barijeru između aplikacija. U ovom slučaju utječe na više mikroprocesora, ali to se može popraviti jednostavnim izmjenama softvera, a gubitak performansi praktički je nikakav ...

Ovo je sve o Meltdown-u i Spectru je objašnjeno jednostavno i bez korištenja vrlo tehničkog jezika tako da svi razumiju. U konačnici ono što smo vidjeli je da Meltdown i Spectre mogu pristupiti podacima pohranjenim u memoriji pokrenutih programa, a to s prijetnjama i zlonamjernim kodovima. E sad, kako to može utjecati na mene? Pa, i odgovor je jednostavan, jer oni to mogu dopustiti mijenjati podatke, filtrirati lozinke i povjerljive podatke, fotografije, e-poštu, podatke obrazaca itd.. Stoga je to veliki sigurnosni problem, vjerojatno jedan od najvećih u posljednje vrijeme.

Linus Torvalds je govorio

Linus Torvalds, tvorac NVIDIA Jebi se! sada se čini da je Intelu dao poziv za uzbunu zbog velike pogreške koju su počinili. A u nitima rasprave o problemu koji je ostao zbog utjecaja na Linux kernel, prve riječi tvorca nisu natjerane na čekanje:

Zašto je sve ovo bez mogućnosti konfiguracije? Nadležni CPU inženjer to bi popravio pazeći da špekulacije ne prođu kroz zaštitne domene. […] Mislim da INtel mora pogledati svoje CPU-e i zaista priznati da imaju problema umjesto da pišu PR vijesti govoreći da sve funkcionira onako kako su oni dizajnirali. (Pozivajući se na Intelove izjave). ...a to stvarno znači da bi sve one zakrpe za ublažavanje problema trebale biti napisane imajući na umu "nisu svi CPU smeće".. (U odnosu na primjenu zakrpe koja utječe na sve x86-64 mikroprocesore, uključujući AMD, unatoč tome što to ne utječe na posljedični gubitak performansi) Ili Intel u osnovi kaže "obvezali smo se da ćemo vam prodati sranja zauvijek i nikada ništa ne popravljamo"? [...] Jer ako je to slučaj, možda bismo trebali početi više gledati prema strani ARM64-a (u odnosu na to hoće li Intel riješiti problem ili neće i dalje prodavati problematične proizvode). Molimo razgovarajte s upravom. Jer zaista vidim točno dvije mogućnosti:

1. Intel nikada ne tvrdi da je išta popravio.
2. Ili ova rješenja imaju način onemogućavanja.

Izjave se odnose na kôd primijenjeni flaster ozbiljno narušava performanse CPU i utječu na sve procesore u ovoj obitelji, bez obzira utječe li na njih ranjivost. Zbog toga je AMD naznačio da rade na tome da spriječe da njihovi mikroprocesori imaju i gubitak performansi zakrpe jer nisu pogođeni.

Na koje procesore utječe?

Ovo je pitanje od milijun dolara, od ne utječe samo na Linux daleko od njega, To je problem s čipom i stoga utječe na macOS, Windows, Android, pa čak i iOS, itd. Stoga nije nešto specifično, a sada ćemo vidjeti na koje čipove utječe ovaj problem dizajna:

Mikroprocesori zahvaćeni topljenjem:

Praktički svi Intelovi mikroprocesori proizvedeni od 1995 Do sada su pogođeni ovim ozbiljnim problemom, jer on koristi prednost izvršenja izvan reda kako bi ga iskoristio. To znači prijenosna računala, stolna računala, poslužitelje i superračunala koja koriste ove procesore, pa čak i neke mobilne uređaje s Atom čipovima itd. Iznimka su Intel Atomi koji koriste izvršenje po redu (oni koji su izašli prije 2013., jer najmoderniji Atomi koriste OoOE), a također i Intel Itanium kojeg nitko neće imati kod kuće jer su namijenjeni velikim strojevima.

* POSLJEDNJA MINUTA: Otapanje utječe i na ARM Cortex-A75. Trenutno se čini da je pogođen samo ovaj model, ali već znate da ARM licencira IP jezgre za druge SoC dizajnere, a ako imaju Cortex-A75, to će također biti pogođeno. Ali čini se da je u ovom slučaju učinak minimalan ...

The Mikroprocesori zasnovani na AMD-u i ARM-u (Qualcomm, Samsung, Apple, Mediatek itd.) Ovaj problem ne utječe. Ako imate jedan od ovih čipova možeš lako disati... To je dovelo do prodaje Intelovih dionica i one padaju na burzi na zvučan način istovremeno s porastom AMD-ovih dionica. Razlog je taj što AMD ne dopušta memorijske reference ove vrste, uključujući spekulativne reference, stoga su neranjive za Meltdown.

Mikroprocesori pogođeni spektrom:

U ovom slučaju proširuje se broj pogođenih uređaja i čipova, budući da također vidimo kako tableti, pametni telefoni, stolna računala, prijenosna računala, poslužitelji, superračunala itd. su pogođeni. U ovom slučaju to utječe na Intelove čipove, mogli bi utjecati i svi oni ARM Cortex-A i AMD.

* U slučaju ARM-a, to utječe na velik broj SoC-ova koji implementiraju modificirane dizajne ili ARM IP jezgre unutar poput Qualcomm Snapdragon, Samsung Exynox, Apple A-Series, Mediatek, NVIDIA (ne mislim na GPU-ove, već na SoC-ovi temeljeni na ARM-u) itd.

*** Neki su mediji zbunjivali vijesti, ali GPU-ovi to ne utječu (pogledajte AŽURIRANJE (last minute)).

** Sada prelazimo na slučaj AMD, na službenim web stranicama dizajnera CPU možemo vidjeti tablicu koja nas vodi do optimizma i ostavlja nas nešto mirnijima:

Razlike u AMD-ovom dizajnu izbjegavaju probleme uzrokovane Meltdownom, jer ovi CPU ne pretpostavljaju učitavanje korisničkog koda izravno u memoriju jezgre. A AMD ASID također blokira probleme za gostujuće VM-ove i korijenske korisnike na njima.

Mikroprocesori NA KOJE NEMA utjecaj Spectre:

Ovaj popis mikroprocesora nema ranjivosti poput Spectra, jer je njihov kanal s uputama rigorozniji i izveden u redu (oni nisu OoOE mikroarhitekture) ili zato što uključuju karakteristike zbog kojih su imunis. Neki se mogu činiti vrlo starima, ali drugi su prilično moderni, kao što je to slučaj SPARC i AMD Zen. Dakle, ako imate CPU koji se nalazi na sljedećem popisu, ne morate se brinuti ni o čemu:

• Jaka ruka
• superSPARC
• Transmeta Crusoe i Efficeon
• Power PC 603
• Stari x86: Pentium I i klonovi, svi stari 8-bitni i 16-bitni čipovi, IDT WinChip, VIA C3, 386 i klonovi, 486 i klonovi
• z80
• 6500 i slično
• 68k
• ARM Cortex-A7 MPCore (Raspberry Pi 2)
• ARM Cortex-A5
• ARM Cortex-A53 MPCore, iako ima drugačije izvršenje od prethodnih, a s bifurkacijom, čini se da to nije pogođeno. Ovdje su uključeni Raspberry Pi 3 i neki pametni telefoni i tableti poput Qualcomm Snapdragon 625 ...
• Intel Atom prije 2013., odnosno oni koji se temelje na mikroarhitekturama poput Diamondvillea, Silverthornea, Pineviewa itd., Budući da se ne koriste izvršavanjem izvan reda.
• VIA C7 koristi osnovnu shemu predviđanja grana, ali to ne utječe.
• Intel Itanium (IA-64)
• IBM POWER6 ima ograničeno predviđanje grana pa se čini neranjivim.
• Xeon Phi i GPGPU
• SPARC serija T
• AMD Zen: Mikroprocesori Ryzen i EPyC imaju zanimljive funkcije kako bi mogli prekidati ili biti neranjivi za Spectre. Ta konfiguracija o kojoj govorim je SME / SEV (Sigurno šifriranje memorije i sigurna šifrirana virtualizacija) koja bi izbjegla bilo kakav oporavak memorije koji bi mogao ugroziti sustav i okruženja za virtualizaciju.

Koje je rješenje?

aplicar zakrpe ili ažurirajte naš sustav, što god bilo, i sa Flasteri Imat ćemo mogući gubitak performansi što ćemo pojasniti u posljednjoj točki, ali barem ćemo na razini sigurnosti biti nešto zaštićeniji. Recimo da već postoje zakrpe protiv Meltdown-a za Linux i druge operativne sustave. Najgore je što se tiče Android uređaja, nemaju svi OTA ažuriranja ...

Možeš vidjeti više o tome na ovim vezama:

• Linux Kernel Mailing List
• Xen projekt
• Intel
• AMD
• ARM
• Google
• Mozilla
• Debian
• Ubuntu
• SUSE
• Red Hat
• CERT
• VMWare
• Citrix

Koji je gubitak performansi?

Sreli smo se s dva moguća rješenja:

1. Po softveru: Uključuje implementaciju zakrpa za operativne sustave macOS, Linux, Windows, iOS i Android, ali one nažalost ne samo da rješavaju sigurnosni problem, već će usporiti naš sustav zbog načina na koji utječu na to izvršavanje izvan reda, spekulativno izvršavanje ili brisanje TLB-a našeg CPU-a s prilično značajnim gubicima performansi. Neki su govorili o do 50% manjim performansama u našem CPU-u, druga manje negativna predviđanja govore o između 5 i 30% izgubljenih performansi, ovisno o vrsti softvera koji pokrećemo. Neki pokušavaju smiriti alarm i tvrde da su neke testirane videoigre dale samo 2% gubitka u performansama u smislu FPS-a (samo u slučaju Linuxa, u sustavu Windows nisu analizirane), već da u video igrama igra rijetko traži da uskoči u prostor jezgre, ali što se događa s drugim programima i sa softverom čiji kôd ima mnogo uputa ovisnih o stanju ... ¿? Ovdje gubitak performansi može biti znatan. Ono što je sigurno jest da su neki poput Intela i drugih web stranica pokušali smiriti korisnike i rekli da gubici performansi neće biti osjetljivi za većinu kućnih korisnika te da je to problem koji će utjecati na podatkovne centre, poslužitelje itd. I superračunala ... U koje prognoze vjerujemo? Istina je da morate ostati mirni i čekati da vidite što će se dogoditi.
2. Po hardveru: Uključuje pregled trenutnih čipova i redizajn postojećih mikroarhitektura tako da se to ne dogodi, što je dugotrajno, vrlo skupo i ne možemo uskoro očekivati ​​rješenja. Što se tiče Intela koji je odlučio zamijeniti čipove svih pogođenih kupaca, mislim da je najjasniji odgovor: hahaha, pričekajte sjedi. To bi za tvrtku značilo višemilijunske gubitke i mislim da se to neće dogoditi.

Očito se gubici u performansama neće osjetiti u svim namjenama i svim CPU modelima, pa će biti modela koji su pogođeni više od ostalih. I to je velika kuja platite čip sljedeće generacije i uvjerite se da za jednu od ovih zakrpa ne možete iskoristiti njegove performanse na 100%, ali to je ono što postoji kad neki ne rade svoj posao dobro.

Veliki podatkovni centri kao što su Amazon Web Service, Microsoft Azure i Google Cloud Zbog ovog problema, kada se na njihovim poslužiteljima koriste Intelovi mikroprocesori, gubici performansi procjenjuju se na oko 20% u tim slučajevima kada se obrađuju SQL baze podataka. Tačno je i da drugi poput Googlea kažu da je gubitak izvedbe zanemariv.

AŽURIRANJE (zadnji sat):

Kako sati prolaze, saznajemo nove stvari o ovom slučaju:

• Jedan od njih je tužba protiv Intela to nije natjerano da čeka. Točnije, čip div je primio tri iz Sjedinjenih Država, a možda će ih doći još. Sudovi u Kaliforniji, Indiani i Oregonu prvi su postupili po optužbama kao da nisu na vrijeme otkrili postojanje ranjivosti, usporili svoje procesore ažuriranjima i nisu uspjeli zaštititi sigurnost korisnika.
• Intelove dionice padaju dok se AMD-ovi oporavljaju, a to je također otkrilo akciju koja bi, da se to nije dogodilo, prošla nezapaženo. I je li to Intelov izvršni direktor prodao je gotovo polovicu svojih dionica u mjesec dana neposredno prije otkrivanja kršenja sigurnosti. Brian Krzanich riješio se svojih dionica i to bi, iako iz tvrtke kažu da to nema nikakve veze s vijestima, moglo sugerirati da su navodno već znali za problem i da su zato postupili u skladu s tim.
• Pojaviti se nove arhitekture pogođene problemomIako nisu toliko rašireni, važni su u poslužiteljima i superračunalima. Razgovaramo o IBM POWER8 (Little Endian i Big Endian), IBM System Z, IBM POWER9 (Little Endian) i vidjet ćemo trebamo li uskoro proširiti popis.
• El Linux jezgra je redizajnirana zakrpa kako bi se spriječilo da ozbiljni utjecaji na velike podatkovne centre, poslužitelje i velike sustave koji o njoj ovise. Konkretno, dodirnuta je KPTI (izolacija tablice stranica jezgre), koja je prije bila poznata kao KAISER ili u kolokvijalnom nazivu FUCKWIT (Prisilno raskrivanje cjelovite jezgre s prekidnim trampolinima), što bolje izolira korisnički prostor iz prostora jezgre u memoriji dijeljenjem sadržaja u dva stranična stola odvojeno. Dijeljenje stola neprestano čisti TLB predmemorija s posljedičnim porastom kvarova i potrebom za više ciklusa takta za traženje podataka i uputa u memoriji, odnosno znatno smanjuje performanse i ovisno o sustavnim pozivima koje program izvrši, to će utjecati na više ili manje, ali na najmanje izbjegavajte da se Meltdown digne u zrak. Neke proaktivne obrane poput ASLR-a dodane su i implementirane u Linux 4.14.11 i druge prethodne LTS verzije: 4.9.74, 4.4.109, 3.16.52, 3.18.91 i 3.2.97.
• Procjene gubitaka u izvedbi aktualniji govore o gubitku performansi od 5% prema onome što je komentirao Linus Torvalds, ali također kaže da bi u nešto starijim procesorima koji ne uključuju PCID učinak bio puno veći.
• Trenutno istraživači sigurnosti oni ne vjeruju da su ti neuspjesi iskorišteni izvoditi napade, barem one važne.
• Luke Wagner iz Mozille, inženjer specijaliziran za JavaScript i WebAssembly tvrdio je da su napravili PoC-ove i potvrđeno je da se napadi temeljeni na JavaScript-u mogu izvoditi putem preglednika. Stoga već rade na rješenjima ... Google također radi na ažuriranju Google Chromea, a 23. siječnja Chrome 64 bit će objavljen s izmjenom. Trenutno možemo učiniti sljedeće:
  • Mozilla Firefox: Ne treba puno raditi, oni su bili zaduženi za ažuriranje svojih verzija s 57 izmjenom funkcije performance.now () i onemogućavanjem značajke SharedArrayBuffer, a rade na drugim sigurnosnim mjerama.
  • Google Chrome: u međuvremenu možete aktivirati zaštitne mehanizme za ručno izoliranje web stranica. Za to možete pristupiti adresi chrome: // flags / # enable-site-per-process i omogućujemo žuto označenu opciju Script Site Isolation. Ako imate Chrome na Androidu, ovoj opciji možete pristupiti i u chrome: // zastave ali može dovesti do sukoba ili gubitka performansi.
• Zakrpe za rješavanje problema drugima uzrokuju veće performanse. Na primjer, u sustavu Windows postoje problemi s nekim antivirusima i oni se generiraju plave snimke zaslona iz sukoba. Dakle, potreban vam je kompatibilni antivirus ...
• Google radi na ažuriranju koji će biti objavljen danas, 5. siječnja 2018. za Android, ali doseći će samo one telefone koji podržavaju OTA ažuriranja, prvi će biti Pixel 2, a ostalo će ovisiti o proizvođačima našeg terminala ...
• jabuka Također priprema zakrpe za iOS i macOS, ali zasad nisu dali nikakve izjave ... Čini se da je u macOS High Sierra 10.13.2 problem očito riješen, ali čini se da će u verziji 10.13.3 biti više vijesti. Vidjet ćemo što rade s iOS-om za svoje iPhone i iPad uređaje.
• ARM Također nudi zakrpe za pogođene procesore, a zakrpe su sada dostupne za Linux kernel, kao i podsjećajući nas da koristimo ARM Trusted Firmware za dodatnu sigurnost.
• Vino i softver za virtualizaciju To su vrste softvera koji bi mogli imati više gubitaka u izvedbi u svom izvršavanju zbog broja syscalls-a potrebnih za njihovo izvršavanje.
• Ne utječu samo računala i mobilni uređaji, također drugi uređaji kao što su povezani automobili, industrijski sustavi koji imaju SoC-ove temeljene na zahvaćenim čipovima, kućna automatizacija, određeni IoT proizvodi itd.
• NVIDIA je ažurirala svoje upravljačke programe za svoje GeGorce, Quadro i NVS modele jer bi na njih mogao utjecati Spectre u njihovom kontroleru, zato su požurili ažurirati upravljačke programe. Ali to ne utječe na sam GPU ... to je jednostavno ažuriranje upravljačkog programa kako bi se izbjegli zloupotrebe u ranjivim sustavima, jer se također ažuriraju preglednici, antivirusni i drugi softver. Vijest o pogođenim GPU-ima je lažna ...
• Proširenje zahvaćenih arhitektura, Već znate da je Meltdown samo Intelov problem (na ARM i AMD nisu utjecali zadovoljavajući PoC-ovi), dok Spectre također utječe na:

• U međuvremenu Intel nastavlja s lansiranjem pogođenih modela na tržište a da niste popravili ništa izvan zakrpa. Biste li danas kupili mikroprocesor za koji znate da je to pogođeno? Ne samo da se stariji modeli još uvijek prodaju na lageru, već i modeli koji su sada lansirani iz tvornice poput Coffe Lake ...
• Nastavit ćemo proširiti informacije i čekati zadnji sat, budući da je vjerojatno da će se pojaviti nove sigurnosne protumjere, a također je moguće da budu objavljene nove inačice koje bi mogle i dalje stvarati probleme ...

Kao što kažem sapunica je tek započela, a imam osjećaj da će biti napisano puno ovih vijesti koje su postale NAJVEĆI PROPUST SIGURNOSTI U POVIJESTI:

Ne zaboravite ostaviti svoje komentare... Ako imate komentare za dodati, sumnje ili bilo što drugo.