SPECIALE Meltdown e Spectre: tutto ciò che devi sapere su queste vulnerabilità (AGGIORNATO)

Si ipotizza che circa il 20% delle risorse temporanee ed economiche destinate alla realizzazione di un nuovo chip vadano alla progettazione stessa, mentre il resto, cioè molto tempo e denaro, vada a simulazioni, test e test effettuati per verificare che tutto funzioni correttamente. Bene, sembra che alcuni produttori non abbiano fatto le cose nel modo giusto con i loro prodotti, e questo è vero il caso di IntelCome vedremo, non è l'unico interessato, ma ha già un gran numero di problemi con i suoi chip, dal famoso problema in virgola mobile, attraverso altri guasti nei suoi chipset, alla vulnerabilità rilevata anche nel Management Engine, e ora questo ...

Tutti i social network e i media sono stati inondati di notizie, alcune un po 'contraddittorie su questo caso che darà molto di cui parlare e che ti consiglio di fare una buona ciotola di popcorn per guardare la telenovela, poiché questa ha solo iniziato. Pertanto, in modo che gli utenti, soprattutto quelli di Linux, non si perdano con così tante informazioni e conoscenze Come comportarsi e a cosa aderiscono, oltre a sapere se sono interessati o meno, pubblicheremo questo articolo su LxA.

Cos'è Spectre e Meltdown?

Probabilmente il problema di Rowhammer che abbiamo già visto è alquanto insignificante rispetto alla profondità che sta avendo questo altro problema. Probabilmente hai già sentito i nomi famosi che causano il panico, e quelli lo sono Meltdown e Spectre. Questi attacchi che possono compromettere seriamente la nostra sicurezza sfruttano alcune funzionalità come l'esecuzione fuori ordine e l'esecuzione speculativa che vengono implementate in tutti i processori contemporanei per migliorare le prestazioni. Spiegheremo di cosa si tratta in parti:

• Meltdown: è così chiamato perché fondamentalmente scioglie i limiti di sicurezza tra le applicazioni che sono imposti dall'hardware, sebbene nella base di informazioni MITRE sia noto come CVE-2017-5754. È il più grave dei problemi che sono stati rilevati e interessa in modo specifico i processori Intel rilasciati nell'ultimo decennio. A causa di questa vulnerabilità, un processo senza privilegi potrebbe accedere a un'area riservata in memoria per il kernel, il che rappresenta un grave problema di sicurezza. Ad esempio, è possibile eseguire il dump di aree della memoria RAM. Le patch per risolvere questa vulnerabilità riducono notevolmente le prestazioni.
• Spettro: il suo nome sta in quanto è complicato risolverlo, quindi come spettro ci seguirà per un bel po 'di tempo. Appare in un paio di varianti (CVE-2017-5753 e CVE-2017-5717), essendo potenzialmente grave, poiché può consentire a un processo di "ingannare" il kernel per spostare le informazioni dalle zone di memoria che quel processo controlla, cioè In altre parole, rompe la barriera tra le applicazioni. In questo caso, influisce su più microprocessori, ma può essere risolto con semplici modifiche software e la perdita di prestazioni è praticamente nulla ...

Si tratta di Meltdown e Spectre spiegati in modo semplice e senza usare un linguaggio molto tecnico in modo che tutti capiscano. In definitiva quello che abbiamo visto è che Meltdown e Spectre possono accedere ai dati archiviati nella memoria dei programmi in esecuzione e questo con exploit e codice dannoso è una minaccia. Ora, come può influenzarmi? Ebbene, anche la risposta è semplice, dal momento che possono consentire modificare dati, filtrare password e dati riservati, foto, e-mail, dati di moduli, ecc.. Si tratta quindi di un grosso problema di sicurezza, probabilmente uno dei maggiori degli ultimi tempi.

Linus Torvalds ha parlato

Linus Torvalds, il creatore di NVIDIA Fuck you! ora sembra che abbia dato a Intel un campanello d'allarme per l'enorme errore che hanno commesso. E nei thread di discussione sul problema che sono rimasti perché il kernel Linux è interessato, le prime parole del creatore non sono state fatte per aspettare:

Perché tutto questo senza opzioni di configurazione? Un ingegnere competente della CPU risolverebbe il problema assicurandosi che la speculazione non passi attraverso i domini di protezione. […] Penso che INtel abbia bisogno di dare un'occhiata alle loro CPU, e ammetto davvero che hanno problemi invece di scrivere un ronzio di PR dicendo che tutto funziona nel modo in cui l'hanno progettato. (In riferimento alle dichiarazioni di Intel). ...e questo significa veramente che tutte quelle patch per mitigare il problema dovrebbero essere scritte pensando "non tutte le CPU sono spazzatura".. (In riferimento alla patch applicata e che interessa tutti i microprocessori x86-64 incluso AMD nonostante non sia stata influenzata dalla conseguente perdita di prestazioni) O Intel sta sostanzialmente dicendo "ci impegniamo a venderti merda per sempre e per sempre, senza mai aggiustare nulla"? […] Perché se è così, forse dovremmo iniziare a guardare più verso il lato delle persone ARM64 (in riferimento al fatto che Intel risolverà o meno il problema o continuerà a vendere prodotti problematici). Si prega di parlare con la direzione. Perché vedo davvero esattamente due possibilità:

1. Intel non pretende mai di aggiustare nulla.
2. Oppure queste soluzioni hanno un modo di essere disabilitate.

Le dichiarazioni si riferiscono al codice del la patch applicata compromette seriamente le prestazioni CPU e interessano tutti i processori di questa famiglia, indipendentemente dal fatto che siano interessati o meno dalla vulnerabilità. Questo è il motivo per cui AMD ha indicato che lavorano per evitare che i loro microprocessori subiscano anche la perdita di prestazioni della patch poiché non sono interessati.

Quali processori influisce?

Questa è la domanda da un milione di dollari, da allora non riguarda solo Linux, tutt'altro, È un problema con il chip e quindi interessa sia macOS, Windows, Android e persino iOS, ecc. Quindi non è qualcosa di specifico, e ora vedremo quali chip sono interessati da questo problema di progettazione:

Microprocessori interessati da Meltdown:

praticamente tutti i microprocessori Intel prodotti dal 1995 Fino ad ora sono affetti da questo grave problema, poiché ne approfitta per trarne vantaggio l'esecuzione. Ciò significa laptop, desktop, server e supercomputer che utilizzano questi processori e persino alcuni dispositivi mobili con chip Atom, ecc. Le eccezioni sono gli Intel Atoms che utilizzano un'esecuzione in ordine (quelli usciti prima del 2013, dato che gli Atom più moderni fanno uso di OoOE) e anche gli Intel Itanium che nessuno avrà in casa visto che sono destinati a macchine di grandi dimensioni.

*ULTIMO MINUTO: ARM Cortex-A75 è anche influenzato da Meltdown. Al momento solo questo modello sembra essere interessato, ma sai già che ARM concede in licenza i core IP per altri progettisti di SoC e se hanno un Cortex-A75 saranno interessati anche loro. Ma sembra che l'effetto sia minimo in questo caso ...

I Microprocessori basati su AMD e ARM (Qualcomm, Samsung, Apple, Mediatek, ecc.) Non sono interessati da questo problema. Se hai uno di questi chip puoi respirare facilmente... Questo ha causato la vendita delle azioni Intel che cadono in borsa in modo clamoroso nello stesso momento in cui quelle di AMD sono aumentate. Il motivo è che AMD non consente riferimenti alla memoria di questo tipo, inclusi riferimenti speculativi, quindi sono invulnerabili a Meltdown.

Microprocessori affetti da spettro:

In questo caso il numero di dispositivi e chip interessati viene ampliato, poiché vediamo anche come tablet, smartphone, desktop, laptop, server, supercomputer, ecc. sono colpiti. In questo caso, i chip Intel sono interessati, tutti quei chip ARM Cortex-A e anche quelli di AMD potrebbero essere interessati.

* Nel caso di ARM, colpisce un gran numero di SoC che implementano progetti modificati o core IP ARM all'interno come quelli di Qualcomm Snapdragon, Samsung Exynox, Apple A-Series, Mediatek, NVIDIA (non intendo GPU, ma a SoC basati su ARM), ecc.

*** Alcuni media hanno confuso le notizie, ma le GPU non sono interessate (vedi AGGIORNAMENTO (last minute)).

** Adesso passiamo al caso di AMD, sul sito ufficiale del progettista della CPU possiamo vedere una tabella che ci porta all'ottimismo e ci lascia un po 'più tranquilli:

Le differenze nel design di AMD evitano i problemi causati da Meltdown, poiché queste CPU non speculano il caricamento del codice utente direttamente nella memoria del kernel. E l'ASID AMD blocca anche i problemi per le VM guest e gli utenti root su questi.

Microprocessori NON influenzati da Spectre:

Questo elenco di microprocessori è privo di vulnerabilità come Spectre perché il loro canale di istruzioni è più rigoroso e fatto in ordine (non sono microarchitetture OoOE) o perché includono caratteristiche che li rendono immuniS. Alcuni possono sembrare molto vecchi, ma altri sono abbastanza moderni come nel caso di SPARC e AMD Zen. Quindi se hai una CPU che è nella seguente lista non devi preoccuparti di nulla:

• Braccio forte
• Super SPARC
• Transmeta Crusoe ed Efficeon
• Potenza PC 603
• Vecchio x86: Pentium I e cloni, tutti i vecchi chip a 8 e 16 bit, IDT WinChip, VIA C3, 386 e cloni, 486 e cloni
• z80
• 6500 e simili
• 68k
• ARM Cortex-A7 MPCore (Raspberry Pi 2)
• ARM Cortex-A5
• ARM Cortex-A53 MPCore sebbene abbia un'esecuzione diversa dalle precedenti e con biforcazione, non sembra risentirne. Quelli del Raspberry Pi 3 e alcuni smartphone e tablet come il Qualcomm Snapdragon 625 sono inclusi qui ...
• Intel Atom prima del 2013, cioè quelli basati su microarchitetture come Diamondville, Silverthorne, Pineview, ecc., Poiché non utilizzano l'esecuzione fuori ordine.
• VIA C7 utilizza uno schema di previsione dei rami di base ma non sono interessati.
• Intel Itanium (IA-64)
• IBM POWER6 ha una previsione dei rami limitata, quindi sembra essere invulnerabile.
• Xeon Phi e GPGPU
• Serie SPARC T.
• AMDZen: I microprocessori Ryzen ed EPyC hanno funzioni interessanti per poter interrompere o essere invulnerabili a Spectre. Quella configurazione di cui parlo è SME / SEV (Secure Memory Encryption & Secure Encrypted Virtualization) che eviterebbe qualsiasi ripristino della memoria che potrebbe compromettere il sistema e gli ambienti di virtualizzazione.

Qual'è la soluzione?

Applicare patch o aggiornare il nostro sistema, qualunque cosa sia, e con Le patch Avremo una possibile perdita di prestazioni che chiariremo nell'ultimo punto, ma almeno a livello di sicurezza saremo un po 'più protetti. Supponiamo che ci siano già patch contro Meltdown per Linux e altri sistemi operativi. La cosa peggiore è in termini di dispositivi Android, non tutti hanno aggiornamenti OTA ...

Puoi vedere ulteriori informazioni a riguardo in questi link:

• Mailing list del kernel Linux
• Xen Project
• Intel
• AMD
• ARM
• Google
• Mozilla
• Debian
• Ubuntu
• SUSE
• Red Hat
• CERT
• VMWare
• Citrix

Qual è la perdita di prestazioni?

Ci siamo incontrati due possibili soluzioni:

1. Tramite software: Implica l'implementazione di patch per i sistemi operativi macOS, Linux, Windows, iOS e Android, ma queste sfortunatamente non solo risolvono il problema di sicurezza ma renderanno il nostro sistema più lento a causa del modo in cui influenzano l'esecuzione fuori ordine, l'esecuzione speculativa o cancellando il TLB della nostra CPU con perdite di prestazioni piuttosto notevoli. Alcuni hanno parlato di prestazioni fino al 50% in meno nella nostra CPU, altre previsioni meno negative parlano di tra il 5 e il 30% di prestazioni perse a seconda del tipo di software che eseguiamo. Alcuni stanno cercando di calmare l'allarme e affermano che alcuni videogiochi che sono stati testati hanno dato solo una perdita di prestazioni del 2% in termini di FPS (solo nel caso di Linux, in Windows non sono stati analizzati), già che nei videogiochi il gioco raramente chiede di saltare nello spazio del kernel, ma cosa succede con altri programmi e con software il cui codice ha molte istruzioni dipendenti dalle condizioni ...? Qui la perdita di prestazioni può essere considerevole. Ciò che è vero è che alcuni come Intel e altri siti Web hanno cercato di calmare gli utenti e affermano che le perdite di prestazioni non saranno evidenti per la maggior parte degli utenti domestici e che è un problema che interesserà data center, server, ecc. E supercomputer ... Cosa previsioni in cui crediamo? La verità è che devi rimanere calmo e aspettare di vedere cosa succede.
2. Tramite hardware: Implica una revisione dei chip attuali e una riprogettazione delle attuali microarchitetture in modo che ciò non avvenga, il che richiede tempo, è molto costoso e non possiamo aspettarci soluzioni presto. Per quanto riguarda Intel che decide di sostituire i chip di tutti i suoi clienti interessati, penso che la risposta più chiara sia: hahaha, aspetta seduto. Ciò significherebbe perdite multimilionarie per l'azienda e non credo che accadrà.

Le perdite di prestazioni non si faranno sentire in tutti gli usi e in tutti i modelli di CPU allo stesso modo, ovviamente, quindi ci saranno modelli che ne risentiranno maggiormente di altri. E questo è una grande cagna pagare per un chip di nuova generazione e vedere che per una di queste patch non è possibile sfruttare le sue prestazioni al 100%, ma è quello che c'è quando alcuni non fanno bene il loro lavoro.

Data center di grandi dimensioni come quelli di Amazon Web Service, Microsoft Azure e anche Google Cloud A causa di questo problema, quando si utilizzano microprocessori Intel nei loro server, le perdite di prestazioni sono stimate intorno al 20% in questi casi in cui vengono gestiti i database SQL. È anche vero che altri come Google affermano che la perdita di prestazioni è trascurabile.

AGGIORNAMENTO (ultima ora):

Con il passare delle ore impariamo cose nuove su questo caso:

• Uno di questi è il causa contro Intel che non è stato fatto aspettare. Nello specifico, il gigante dei chip ne ha ricevuti tre dagli Stati Uniti e forse ne arriveranno altri. I tribunali della California, dell'Indiana e dell'Oregon sono stati i primi ad agire in base alle accuse di mancata rivelazione tempestiva dell'esistenza di vulnerabilità, rallentamento dei processori tramite aggiornamenti e mancato rispetto della sicurezza degli utenti.
• Le azioni di Intel stanno scendendo mentre quelle di AMD stanno rimbalzando, e questo ha anche rivelato un'azione che sarebbe passata inosservata se ciò non fosse accaduto. Ed è quello Il CEO di Intel ha venduto quasi la metà delle sue azioni in un mese appena prima che la violazione della sicurezza fosse rivelata. Brian Krzanich ha ceduto le sue azioni e questo, sebbene dicano dalla società che non ha nulla a che fare con la notizia, potrebbe suggerire che presumibilmente sapevano già del problema prima ed è per questo che hanno agito di conseguenza.
• apparire nuove architetture interessate dal problemaSebbene non siano così diffusi, sono importanti nei server e nei supercomputer. Parliamo di IBM POWER8 (Little Endian e Big Endian), IBM System Z, IBM POWER9 (Little Endian) e vedremo se dovremo ampliare presto la lista.
• El Il kernel Linux è stato riprogettato patchato per evitare che grandi data center, server e sistemi di grandi dimensioni che dipendono da esso vengano gravemente colpiti. Nello specifico, è stato toccato il KPTI (Kernel Page Table Isolation), precedentemente noto come KAISER o colloquialmente FUCKWIT (Forcefully Unmap Complete Kernel With Interrupt Trampolines), che isola meglio lo spazio utente dallo spazio kernel in memoria dividendo il contenuto in due tabelle di paging separatamente. La divisione della tabella elimina costantemente il file Cache TLB con il conseguente aumento dei guasti e la necessità di più cicli di clock per la ricerca di dati e istruzioni in memoria, cioè diminuisce notevolmente le prestazioni ea seconda delle chiamate di sistema che un programma effettua, influenzerà più o meno, ma almeno evitare che Meltdown venga fatto saltare in aria. Alcune difese proattive come ASLR sono state aggiunte e sono state implementate in Linux 4.14.11 e altre versioni precedenti di LTS: 4.9.74, 4.4.109, 3.16.52, 3.18.91 e 3.2.97.
• Stime delle perdite di rendimento quelli più attuali parlano di una perdita di prestazioni del 5% secondo quanto ha commentato Linus Torvalds, ma dice anche che in CPU un po 'più vecchie che non includono PCID l'impatto sarebbe molto maggiore.
• Al momento ricercatori di sicurezza non credono che questi fallimenti siano stati sfruttati effettuare attacchi, almeno importanti.
• Luke Wagner di Mozilla, un ingegnere specializzato in JavaScript e WebAssembly ha affermato di aver creato PoC e si conferma che gli attacchi basati su JavaScript possono essere eseguiti tramite browser. Quindi stanno già lavorando alle soluzioni ... Google sta anche lavorando per aggiornare Google Chrome e il 23 gennaio Chrome 64 verrà pubblicato con l'emendamento. Al momento possiamo fare quanto segue:
  • Mozilla Firefox: Non c'è molto da fare, sono stati incaricati di aggiornare le loro versioni dalla 57 modificando la funzione performance.now () e disabilitando la funzione SharedArrayBuffer e stanno lavorando su altre misure di sicurezza.
  • Google Chrome: nel frattempo puoi attivare meccanismi di protezione per isolare manualmente i siti web. Per questo puoi accedere all'indirizzo chrome: // flags / # enable-site-per-process e abilitiamo l'opzione contrassegnata in giallo che dice Isolamento del sito di script. Se hai Chrome su Android puoi accedere a questa opzione anche in chrome :/ / flags ma può portare a conflitti o perdita di prestazioni.
• Le patch per risolvere i problemi stanno causando altri oltre le prestazioni. In Windows, ad esempio, ci sono problemi con alcuni antivirus e vengono generati schermate blu dal conflitto. Quindi hai bisogno di un antivirus compatibile ...
• Google lavora su un aggiornamento che verrà pubblicato oggi 5 gennaio 2018 per Android, ma arriverà solo a quei telefoni che supportano gli aggiornamenti OTA, il primo sarà il Pixel 2 e il resto dipenderà dai produttori del nostro terminale ...
• Apple Prepara anche le patch per iOS e macOS ma al momento non hanno rilasciato dichiarazioni ... Sembra che in macOS High Sierra 10.13.2 il problema sia stato risolto, ma sembra che nella versione 10.13.3 ci sarà più notizie. Vedremo cosa fanno con iOS per i loro iPhone e iPad.
• ARM Offre anche patch per i suoi processori interessati e le patch sono ora disponibili per il kernel Linux, oltre a ricordarci di utilizzare ARM Trusted Firmware per una maggiore sicurezza.
• Software per vino e virtualizzazione Sono i tipi di software che potrebbero subire le maggiori perdite di prestazioni nella loro esecuzione a causa del numero di chiamate di sistema necessarie per la loro esecuzione.
• Non sono interessati solo i computer e dispositivi mobili, anche altri dispositivi come automobili connesse, sistemi industriali che dispongono di SoC basati sui chip interessati, domotica, alcuni prodotti IoT, ecc.
• NVIDIA ha aggiornato i suoi driver per i loro modelli GeGorce, Quadro e NVS perché potrebbero essere influenzati da Spectre nel loro controller, ecco perché si sono affrettati ad aggiornare i driver. Ma non influisce sulla GPU stessa ... è un semplice aggiornamento del driver per evitare exploit nei sistemi vulnerabili, poiché vengono aggiornati anche browser, antivirus e altri software. La notizia delle GPU interessate è falsa ...
• Espansione delle architetture interessate, Sai già che Meltdown è solo un problema di Intel (sia ARM che AMD non sono stati influenzati nei PoC realizzati in modo soddisfacente), mentre Spectre interessa anche:

• Nel frattempo Intel continua a lanciare sul mercato i modelli interessati senza aver aggiustato nulla oltre alle patch, comprereste oggi un microprocessore di cui sapete ne è affetto? Non solo i modelli più vecchi vengono ancora venduti in magazzino, ma anche i modelli lanciati ora che hanno appena lasciato la fabbrica come il Coffe Lake ...
• Continueremo ad espandere le informazioni e in attesa dell'ultima ora, poiché è probabile che emergano nuove contromisure di sicurezza ed è anche possibile che vengano rilasciate nuove varianti che potrebbero continuare a generare problemi ...

Come dico la telenovela è appena iniziata, e ho la sensazione che verranno scritte molte di queste notizie che sono diventate IL PIÙ GRANDE GUASTO DI SICUREZZA NELLA STORIA:

Non dimenticare di lasciare i tuoi commenti... Se hai commenti da aggiungere, dubbi o altro.