התמזגות וספקטרום מיוחד: כל מה שאתה צריך לדעת על נקודות תורפה אלה (UPDATED)

ההנחה היא כי כ -20% מהמשאבים הזמניים והכלכליים המוקצים ליצירת שבב חדש עוברים לתכנון עצמו, ואילו השאר, כלומר הרבה זמן וכסף, הולכים לסימולציות, בדיקות ובדיקות שבוצעו. כדי לוודא שהכל עובד כמו שצריך. ובכן, נראה שחלק מהיצרנים לא עשו דברים בצורה נכונה לחלוטין עם המוצרים שלהם, וזהו המקרה של אינטלכפי שנראה, הוא לא היחיד שנפגע, אך יש לו כבר מספר רב של בעיות בשבבים שלו, החל מבעיית הנקודה הצפה המפורסמת, דרך כשלים אחרים בערכות השבבים שלה, ועד לפגיעות שהתגלתה גם במנוע הניהול, ועכשיו זה ...

כל הרשתות החברתיות והמדיה הוצפו בחדשות, חלקן סותרות במידה מסוימת לגבי המקרה הזה שהולך לתת הרבה לדבר עליו, ואני ממליץ לך להכין קערה טובה של פופקורן כדי לצפות באופרת הסבון, מכיוון שזה רק עכשיו התחיל. לכן, כך שמשתמשים, במיוחד אלה של לינוקס, לא ילכו לאיבוד עם כל כך הרבה מידע וידעו איך לפעול ולמה הם מקפידים, בנוסף לדעת אם הם מושפעים או לאאנו הולכים לפרסם מאמר זה ב- LxA.

מהי ספקטר והתמוטטות?

כנראה שבעיית רוהאמר שכבר ראינו מעט משמעותית בהשוואה לעומק שיש לבעיה אחרת זו. אין ספק שכבר שמעתם את השמות המפורסמים שזורעים בהלה, ואלה התכה וספקטרום. התקפות אלה שיכולות לפגוע ברצינות באבטחה שלנו מנצלות כמה תכונות כגון ביצוע לא תקין וביצוע ספקולטיבי המיושמים בכל המעבדים העכשוויים לשיפור הביצועים. אנו הולכים להסביר מה כל אחד מהם בחלקים:

• המשבר: זה נקרא כך מכיוון שהוא בעצם ממיס את גבולות האבטחה בין יישומים המוטלים על ידי החומרה, אם כי בבסיס המידע של MITER הוא מכונה CVE-2017-5754. זוהי הבעיה החמורה ביותר שהתגלתה ומשפיעה באופן ספציפי על מעבדי אינטל ששוחררו בעשור האחרון. בגלל פגיעות זו, תהליך חסר זכות יכול לגשת לאזור השמור בזיכרון לליבה, המהווה בעיית אבטחה חמורה. לדוגמה, אזורים בזיכרון ה- RAM עלולים להיות מושלכים. תיקונים לטיפול בפגיעות אלה משפילים משמעותית את הביצועים.
• ספקטרום: שמו טמון בכמה מסובך לפתור אותו, לכן כספקטרום הוא ילך אחרינו לאורך זמן. הוא מופיע בכמה גרסאות (CVE-2017-5753 ו- CVE-2017-5717), מכיוון שהוא עשוי להיות רציני, מכיוון שהוא יכול לאפשר לתהליך "לרמות" את הגרעין להעביר מידע מאזורי זיכרון שהתהליך שולט בו במילים אחרות, זה פורץ את המחסום בין יישומים. במקרה זה זה משפיע על יותר מיקרו-מעבדים, אך ניתן לתקן אותו באמצעות שינויים פשוטים בתוכנה ואובדן הביצועים הוא כמעט אפסי ...

זה הכל על Meltdown וספקטר מוסבר בצורה פשוטה ובלי להשתמש בשפה טכנית מאוד כך שכולם מבינים. בסופו של דבר מה שראינו הוא כי Meltdown ו- Specter יכולים לגשת לנתונים המאוחסנים בזיכרון של תוכניות פועלות וזה עם מעללים וקוד זדוני הוא איום. עכשיו, איך זה יכול להשפיע עלי? ובכן, גם התשובה פשוטה, מכיוון שהם יכולים לאפשר לשנות נתונים, לסנן סיסמאות ונתונים חסויים, תמונות, מיילים, נתוני טופס וכו '.. לכן מדובר בבעיית אבטחה גדולה, כנראה אחת הגדולות בתקופה האחרונה.

לינוס טורוואלדס נאם

לינוס טורבאלדס, היוצר של NVIDIA תזיין אותך! כעת נראה שהוא נתן לאינטל שיחת השכמה על הטעות הענקית שעשו. ובשרשורי הדיון אודות הבעיה שנותרה עקב היות ליבת לינוקס מושפעת, מילותיו הראשונות של היוצר לא הוסיפו לחכות:

מדוע כל זה ללא אפשרויות תצורה? מהנדס מעבד מוכשר היה מתקן זאת על ידי כך שהוא מוודא שספקולציות לא עוברות בתחומי הגנה. [...] אני חושב ש- INtel צריכה להסתכל על המעבדים שלהם, ולהודות באמת שיש להם בעיות במקום לכתוב באז יחסי ציבור שאומר שהכל עובד כמו שתכננו אותו. (בהתייחס להצהרות של אינטל). ...וזה באמת אומר שכל התיקונים הללו כדי להקל על הבעיה צריכים להיכתב עם "לא כל המעבדים הם זבל".. (בהתייחס לתיקון שמופעל ומשפיע על כל המיקרו-מעבדים x86-64 כולל AMD למרות שלא הושפע מאובדן ביצועים כתוצאה מכך) או האם אינטל בעצם אומרת 'אנו מחויבים למכור לך חרא לנצח נצח, לעולם לא לתקן דבר'? [...] מכיוון שאם זה המקרה, אולי נתחיל להסתכל יותר לצד של אנשי ה- ARM64 (בהתייחס לשאלה אם אינטל תפתור את הבעיה או תמשיך למכור מוצרים בעייתיים או לא). אנא דבר עם ההנהלה. כי אני באמת רואה שתי אפשרויות בדיוק:

1. אינטל אף פעם לא מתיימרת לתקן שום דבר.
2. או שלפתרונות אלה יש דרך להיות מושבתים.

ההצהרות מתייחסות לקוד של תיקון שהוחל פוגע ברמת הביצועים מעבד ומשפיע על כל המעבדים במשפחה זו, בין אם הם מושפעים מהפגיעות ובין אם לאו. זו הסיבה ש- AMD ציינה כי הם פועלים להימנע שגם המיקרו-מעבדים שלהם יאבדו את ביצועי התיקון מכיוון שהם אינם מושפעים.

על אילו מעבדים זה משפיע?

זו שאלת מיליון הדולר, מאז לא רק משפיע על לינוקס הרחק ממנהזוהי בעיה של שבב ולכן היא משפיעה גם על MacOS, Windows, Android ואפילו iOS וכו '. לכן זה לא משהו ספציפי, ועכשיו אנחנו הולכים לראות אילו שבבים מושפעים מבעיית העיצוב הזו:

מיקרו-מעבדים שנפגעו מהתמוטטות:

באופן מעשי כל המיקרו-מעבדים של אינטל שיוצרו מאז 1995 עד כה הם מושפעים מבעיה חמורה זו, מכיוון שהיא מנצלת את הביצוע שלא בסדר לשימוש בו. כלומר מחשבים ניידים, מחשבים שולחניים, שרתים ומחשבי-על המשתמשים במעבדים אלה, ואפילו כמה מכשירים ניידים עם שבבי Atom וכו '. היוצאים מן הכלל הם האטומים של אינטל המשתמשים בסדר ביצוע (אלה שיצאו לפני 2013, מכיוון שהאטומים המודרניים ביותר משתמשים ב- OoOE) וגם האינטיאניום של אינטל שלאף אחד לא יהיה כזה בבית מכיוון שהם מיועדים למכונות גדולות.

*ברגע אחרון: ARM Cortex-A75 מושפע גם מ- Meltdown. כרגע נראה שרק הדגם הזה מושפע, אבל אתה כבר יודע ש- ARM מורשה ליבות IP עבור מעצבי SoC אחרים ואם יש להם Cortex-A75 הם גם יושפעו. אבל נראה שההשפעה היא מינימלית במקרה זה ...

ل מעבדים מבוססי AMD ו- ARM (Qualcomm, Samsung, Apple, Mediatek וכו ') אינם מושפעים מבעיה זו. אם יש לך אחד מהשבבים האלה אתה יכול לנשום בקלות... זה גרם למניות אינטל להימכר והן נופלות בשוק המניות בצורה מהדהדת במקביל לזה של AMD גדלה. הסיבה היא ש- AMD אינה מתירה הפניות לזיכרון מסוג זה, כולל הפניות ספקולטיביות, ולכן הן בלתי פגיעות ל- Meltdown.

המעבדים המושפעים מספקטרום:

במקרה זה מספר המכשירים והשבבים המושפעים מורחב, מכיוון שאנו רואים גם טאבלטים, סמארטפונים, מחשבים שולחניים, מחשבים ניידים, שרתים, מחשבי-על וכו '. מושפעים. במקרה זה, שבבי אינטל מושפעים, כל אותם ARM Cortex-A ו- AMD עשויים להיות מושפעים.

* במקרה של ARM, זה משפיע על מספר גדול של SoCs שמיישמים עיצובים מתוקנים או ליבות IP של ARM בפנים כמו אלה של Qualcomm Snapdragon, Samsung Exynox, Apple Series, Mediatek, NVIDIA (אני לא מתכוון ל- GPUs, אלא ל SoCs מבוססי ARM) וכו '.

*** מדיה מסוימת בלבלה את החדשות, אך ה- GPU לא מושפעים (ראה UPDATE (הרגע האחרון)).

** עכשיו נלך למקרה של AMD, באתר הרשמי של מעצב המעבדים אנו יכולים לראות טבלה שמובילה אותנו לאופטימיות ומשאירה אותנו רגועים יותר:

ההבדלים בתכנון AMD נמנעים מהבעיות שנגרמות על ידי Meltdown, מכיוון שמעבדים אלה אינם משערים טעינת קוד משתמש ישירות בזיכרון הליבה. ו- AMD ASID חוסם בעיות עבור מחשבי VM אורחים ומשתמשי שורש באלה.

מעבדים לא מושפעים מספקטר:

רשימה זו של מיקרו-מעבדים נקייה מפגיעות כמו ספקטר מכיוון שערוץ ההוראות שלהם קפדני יותר ונעשה לפי הסדר (הם אינם מיקרו-ארכיטקטורות של OoOE) או משום שהם כוללים מאפיינים ההופכים אותם לחסיניםס. חלקם אולי נראים זקנים מאוד, אך אחרים די מודרניים כפי שקורה SPARC ו- Zen Zen של AMD. אז אם יש לך מעבד שנמצא ברשימה הבאה אתה לא צריך לדאוג לשום דבר:

• זרוע חזקה
• superSPARC
• טרנסמטה קרוזו ואפיסיון
• Power PC 603
• ישן x86: פנטיום I ושיבוטים, כולם שבבי 8 סיביות ו -16 סיביות ישנים, IDT WinChip, VIA C3, 386 ושיבוטים, 486 ושיבוטים
• z80
• 6500 וכדומה
• 68k
• ARM Cortex-A7 MPCore (פטל פי 2)
• ARM Cortex-A5
• ARM Cortex-A53 MPCore למרות שיש לו ביצוע שונה מזה של הקודם ועם מזלג, נראה שהוא לא מושפע. אלה של Raspberry Pi 3 וכמה סמארטפונים וטאבלטים כגון Qualcomm Snapdragon 625 כלולים כאן ...
• אינטל אטום לפני שנת 2013, כלומר אלה המבוססות על מיקרו-ארכיטקטורות כגון Diamondville, Silverthorne, Pineview וכו ', מכיוון שהן אינן משתמשות בביצוע שלא בסדר.
• VIA C7 משתמש בתכנית חיזוי ענפי בסיסית אך הם אינם מושפעים.
• אינטל Itanium (IA-64)
• ל- IBM POWER6 חיזוי ענפים מוגבל ולכן נראה שהוא בלתי פגיע.
• Xeon Phi ו- GPGPU
• סדרת SPARC T
• AMD זין: למעבדי Ryzen ו- EPyC יש פונקציות מעניינות כדי להיות מסוגלים להפריע או להיות פגיעים מספקטר. התצורה עליה אני מדבר היא SME / SEV (הצפנת זיכרון מאובטח וירטואליזציה מוצפנת מאובטחת) שתמנע כל התאוששות זיכרון העלולה לפגוע בסביבות המערכת והווירטואליזציה.

מה הפיתרון?

החל תיקונים או עדכון המערכת שלנו, מה שזה לא יהיה, ועם הטלאים יהיה לנו אובדן ביצועים שניתן להבהיר בנקודה האחרונה, אבל לפחות ברמת האבטחה נהיה מוגנים יותר. תגיד שכבר יש טלאים נגד Meltdown עבור לינוקס ומערכות הפעלה אחרות. הדבר הגרוע ביותר הוא מבחינת מכשירי אנדרואיד, לא לכולם יש עדכוני OTA ...

אתה יכול לראות MAS Información על כך בקישורים הבאים:

• לינוקס ליבה רשימת דיוור
• פרויקט זן
• אינטל
• AMD
• זרוע
• Google
• מוזילה
• דביאן
• אובונטו
• SUSE
• רד האט
• CERT
• VMWare
• Citrix

מהו אובדן הביצועים?

נפגשנו עם שני פתרונות אפשריים:

1. על ידי תוכנה: זה כולל הטמעת תיקונים עבור מערכות ההפעלה macOS, Linux, Windows, iOS ו- Android, אך אלה למרבה הצער לא רק פותרים את בעיית האבטחה אלא יגרמו למערכת שלנו להיות איטית יותר בשל האופן שבו הם משפיעים על ביצוע זה לא בסדר, הספקולטיבי ביצוע או מחיקה של ה- TLB של המעבד שלנו עם הפסדי ביצועים בולטים למדי. חלקם דיברו על ביצועים נמוכים של עד 50% במעבד שלנו, תחזיות פחות שליליות אחרות מדברות על בין 5 ל -30% מהביצועים שאבדו, תלוי בסוג התוכנה שאנחנו מריצים. חלקם מנסים להרגיע את האזעקה וטוענים שחלק ממשחקי הווידאו שנבדקו נתנו רק הפסד של 2% בביצועים מבחינת FPS (רק במקרה של לינוקס, ב- Windows הם לא נותחו), כבר כי במשחקי וידאו המשחק לעתים רחוקות מבקש לקפוץ לחלל הליבה, אך מה קורה עם תוכניות אחרות ועם תוכנות שקודן כולל הוראות רבות תלויות מצב ... ¿? כאן הפסד הביצועים יכול להיות ניכר. מה שנכון הוא שכמה כמו אינטל ואתרים אחרים ניסו להרגיע את המשתמשים ולהגיד שאובדן הביצועים לא יהיה ניכר עבור רוב המשתמשים הביתיים וכי מדובר בבעיה שתשפיע על מרכזי נתונים, שרתים ומחשבי-על ... מה התחזיות האם אנו מאמינים? האמת היא שאתה צריך להישאר רגוע ולחכות לראות מה קורה.
2. לפי חומרה: זה כולל סקירה של השבבים הנוכחיים ועיצוב מחדש של המיקרו-ארכיטקטורות הנוכחיות כך שזה לא יקרה, וזה גוזל זמן, יקר מאוד, ואנחנו לא יכולים לצפות לפתרונות בקרוב. באשר לאינטל להחליט להחליף את השבבים של כל לקוחותיה המושפעים, אני חושב שהתשובה הברורה ביותר היא: חחחח, חכה בישיבה. זה אומר הפסדים של מיליוני דולרים עבור החברה ואני לא חושב שזה יקרה.

לא יבחינו בהפסדי הביצועים בכל השימושים ובכל דגמי המעבד באותו האופן, כמובן, כך שיהיו מודלים המושפעים יותר מאחרים. וזה כלבה נהדרת שלם על שבב מהדור האחרון וראה שבשביל אחד מהתיקונים הללו אתה לא יכול לנצל את הביצועים שלו ל 100%, אבל זה מה שיש כאשר חלקם לא עושים את עבודתם היטב.

מרכזי נתונים גדולים כמו אלה של שירות האינטרנט של אמזון, Microsoft Azure וגם Google Cloud בשל בעיה זו, כאשר משתמשים במעבדים אינטל בשרתים שלהם, אובדן הביצועים נאמד בכ -20% במקרים אלה בהם מטפלים במסדי נתונים של SQL. נכון גם שאחרים כמו גוגל אומרים שאובדן הביצועים זניח.

עדכון (שעה אחרונה):

ככל שעוברות השעות אנו לומדים דברים חדשים על המקרה הזה:

• אחד מהם הוא תביעה נגד אינטל שלא הומצא לחכות. באופן ספציפי, ענקית השבבים קיבלה שלוש מארצות הברית ואולי עוד יגיעו. בתי המשפט בקליפורניה, באינדיאנה ובאורגון היו הראשונים שנהגו בהאשמות ככישלונות לקיומן של פגיעות בזמן, האטו את מעבדיהם באמצעות עדכונים ולא הצליחו להגן על בטיחות המשתמשים.
• מניות אינטל צונחות בזמן שמניות AMD חוזרות, וזה גם גילה פעולה שאם זה לא היה קורה היה נעלם מעיניו. וזהו מנכ"ל אינטל מכר כמעט מחצית ממניותיו בתוך חודש רגע לפני שנחשפה הפרת האבטחה. בריאן קרזניץ 'סילק את מניותיו, למרות שאומרים מהחברה כי אין לזה שום קשר לחדשות, זה יכול להציע שכביכול כבר ידעו על הבעיה לפני כן ולכן הם פעלו בהתאם.
• להופיע ארכיטקטורות חדשות שנפגעו מהבעיהלמרות שאלה לא כל כך נפוצים, הם חשובים בשרתים ובמחשבי העל. אנו מדברים על IBM POWER8 (ליטל אנדיאן וביג אנדיאן), IBM System Z, IBM POWER9 (ליטל אנדיאן) ונראה אם ​​נצטרך להרחיב את הרשימה בקרוב.
• El ליבת לינוקס עוצבה מחדש תוקנו כדי למנוע שמרכזי נתונים גדולים, שרתים ומערכות גדולות שתלויים בה נפגעים קשות. באופן ספציפי, נגעו ב- KPTI (בידוד עמוד הטבלה של הקרנל), שהיה ידוע בעבר כ- KAISER או בשפה המלאה FUCKWIT (בכוח לבטל את המפה של גרעין שלם עם טרמפולינות קטע), שמבודד טוב יותר את שטח המשתמש מחלל הליבה בזיכרון על ידי חלוקת התוכן ב שתי טבלאות החלפה בנפרד. פיצול השולחן מטהר כל הזמן את מטמון TLB עם העלייה כתוצאה מכך בתקלות והצורך במחזורי שעון רבים יותר לחיפוש נתונים והוראות בזיכרון, כלומר, זה מקטין את הביצועים במידה ניכרת, ובהתאם לשיחות המערכת שתוכנית עושה, זה ישפיע פחות או יותר, אך לפחות הימנע מהתמוססות מפוצצת. חלק מההגנות הפרואקטיביות כגון ASLR נוספו ויושמו ב- Linux 4.14.11 ובגרסאות LTS קודמות אחרות: 4.9.74, 4.4.109, 3.16.52, 3.18.91 ו- 3.2.97.
• אומדנים של הפסדי ביצועים הנוכחיים יותר מדברים על אובדן ביצועים של 5% על פי מה שהעיר לינוס טורבלדס, אך הוא גם אומר כי במעבדים ישנים במקצת שאינם כוללים PCID ההשפעה תהיה הרבה יותר גדולה.
• כרגע חוקרי אבטחה הם לא מאמינים שכשלים אלה נוצלו לבצע פיגועים, לפחות חשובים.
• לוק וגנר ממוזילה, מהנדס המתמחה ב- JavaScript וב- WebAssemble טען שהם ייצרו PoCs ואושר כי ניתן לבצע התקפות מבוססות JavaScript באמצעות דפדפנים. לכן הם כבר עובדים על פתרונות ... גוגל פועלת גם לעדכון גוגל כרום וב- 23 בינואר Chrome 64 יפורסם עם התיקון. כרגע אנו יכולים לעשות את הפעולות הבאות:
  • Mozilla Firefox: אין הרבה מה לעשות, הם היו אחראים על עדכון הגרסאות שלהם מ -57 על ידי שינוי הפונקציה performance.now () והשבתת התכונה SharedArrayBuffer והם עובדים על אמצעי אבטחה אחרים.
  • Google Chrome: בינתיים אתה יכול להפעיל מנגנוני הגנה כדי לבודד אתרים באופן ידני. לשם כך תוכלו לגשת לכתובת chrome: // flags / # enable-site-per-process ואנחנו מאפשרים את האפשרות המסומנת בצהוב שאומרת בידוד אתר סקריפט. אם יש לך Chrome ב- Android, אתה יכול גם לגשת לאפשרות זו ב- chrome: // דגלים אבל זה יכול להוביל לקונפליקטים או אובדן ביצועים.
• התיקונים לתיקון הבעיות גורמים לאחרים מעבר לביצועים. ב- Windows, למשל, יש בעיות באנטי-וירוס כלשהו והן נוצרות צילומי מסך כחולים מהסכסוך. אז אתה צריך אנטי-וירוס תואם ...
• גוגל עובדת על עדכון אשר יפורסם היום ב -5 בינואר 2018 לאנדרואיד, אך הוא יגיע רק לטלפונים התומכים בעדכוני OTA, הראשון יהיה פיקסל 2 והשאר יהיה תלוי ביצרני המסוף שלנו ...
• תפוח עץ זה גם מכין תיקונים עבור iOS ו- macOS אבל הם לא הצהירו כרגע ... נראה שב- macOS High Sierra 10.13.2 הבעיה ככל הנראה נפתרה, אך נראה שבגרסה 10.13.3 תהיה עוד חדשות. נראה מה הם עושים עם iOS עבור מכשירי האייפון והאייפד שלהם.
• זרוע היא מציעה גם תיקונים עבור המעבדים המושפעים שלה, ותיקונים זמינים כעת עבור ליבת לינוקס וכן מזכירים לנו להשתמש בקושחה מהימנה של ARM לאבטחה נוספת.
• תוכנת יין ווירטואליזציה הם סוגי התוכנות שעשויים להיות בעלי אובדן הביצועים הגדול ביותר בביצועם בגלל מספר הסיסקלים הדרושים לביצועם.
• לא רק מחשבים מושפעים ומכשירים ניידים, גם מכשירים אחרים כמו מכוניות מחוברות, מערכות תעשייתיות שיש להן SoC המבוססים על השבבים המושפעים, אוטומציה ביתית, מוצרי IoT מסוימים וכו'.
• NVIDIA עדכנה את מנהלי ההתקנים שלה עבור דגמי GeGorce, Quadro ו- NVS מכיוון שהם עלולים להיות מושפעים מספקטר בבקר שלהם, לכן מיהרו לעדכן את מנהלי ההתקן. אבל זה לא משפיע על ה- GPU עצמו ... זהו עדכון מנהל התקן פשוט כדי למנוע ניצולים במערכות פגיעות, שכן גם דפדפנים, אנטי-וירוס ותוכנות אחרות מתעדכנים. החדשות על GPUs המושפעים הן שקריות ...
• הרחבת ארכיטקטורות מושפעות, אתה כבר יודע שההתמוטטות היא רק הבעיה של אינטל (גם ARM וגם AMD לא הושפעו מ- PoCs שבוצעו באופן משביע רצון), בעוד שספקטר גם משפיע על:

• בינתיים אינטל ממשיכה להשיק לשוק דגמים מושפעים מבלי שתיקנת משהו מעבר לטלאים. האם היית קונה מעבד מעבד שאתה יודע שהוא מושפע? לא רק דגמים ישנים עדיין נמכרים במלאי, אלא גם דגמים שהושקו כעת שיצאו זה עתה מהמפעל כמו אגם הקפה ...
• אנו נמשיך להרחיב את המידע ובהמתנה של השעה האחרונהמאחר וסביר להניח שיופיעו אמצעי נגד אבטחה חדשים וייתכן כי ישוחררו גרסאות חדשות שעשויות להמשיך לייצר בעיות ...

כמו שאמרתי אופרת הסבון רק התחילהויש לי הרגשה שהרבה מהידיעות הללו ייכתבו שהפכו לכשל האבטחה הגדול ביותר בהיסטוריה:

אל תשכח להשאיר את הערותיך... אם יש לך הערות להוסיף, ספקות או כל דבר אחר.