SPECIAL Meltdown and Spectre: všetko, čo potrebujete vedieť o týchto zraniteľnostiach (AKTUALIZOVANÉ)

Predpokladá sa, že asi 20% dočasných a ekonomických zdrojov pridelených na vytvorenie nového čipu ide na samotný dizajn, zatiaľ čo zvyšok, to znamená veľa času a peňazí, ide na simulácie, testy a vykonané testy overiť, či všetko funguje správne. Zdá sa, že niektorí výrobcovia neurobili so svojimi výrobkami veci celkom dobre, a to je tak prípad IntelAko uvidíme, nie je to jediný postihnutý problém, ale už má veľké množstvo problémov so svojimi čipmi, od známeho problému s pohyblivou rádovou čiarkou, cez ďalšie zlyhania jeho čipových súprav až po zraniteľnosť zistenú aj v Management Engine, a teraz toto ...

Všetky sociálne siete a médiá boli zahltené správami, trochu rozporuplnými v tomto prípade, o ktorých sa bude veľa rozprávať a ktoré vám odporúčam pripraviť si dobrú misku popcornu na sledovanie telenovely, pretože to sa ešte len začalo. Preto, aby sa používatelia, najmä používatelia systému Linux, nestratili s toľkými informáciami a poznatkami ako konať a čoho sa okrem toho držia vedieť, či sú alebo nie sú ovplyvnené, chystáme sa tento článok publikovať v LxA.

Čo je to Spectre and Meltdown?

Pravdepodobne Rowhammerov problém, ktorý sme už videli, je v porovnaní s hĺbkou, ktorú má tento druhý problém, trochu zanedbateľný. Pravdepodobne ste už počuli známe mená, ktoré vyvolávajú paniku, a tie sú Meltdown a Spectre. Tieto útoky, ktoré môžu vážne narušiť našu bezpečnosť, využívajú niektoré funkcie, ako sú mimo objednávka a špekulatívne vykonávanie, ktoré sú implementované vo všetkých súčasných procesoroch na zlepšenie výkonu. Vysvetlíme, čo je každý z nich čiastočne:

• Meltdown: nazýva sa to preto, lebo v podstate taví bezpečnostné limity medzi aplikáciami, ktoré ukladá hardvér, aj keď v informačnej databáze MITER je známy ako CVE-2017-5754. Ide o najvážnejší problém, ktorý sa zistil, a konkrétne sa týka procesorov Intel vydaných v poslednom desaťročí. Kvôli tejto zraniteľnosti mohol neprivilegovaný proces získať prístup do oblasti vyhradenej v pamäti pre jadro, čo predstavuje vážny bezpečnostný problém. Napríklad oblasti pamäte RAM by sa mohli vyhodiť. Opravy na riešenie tejto chyby zabezpečenia výrazne znižujú výkon.
• prízrak: jeho názov spočíva v tom, aké zložité je jeho riešenie, preto nás ako spektrum bude ešte dlho nasledovať. Objavuje sa v niekoľkých variantoch (CVE-2017-5753 a CVE-2017-5717), ktoré sú potenciálne vážne, pretože umožňujú procesu „oklamať“ jadro presunom informácií z pamäťových zón, ktoré tento proces riadi, tj. Inými slovami, prelomí bariéru medzi aplikáciami. V tomto prípade to ovplyvňuje viac mikroprocesorov, ale dá sa to opraviť jednoduchými softvérovými úpravami a strata výkonu je prakticky nulová ...

Toto je všetko o Meltdown a Spectre vysvetlených jednoduchým spôsobom a bez použitia veľmi odborného jazyka, aby každý rozumel. Nakoniec sme videli, že Meltdown a Spectre môžu pristupovať k údajom uloženým v pamäti spustených programov, čo je v prípade exploitov a škodlivého kódu hrozbou. Ako ma to môže ovplyvniť? Odpoveď je tiež jednoduchá, pretože môžu dovoliť upravovať údaje, filtrovať heslá a dôverné údaje, fotografie, e-maily, údaje formulárov atď.. Ide teda o veľký bezpečnostný problém, pravdepodobne jeden z najväčších v poslednej dobe.

Prehovoril Linus Torvalds

Linus Torvalds, tvorca NVIDIA Fuck you! teraz sa zdá, že dal spoločnosti Intel budíček pre obrovskú chybu, ktorú urobili. A v diskusných vláknach o probléme, ktorý zostal kvôli ovplyvneniu jadra Linuxu, prvé slová tvorcu neboli urobené na počkanie:

Prečo je to všetko bez možností konfigurácie? Kompetentný technik CPU to napraví tak, že zabezpečí, aby špekulácie neprechádzali cez ochranné domény. [...] Myslím si, že INtel sa musí pozrieť na svoje CPU a skutočne pripustiť, že namiesto napísania módneho slova PR hovorí, že všetko funguje tak, ako má, majú problémy. (V súvislosti s vyhláseniami spoločnosti Intel). ...a to skutočne znamená, že všetky tieto opravy na zmiernenie problému by mali byť napísané s ohľadom na „nie všetky CPU sú odpadky“.. (S odkazom na aplikovanú opravu a ovplyvňujúcu všetky mikroprocesory x86-64 vrátane AMD, aj keď nie je ovplyvnená následnou stratou výkonu) Alebo Intel v podstate hovorí „sme odhodlaní predávať vám hovno navždy a nikdy nič neopravovať“? [...] Pretože ak je to tak, možno by sme sa mali začať viac pozerať na stranu ľudí ARM64 (v súvislosti s tým, či Intel problém vyrieši alebo nie, alebo bude pokračovať v predaji problémových produktov). Prosím, hovorte s vedením. Pretože skutočne vidím presne dve možnosti:

1. Intel nikdy netvrdí, že by niečo opravil.
2. Alebo majú tieto riešenia spôsob znefunkčnenia.

Vyhlásenia sa týkajú kódu aplikovaná oprava vážne zhoršuje výkon CPU a ovplyvňujú všetky procesory v tejto rodine, bez ohľadu na to, či ich táto zraniteľnosť ovplyvní alebo nie. Preto spoločnosť AMD uviedla, že sa snaží zabrániť tomu, aby ich mikroprocesory mali tiež stratu výkonu opravy, pretože na ne nemá vplyv.

Na ktoré procesory to má vplyv?

Toto je otázka za milión dolárov ovplyvňuje nielen LinuxJedná sa o problém s čipom, a preto ovplyvňuje MacOS, Windows, Android a dokonca aj iOS atď. Nejde teda o nič konkrétne a teraz sa pozrieme na to, na ktoré čipy sa tento problém s dizajnom vzťahuje:

Mikroprocesory ovplyvnené rozpadom:

prakticky všetky mikroprocesory Intel vyrobené od roku 1995 Doteraz sa ich tento závažný problém dotýka, pretože na svoje použitie využíva vykonávanie mimo prevádzky. To znamená notebooky, stolové počítače, servery a superpočítače využívajúce tieto procesory, ba dokonca aj niektoré mobilné zariadenia s čipmi Atom atď. Výnimkou sú procesory Intel Atoms, ktoré používajú spustenie v danom poradí (tie, ktoré vyšli pred rokom 2013, pretože najmodernejšie Atomy používajú OoOE), a tiež Intel Itanium, ktoré nikto nebude mať doma, pretože sú určené pre veľké stroje.

*NA POSLEDNÚ CHVÍĽU: Na ARM Cortex-A75 má vplyv aj Meltdown. Momentálne sa zdá, že je ovplyvnený iba tento model, ale už viete, že ARM licencuje IP jadrá pre iných návrhárov SoC, a ak majú Cortex-A75, budú tiež ovplyvnení. Zdá sa však, že v tomto prípade je účinok minimálny ...

undefined Mikroprocesory založené na procesoroch AMD a ARM (Qualcomm, Samsung, Apple, Mediatek atď.) Nie sú týmto problémom ovplyvnené. Ak máte jeden z týchto čipov môžete ľahko dýchať… To spôsobilo, že akcie spoločnosti Intel sa predali a padali na burze zvukovým spôsobom súčasne s nárastom počtu AMD. Dôvod je ten, že AMD nepovoľuje odkazy na pamäť tohto typu, vrátane špekulatívnych odkazov, preto sú pre Meltdown nezraniteľné.

Mikroprocesory ovplyvnené spektrom:

V tomto prípade rozširuje sa počet postihnutých zariadení a čipov, pretože vidíme aj to, ako tablety, smartphony, stolné počítače, notebooky, servery, superpočítače atď. sú ovplyvnené. V tomto prípade sú ovplyvnené čipy Intel, môžu byť ovplyvnené aj všetky ARM Cortex-A a AMD.

* V prípade ARM ovplyvňuje veľké množstvo SoC, ktoré implementujú upravené vzory alebo ARM IP jadrá vo vnútri, ako napríklad Qualcomm Snapdragon, Samsung Exynox, Apple A-Series, Mediatek, NVIDIA (nemám na mysli GPU, ale na ARC založené na SoC) atď.

*** Niektoré médiá zamenili správy, ale grafických procesorov sa to netýka (pozri UPDATE (posledná minúta)).

** Teraz sa dostávame k prípadu AMD, na oficiálnych stránkach dizajnéra CPU môžeme vidieť tabuľku, ktorá nás vedie k optimizmu a necháva nás trocha pokojnejších:

Rozdiely v dizajne AMD sa vyhýbajú problémom spôsobeným Meltdown, pretože tieto CPU nespekulujú načítanie používateľského kódu priamo do pamäte jadra. AMD ASID tiež blokuje problémy hosťujúcich virtuálnych počítačov a používateľov root v týchto serveroch.

Mikroprocesory, ktoré NIE SÚ ovplyvnené:

Tento zoznam mikroprocesorov neobsahuje zraniteľné miesta, ako je napríklad Spectre, pretože ich kanál inštrukcií je prísnejší a je robený v poriadku (nejde o mikroarchitektúry OoOE) alebo preto, že obsahujú vlastnosti, vďaka ktorým sú imúnnis. Niektoré sa môžu zdať veľmi staré, iné sú však celkom moderné, ako je to v prípade SPARC a AMD Zen. Takže ak máte procesor, ktorý je uvedený v nasledujúcom zozname, nemusíte sa ničoho obávať:

• Silná ruka
• Supersparc
• Transmeta Crusoe a Efficeon
• Power PC 603
• Starý x86: Pentium I a klony, všetky staré 8-bitové a 16-bitové čipy, IDT WinChip, VIA C3, 386 a klony, 486 a klony
• z80
• 6500 a podobne
• 68k
• ARM Cortex-A7 MPCore (Raspberry Pi 2)
• ARM Cortex-A5
• ARM Cortex-A53 MPCore aj keď má iné prevedenie ako predchádzajúce a s rozdvojením sa to, zdá sa, netýka. Zahrnuté sú tu Raspberry Pi 3 a niektoré smartphony a tablety, ako napríklad Qualcomm Snapdragon 625 ...
• Intel Atom pred rokom 2013, teda tie založené na mikroarchitektúrach, ako sú Diamondville, Silverthorne, Pineview atď., Pretože nepoužívajú vykonávanie mimo objednávky.
• VIA C7 používa základnú predikčnú schému vetvy, ale nie je to ovplyvnené.
• Intel Itanium (IA-64)
• IBM POWER6 má obmedzenú predikciu vetiev, takže sa zdá byť nezraniteľná.
• Xeon Phi a GPGPU
• Séria SPARC T.
• AMD Zen: Mikroprocesory Ryzen a EPyC majú zaujímavé funkcie, aby boli schopné prerušiť alebo byť pre Spectre nezraniteľné. Konfiguráciou, o ktorej hovorím, je SME / SEV (Secure Memory Encryption & Secure Encrypted Virtualization), ktorá by zabránila akejkoľvek obnove pamäte, ktorá by mohla narušiť systém a virtualizačné prostredia.

Aké je riešenie?

aplicar opravy alebo aktualizáciu nášho systému, nech už je to čokoľvek, a s Náplasti Príde nám možná strata výkonu, ktorú si objasníme v poslednom bode, ale minimálne na bezpečnostnej úrovni budeme o niečo chránenejší. Povedzte, že proti Meltdown pre Linux a ďalšie operačné systémy už existujú opravy. Najhoršie je to z hľadiska zariadení s Androidom, nie všetky majú aktualizácie OTA ...

Môžeš vidieť viac informácií o tom v týchto odkazoch:

• Linux Kernel Mailing List
• Projekt Xen
• Intel
• AMD
• ARM
• Google
• Mozilla
• debian
• ubuntu
• SUSE
• Red Hat
• CERT
• VMWare
• Citrix

Aká je strata výkonu?

Stretli sme sa s dve možné riešenia:

1. Softvér: Zahŕňa to implementáciu opráv pre operačné systémy macOS, Linux, Windows, iOS a Android, ale tieto bohužiaľ nielenže vyriešia problém so zabezpečením, ale náš systém sa spomalí kvôli spôsobu, akým ovplyvňujú toto vykonávanie mimo poradia, špekulatívnym spôsobom. vykonanie alebo vymazanie TLB nášho CPU s dosť výraznými stratami výkonu. Niektorí hovorili až o 50% nižšom výkone nášho procesora, iní menej negatívnych predpovedí hovoria o 5 až 30% zníženého výkonu v závislosti od typu softvéru, ktorý používame. Niektorí sa snažia upokojiť poplach a tvrdia, že niektoré testované videohry priniesli stratu výkonu iba 2% z hľadiska FPS (iba v prípade systému Linux, v systéme Windows neboli analyzované), už to vo videohrách hra zriedka žiada skočiť do priestoru jadra, ale čo sa stane s inými programami a so softvérom, ktorého kód obsahuje veľa pokynov závislých od podmienok ... ¿? Tu môže byť strata výkonu značná. Isté je, že niektoré spoločnosti, ako napríklad Intel a ďalšie webové stránky, sa pokúsili upokojiť používateľov a povedať, že straty výkonu nebudú pre väčšinu domácich používateľov znateľné a že ide o problém, ktorý ovplyvní dátové centrá, servery atď. A superpočítače ... V aké predpovede veríme? Pravda je, že musíte zostať pokojní a čakať, čo sa stane.
2. Podľa hardvéru: Zahŕňa to kontrolu súčasných čipov a prepracovanie súčasných mikroarchitektúr, aby sa tak nestalo, čo je časovo náročné, veľmi drahé a nemôžeme čoskoro očakávať riešenia. Pokiaľ ide o spoločnosť Intel, ktorá sa rozhodne vymeniť čipy všetkých svojich dotknutých zákazníkov, myslím si, že najjasnejšia odpoveď je: hahaha, počkajte na sedenie. To by pre spoločnosť znamenalo mnohamiliónové straty a nemyslím si, že sa to stane.

Straty výkonu si samozrejme nebudú všimnúť pri všetkých použitiach a pri všetkých modeloch procesorov rovnakým spôsobom, takže budú existovať modely, ktoré budú ovplyvnené viac ako iné. A to je skvelá mrcha zaplaťte za čip novej generácie a uvidíte, že pre jednu z týchto opráv nemôžete využiť jeho výkon na 100%, ale je tu to, čo keď niekto nerobí dobre svoju prácu.

Veľké dátové centrá, ako napríklad Amazon Web Service, Microsoft Azure a tiež Google Cloud Kvôli tomuto problému sa pri použití mikroprocesorov Intel na ich serveroch odhadujú straty výkonu na približne 20% v týchto prípadoch, keď sa pracuje s databázami SQL. Je tiež pravda, že ostatní ako Google hovoria, že strata výkonu je zanedbateľná.

UPDATE (posledná hodina):

Postupom času sa dozvedáme nové veci o tomto prípade:

• Jedným z nich je žaloba proti spoločnosti Intel to nebolo urobené čakať. Konkrétne čipový gigant dostal tri zo Spojených štátov a možno prídu ďalšie. Súdy v Kalifornii, Indiane a Oregone boli prvými, ktoré na základe obvinení konali ako zlyhanie v odhalení existencie slabých miest v čase, spomalenie ich procesorov prostredníctvom aktualizácií a nechránenie bezpečnosti používateľov.
• Akcie spoločnosti Intel klesajú, zatiaľ čo sa AMD odrážajú, a to tiež odhalilo akciu, ktorá by, keby sa tak nestalo, zostala bez povšimnutia. A je to tak Generálny riaditeľ spoločnosti Intel predal takmer polovicu svojich akcií za mesiac tesne pred odhalením narušenia bezpečnosti. Brian Krzanich zlikvidoval svoje akcie a toto, aj keď od spoločnosti tvrdia, že nemá nič spoločné s týmito novinkami, by mohlo viesť človeka k domnienke, že o probléme údajne už predtým vedeli, a preto konali podľa toho.
• Objavte sa nové architektúry ovplyvnené problémomAj keď nie sú také rozšírené, v serveroch a superpočítačoch sú dôležité. Hovoríme o IBM POWER8 (Little Endian a Big Endian), IBM System Z, IBM POWER9 (Little Endian) a uvidíme, či budeme musieť zoznam čoskoro rozšíriť.
• El Linuxové jadro bolo prepracované opravené, aby sa zabránilo vážnemu ovplyvneniu veľkých dátových centier, serverov a veľkých systémov, ktoré na nich závisia. Konkrétne sa dotkla KPTI (Isolation Page Table Isolation), ktorá bola predtým známa ako KAISER alebo hovorovo FUCKWIT (Forcefully Unmap Complete Kernel With Interrupt Trampolines), ktorá lepšie izoluje užívateľský priestor od priestoru jadra v pamäti delením obsahu v dva stránkovacie tabuľky osobitne. Štiepanie stola neustále čistí Medzipamäť TLB s následným nárastom porúch a potrebou ďalších hodinových cyklov na hľadanie údajov a pokynov v pamäti, to znamená, že značne znižuje výkon a v závislosti od systémových volaní, ktoré program vykoná, to ovplyvní viac alebo menej, ale pri najmenej sa vyhýbajte tomu, aby Meltdown vyhodili do vzduchu. Boli pridané niektoré proaktívne obrany, ako napríklad ASLR, ktoré boli implementované v systéme Linux 4.14.11 a iných predchádzajúcich verziách LTS: 4.9.74, 4.4.109, 3.16.52, 3.18.91 a 3.2.97.
• Odhady strát výkonu súčasnejšie hovoria o 5% strate výkonu podľa toho, čo komentoval Linus Torvalds, ale tiež hovorí, že v o niečo starších procesoroch, ktoré neobsahujú PCID, by bol dopad oveľa väčší.
• V tejto chvíli výskumníci v oblasti bezpečnosti neveria, že tieto zlyhania boli zneužité uskutočňovať útoky, prinajmenšom dôležité.
• Luke Wagner z Mozilly, inžinier špecializujúci sa na JavaScript a WebAssembly tvrdil, že vytvorili PoC a je potvrdené, že útoky založené na JavaScripte je možné vykonávať prostredníctvom prehľadávačov. Preto už pracujú na riešeniach ... Google pracuje aj na aktualizácii prehliadača Google Chrome a 23. januára bude s novelou zverejnený Chrome 64. V tejto chvíli môžeme urobiť nasledovné:
  • Mozilla Firefox: Nie je veľa práce, mali na starosti aktualizáciu svojich verzií od 57 úpravou funkcie performance.now () a vypnutím funkcie SharedArrayBuffer a pracujú na ďalších bezpečnostných opatreniach.
  • Google Chrome: zatiaľ môžete aktivovať ochranné mechanizmy na manuálnu izoláciu webových stránok. Za týmto účelom môžete získať prístup k adrese chrome: // flags / # enable-site-per-process a povolíme možnosť označenú žltou farbou, ktorá hovorí Script Site Isolation. Ak máte Chrome pre Android, môžete k tejto možnosti pristupovať aj v chrome: // flags ale môže to viesť ku konfliktom alebo strate výkonu.
• Opravy na odstránenie problémov spôsobujú, že ostatní už nie sú výkonní. Napríklad vo Windows existujú problémy s niektorými antivírusmi, ktoré sa generujú modré obrazovky z konfliktu. Potrebujete kompatibilný antivírus ...
• Google pracuje na aktualizácii ktorá vyjde dnes 5. januára 2018 pre Android, ale dostane sa iba k tým telefónom, ktoré podporujú aktualizácie OTA, prvým bude Pixel 2 a zvyšok bude závisieť od výrobcov nášho terminálu ...
• jablko Pripravuje tiež opravy pre iOS a macOS, ale zatiaľ neurobili žiadne vyhlásenia ... Zdá sa, že v systéme macOS High Sierra 10.13.2 bol problém zjavne vyriešený, ale zdá sa, že vo verzii 10.13.3 bude viac noviniek. Uvidíme, čo urobia s iOS pre svoje iPhony a iPady.
• ARM Ponúka tiež opravy pre svoje ovplyvnené procesory a opravy sú teraz k dispozícii pre jadro systému Linux, ako aj pripomenutie, že na zvýšenie bezpečnosti máme používať dôveryhodný firmvér ARM.
• Víno a virtualizačný softvér Sú to typy softvéru, ktoré môžu mať pri vykonávaní najväčšie straty výkonu z dôvodu počtu systémových volaní potrebných na ich vykonanie.
• Dotknuté sú nielen počítače a mobilné zariadenia, aj iné zariadenia, ako sú pripojené autá, priemyselné systémy, ktoré majú SoC založené na dotknutých čipoch, domáca automatizácia, určité produkty internetu vecí atď.
• NVIDIA aktualizovala svoje ovládače pre ich modely GeGorce, Quadro a NVS, pretože by ich mohol ovplyvňovať Spectre v ich radiči, preto sa ponáhľali s aktualizáciou ovládačov. Nemá to však vplyv na samotný GPU ... jedná sa o jednoduchú aktualizáciu ovládača, ktorá zabráni zneužitiu v zraniteľných systémoch, pretože sa aktualizujú aj prehľadávače, antivírus a ďalší softvér. Správa o postihnutých GPU je nepravdivá ...
• Rozšírenie dotknutých architektúr, Už viete, že Meltdown je iba problémom spoločnosti Intel (procesory ARM a AMD neboli v PoC uspokojivo ovplyvnené), zatiaľ čo Spectre ovplyvňuje:

• Spoločnosť Intel medzitým pokračuje v uvádzaní dotknutých modelov na trh bez toho, aby ste opravili niečo nad rámec opráv. Kúpili by ste si dnes mikroprocesor, o ktorom viete, že je ovplyvnený? Nielenže sa stále na sklade predávajú staršie modely, ale aj teraz uvedené na trh modely, ktoré práve opustili továreň, napríklad Coffe Lake ...
• Budeme pokračovať v rozširovaní informácií a čakaní na poslednú hodinu, pretože je pravdepodobné, že sa objavia nové bezpečnostné protiopatrenia a je tiež možné, že budú vydané nové varianty, ktoré môžu naďalej vytvárať problémy ...

Ako hovorím telenovela sa len začala, a mám pocit, že bude napísaných veľa týchto správ, ktoré sa stali NAJVÄČŠÍM ZABEZPEČENÍM ZABEZPEČENIA V HISTÓRII:

Nezabudnite zanechať svoje komentáre… Ak máte pripomienky, pochybnosti alebo čokoľvek iné.