SPECIÁLIS Meltdown és Spectre: minden, amit tudnod kell ezekről a biztonsági résekről (FRISSÍTVE)

Feltételezzük, hogy az új chip létrehozására szánt átmeneti és gazdasági források körülbelül 20% -a magának a tervezésnek felel meg, míg a többi, azaz sok idő és pénz szimulációkra, tesztekre és elvégzett tesztekre fordul hogy minden megfelelően működik. Nos, úgy tűnik, hogy egyes gyártók nem egészen jól csinálták a termékeiket, és ez van az Intel eseteMint látni fogjuk, nem ez az egyetlen érintett, de már most is számos problémája van a chipjeivel, a híres lebegőpontos problémától kezdve a chipkészleteinek egyéb hibáin át a Management Engine-ben is észlelt sebezhetőségig, és most ez ...

Minden közösségi hálózatot és médiát elárasztottak a hírek, amelyek némileg ellentmondásosak erről az esetről, amelyről sokat kell beszélni, és azt tanácsolom, hogy készítsen egy jó tál pattogatott kukoricát a szappanopera megtekintéséhez, mivel ez csak most megkezdett. Ezért, hogy a felhasználók, különösen a Linux felhasználói, ne tévesszenek el annyi információval és ismeretekkel hogyan kell cselekedni és ezen kívül mihez ragaszkodnak tudja, hogy érinti-e őket, ezt a cikket közzétesszük az LxA-ban.

Mi a Spectre és a Meltdown?

Valószínűleg a Rowhammer-probléma, amelyet már láttunk, kissé jelentéktelen ahhoz a mélységhez képest, amelyet ez a másik probléma tapasztal. Biztosan hallottál már olyan híres neveket, amelyek pánikot keltenek, és azok is Meltdown és Spectre. Ezek a támadások, amelyek komolyan veszélyeztethetik a biztonságunkat, kihasználnak néhány olyan funkciót, mint a rendelésen kívüli és a spekulatív végrehajtás, amelyeket minden korabeli processzorban megvalósítanak a teljesítmény javítása érdekében. Meg fogjuk magyarázni, mi minden egyes részenként:

• Meltdown: Azért hívják, mert alapvetően megolvasztja a hardver által előírt alkalmazások közötti biztonsági korlátokat, bár a MITER információs bázisban CVE-2017-5754 néven ismert. A feltárt problémák közül a legsúlyosabb, és kifejezetten érinti az elmúlt évtizedben kiadott Intel processzorokat. A biztonsági rés miatt egy kiváltságtalan folyamat hozzáférhet a kernel számára a memóriában fenntartott területhez, ami komoly biztonsági probléma. Például a RAM memória egyes területeit ki lehet dobni. A biztonsági rés elhárítására szolgáló javítások jelentősen rontják a teljesítményt.
• Kísértet: neve abban rejlik, hogy mennyire bonyolult megoldani, ezért spektrumként még jó ideig követni fog minket. Pár változatban jelenik meg (CVE-2017-5753 és CVE-2017-5717), ami potenciálisan komoly, mivel lehetővé teheti a folyamat számára, hogy "átverje" a kernelt az információk mozgatásába az adott folyamat által vezérelt memóriazónákból, vagyis Más szavakkal, megtöri a korlátot az alkalmazások között. Ebben az esetben több mikroprocesszort érint, de egyszerű szoftvermódosításokkal megoldható és a teljesítményveszteség gyakorlatilag nulla ...

Mindez arról szól, hogy a Meltdown és a Spectre egyszerűen és nagyon technikai nyelvhasználat nélkül magyarázható el, hogy mindenki megértse. Végül azt láttuk, hogy a Meltdown és a Spectre hozzáférhet a futó programok memóriájában tárolt adatokhoz, és ez kihasználásokkal és rosszindulatú kódokkal fenyegetést jelent. Most ez hogyan hathat rám? Nos, a válasz is egyszerű, mivel megengedhetik adatok módosítása, jelszavak és bizalmas adatok, fényképek, e-mailek, űrlapadatok stb. szűrése. Ezért ez egy nagy biztonsági probléma, valószínűleg az egyik legnagyobb az utóbbi időben.

Linus Torvalds beszélt

Linus Torvalds, az NVIDIA készítője Bassza meg! Most úgy tűnik, hogy felébresztette az Intelet az általuk elkövetett hatalmas hiba miatt. És a problémáról szóló vitaszálakban, amelyek a Linux kernel érintettsége miatt maradtak fenn, az alkotó első szavai nem várakoztak:

Miért van mindez konfigurációs lehetőségek nélkül? Egy illetékes CPU-mérnök ezt megoldja azzal, hogy megbizonyosodjon arról, hogy a spekuláció nem megy át a védelmi tartományokon. […] Úgy gondolom, hogy az INtel-nek meg kell néznie a processzorait, és valóban el kell ismernie, hogy problémáik vannak ahelyett, hogy PR-közleményt írnának, mondván, hogy minden úgy működik, ahogy tervezték. (Az Intel nyilatkozataira hivatkozva). ...és ez valóban azt jelenti, hogy a probléma enyhítésére szolgáló összes javítást "nem minden CPU szemét" szem előtt tartásával kell megírni.. (Az alkalmazott javításra hivatkozva, amely az összes x86-64 mikroprocesszort, köztük az AMD-t is érinti, annak ellenére, hogy a következményes teljesítményvesztés nem érinti). Vagy az Intel alapvetően azt állítja, hogy "elkötelezettek vagyunk amellett, hogy örökkön örökké eladjuk a szart, soha nem javítva semmit"? […] Mert ha ez a helyzet, akkor talán inkább az ARM64 emberek oldalára kellene néznünk (utalva arra, hogy az Intel megoldja-e a problémát, vagy továbbra is értékesíti-e a problémás termékeket). Kérjük, beszéljen a vezetőséggel. Mert valóban pontosan két lehetőséget látok:

1. Az Intel soha nem állítja, hogy bármit is javítana.
2. Vagy ezeknek a megoldásoknak van módjuk letiltásra.

A nyilatkozatok a az alkalmazott tapasz súlyosan rontja a teljesítményt CPU, és a család összes processzorát érinti, függetlenül attól, hogy őket érinti-e a biztonsági rés. Ezért az AMD jelezte, hogy azon dolgoznak, hogy megakadályozzák a mikroprocesszoroknál a javítás teljesítményvesztését is, mivel ez nem érinti őket.

Milyen processzorokat érint?

Azóta ez a millió dolláros kérdés nemcsak a Linuxot érinti tőle távol, Ez egy chipprobléma, ezért egyaránt érinti a macOS-t, a Windows-ot, az Android-ot és még az iOS-t is stb. Ezért ez nem valami konkrét, és most megnézzük, mely chipeket érinti ez a tervezési probléma:

Az Meltdown által érintett mikroprocesszorok:

gyakorlatilag az összes 1995 óta gyártott Intel mikroprocesszor Eddig ez a súlyos probléma érinti őket, mivel kihasználja a végrehajtást, rendezetlen módon, hogy kihasználja azt. Ez azt jelenti, hogy laptopok, asztali számítógépek, szerverek és szuperszámítógépek használják ezeket a processzorokat, sőt néhány mobil eszköz Atom chipekkel stb. Kivételt képeznek azok az Intel atomok, amelyek sorrendben használnak egy végrehajtást (azok, amelyek 2013 előtt jelentek meg, mivel a legmodernebb atomok valóban OoOE-t használnak), valamint az Intel Itanium, amelyet senki sem fog otthon tartani, mivel nagy gépekhez szánják őket.

*UTOLSÓ PILLANATBAN: Az ARM Cortex-A75-et is érinti a Meltdown. Jelenleg úgy tűnik, hogy csak ezt a modellt érinti, de már tudja, hogy az ARM engedélyezi az IP magokat más SoC tervezők számára, és ha Cortex-A75-ösük van, akkor azok is érintettek lesznek. De úgy tűnik, hogy ebben az esetben a hatás minimális ...

sok AMD és ARM alapú mikroprocesszorok (Qualcomm, Samsung, Apple, Mediatek stb.) Nem érinti ez a probléma. Ha rendelkezik egy ilyen zsetonnal nyugodtan lélegezhet... Ez az Intel részvényeinek eladását okozta, és a tőzsdén átütő módon esnek, miközben az AMD növekedése megnőtt. Ennek oka, hogy az AMD nem engedélyezi az ilyen típusú memória hivatkozásokat, beleértve a spekulatív hivatkozásokat is, ezért sebezhetetlenek a Meltdown számára.

A spektrum által érintett mikroprocesszorok:

Ebben az esetben az érintett eszközök és chipek száma bővül, mivel azt is látjuk, hogy tabletek, okostelefonok, asztali gépek, laptopok, szerverek, szuperszámítógépek stb. érint. Ebben az esetben az Intel chipek, mindazok az ARM Cortex-A chipek és az AMD chipek is érintettek lehetnek.

* Az ARM esetében sok olyan SoC-t érint, amelyek módosított terveket vagy ARM IP magokat valósítanak meg, például a Qualcomm Snapdragon, a Samsung Exynox, az Apple A-sorozat, a Mediatek, az NVIDIA (nem GPU-kra gondolok, hanem ARM-alapú SoC-k) stb.

*** Néhány média összekeverte a híreket, de a GPU-kat ez nem érinti (lásd: UPDATE (utolsó pillanat)).

** Most az AMD esetére térünk ki, a CPU-tervező hivatalos honlapján láthatunk egy táblázatot, amely optimizmusra vezet minket, és kissé nyugodtabbá tesz minket:

Az AMD kialakításában mutatkozó különbségek elkerülik a Meltdown okozta problémákat, mivel ezek a CPU-k nem feltételezik, hogy a felhasználói kódok közvetlenül a kernel memóriájába kerülnek. És az AMD ASID blokkolja a vendég virtuális gépek és a root felhasználók problémáit is ezeken.

A Spectre NEM érintett mikroprocesszorai:

Ez a mikroprocesszorok listája mentes a sebezhetőségektől, például a Spectre-től, mert az utasításcsatornájuk szigorúbb és rendezettebb (nem OoOE mikroarchitektúrák), vagy mert tartalmazzák jellemzők, amelyek immunissá teszik őkets. Néhányan nagyon réginek tűnhetnek, de mások meglehetősen modernek, mint ez a helyzet SPARC és az AMD Zen. Tehát, ha van egy CPU-ja, amely a következő listában szerepel, akkor nem kell aggódnia semmitől:

• Erős kar
• szuper SPARC
• Transmeta Crusoe és Efficeon
• Power PC 603
• Régi x86: Pentium I és klónok, minden régi 8 bites és 16 bites chip, IDT WinChip, VIA C3, 386 és klónok, 486 és klónok
• z80
• 6500 és hasonlók
• 68k
• ARM Cortex-A7 MPCore (Raspberry Pi 2)
• ARM Cortex-A5
• Bár az ARM Cortex-A53 MPCore végrehajtása eltér a korábbiaktól és villával rendelkezik, úgy tűnik, ez nem érinti. A Raspberry Pi 3 és néhány okostelefon és tablet, például a Qualcomm Snapdragon 625 tartozékai ide tartoznak ...
• Az Intel Atom 2013 előtt, vagyis olyan mikroarchitektúrákon alapul, mint a Diamondville, Silverthorne, Pineview stb., Mivel nem használnak megbízáson kívüli végrehajtást.
• A VIA C7 alapvető elágazási előrejelzési sémát használ, de ez nem érinti őket.
• Intel Itanium (IA-64)
• Az IBM POWER6 korlátozott elágazási előrejelzéssel rendelkezik, ezért sérthetetlennek tűnik.
• Xeon Phi és GPGPU
• SPARC T sorozat
• AMD Zen: A Ryzen és az EPyC mikroprocesszorok érdekes funkciókkal rendelkeznek, hogy képesek legyenek megszakítani vagy sérthetetlenek a Spectre számára. Ez a konfiguráció, amelyről beszélek, a SME / SEV (biztonságos memória titkosítás és biztonságos titkosított virtualizáció), amely elkerülné a memória helyreállítását, amely veszélyeztetheti a rendszert és a virtualizációs környezeteket.

Mi a megoldás?

aplicar javításokat vagy frissítse a rendszerünketbármi is legyen, és vele A foltok Lehetséges teljesítményvesztésünk lesz, hogy az utolsó pontban tisztázzuk, mi ez, de legalább biztonsági szinten valamivel jobban védve vagyunk. Tegyük fel, hogy már vannak javítások a Linux és más operációs rendszerek Meltdown ellen. A legrosszabb az Android-eszközök szempontjából, nem mindegyik rendelkezik OTA-frissítéssel ...

Láthatod több információ erről a következő linkeken:

• Linux kernel levelezőlistája
• Xen projekt
• Intel
• AMD
• ARM
• Google
• Mozilla
• Debian
• Ubuntu
• SUSE
• Red Hat
• CERT
• VMWare
• Citrix

Mi a teljesítményveszteség?

Találkoztunk két lehetséges megoldás:

1. Szoftver szerint: Ez magában foglalja a javítások telepítését macOS, Linux, Windows, iOS és Android operációs rendszerekhez, de ezek sajnos nem csak a biztonsági problémát oldják meg, hanem lassabbá teszik a rendszerünket annak a módnak köszönhetően, ahogy azok rendezetlenül befolyásolják ezt a végrehajtást, a spekulatív végrehajtást vagy a processzorunk TLB-jének törlése meglehetősen jelentős teljesítményvesztéssel. Néhányan a processzorunk 50% -kal kevesebb teljesítményéről beszéltek, más kevésbé negatív előrejelzések az elvesztett teljesítmény 5-30% -áról szólnak, a futtatott szoftver típusától függően. Egyesek próbálják lecsendesíteni a riasztást, és azt állítják, hogy egyes tesztelt videojátékok csak 2% -os teljesítményveszteséget okoztak az FPS szempontjából (csak a Linux esetében, a Windows rendszerben nem elemezték őket), már ez is a videojátékokban a játék ritkán kéri, hogy ugorjon a kerneltérbe, de mi történik más programokkal és olyan szoftverekkel, amelyek kódjának sok utasítása van a feltételektől függően? Itt a teljesítményveszteség jelentős lehet. Az igaz, hogy egyesek, például az Intel és más webhelyek megpróbálták megnyugtatni a felhasználókat, és azt mondták, hogy a teljesítményveszteség a legtöbb otthoni felhasználó számára nem lesz észrevehető, és ez egy olyan probléma, amely hatással lesz az adatközpontokra, a szerverekre és a szuperszámítógépekre ... hiszünk? Az az igazság, hogy nyugodtnak kell maradnia, és várnia kell, hogy mi történjen.
2. Hardver szerint: Ez magában foglalja a jelenlegi chipek felülvizsgálatát és a jelenlegi mikroarchitektúrák átalakítását, hogy ez ne történjen meg, ami időigényes, nagyon költséges, és nem várhatunk megoldásokat hamarosan. Ami azt illeti, hogy az Intel az összes érintett ügyfelének chipjeinek cseréjéről dönt, szerintem a legegyértelműbb válasz: hahaha, várjon ülve. Ez sokmilliós veszteséget jelentene a vállalat számára, és nem hiszem, hogy ez megtörténik.

A teljesítményvesztés nyilvánvalóan nem érezhető minden felhasználásnál és az összes CPU-modellnél, így lesznek olyan modellek, amelyeket jobban érintenek, mint mások. És ez egy nagy szuka fizessen egy utolsó generációs chipért, és vegye figyelembe, hogy ezen javítások egyikénél nem tudja 100% -osan kihasználni a teljesítményét, de ez van akkor, amikor egyesek nem jól végzik a dolgukat.

Nagy adatközpontok, mint például a Amazon Web Service, Microsoft Azure és a Google Cloud is E probléma miatt, amikor az Intel mikroprocesszorokat használják kiszolgálóikban, a teljesítményveszteséget körülbelül 20% -ra becsülik ezekben az esetekben, amikor SQL adatbázisokat kezelnek. Az is igaz, hogy mások, mint a Google, azt mondják, hogy a teljesítményveszteség elhanyagolható.

FRISSÍTÉS (utolsó óra):

Az órák múlásával új dolgokat tudunk meg erről az esetről:

• Egyikük a pert az Intel ellen hogy nem várakoztatták. Pontosabban, a chipóriás hármat kapott az Egyesült Államoktól, és valószínűleg még többen jönnek. A kaliforniai, az indianai és az oregoni bíróságok voltak az elsők, amelyek a vádak alapján jártak el, mivel nem sikerült időben feltárni a sebezhetőség létét, a frissítések révén lelassították a processzorokat, és nem sikerült megvédeniük a felhasználók biztonságát.
• Az Intel részvényei csökkennek, miközben az AMD-k fellendülnek, és ez egy olyan cselekvést is feltárt, amely észrevétlen lett volna, ha ez nem történik meg. És ez az Az Intel vezérigazgatója részvényeinek majdnem felét eladta egy hónap múlva, közvetlenül a biztonsági rés feltárása előtt. Brian Krzanich eladta részvényeit, és ez bár a cégtől azt mondják, hogy semmi köze a hírekhez, arra utalhat, hogy állítólag már korábban is tudtak a problémáról, és ezért jártak el ennek megfelelően.
• megjelenik a probléma által érintett új architektúrákBár ezek nem annyira elterjedtek, fontosak a szerverekben és a szuperszámítógépekben. Beszélünk az IBM POWER8-ról (Little Endian és Big Endian), az IBM System Z-ről, az IBM POWER9-ről (Little Endian), és meglátjuk, hamarosan bővítenünk kell-e a listát.
• El A Linux kernelt átalakítottuk javítással megakadályozzuk a nagyméretű adatközpontok, szerverek és a tőle függő nagy rendszerek súlyos sérülését. Pontosabban megérintette a KPTI-t (Kernel Page Table Isolation), amelyet korábban KAISER-nek vagy köznyelven FUCKWIT-nek (FuckKWIT (Force Unmap Complete Kernel With Interrupt Trampolines)) ismertek, amely jobban elkülöníti a memóriamodulban található felhasználói teret a tartalom felosztásával. két személyhívó táblázat külön-külön. Az asztal felosztása folyamatosan megtisztítja a TLB gyorsítótár ennek következtében megnő a meghibásodások száma és szükség van több óraciklusra az adatok és utasítások kereséséhez a memóriában, vagyis jelentősen csökkenti a teljesítményt, és a program által végrehajtott rendszerhívásoktól függően többé-kevésbé, de legalább kerülni Meltdown felrobbant. Néhány proaktív védelmet, például az ASLR-t hozzáadtak, és ezeket a Linux 4.14.11 és más korábbi LTS verziók is megvalósították: 4.9.74, 4.4.109, 3.16.52, 3.18.91 és 3.2.97.
• Becslések a teljesítményveszteségről az aktuálisabbak 5% -os teljesítményvesztésről beszélnek Linus Torvalds megjegyzése szerint, de azt is elmondja, hogy valamivel régebbi CPU-kban, amelyek nem tartalmazzák a PCID-t, a hatás sokkal nagyobb lenne.
• Jelenleg biztonsági kutatók nem hiszik, hogy ezeket a kudarcokat kihasználták volna legalább fontos támadások végrehajtására.
• Luke Wagner a Mozillától, a JavaScript-re és a WebAssembly-re szakosodott mérnök azt állította, hogy PoC-ket készítettek, és megerősítést nyert, hogy a JavaScript-alapú támadások böngészőkön keresztül is végrehajthatók. Ezért már dolgoznak a megoldásokon ... A Google a Google Chrome frissítésén is dolgozik, és január 23-án a Chrome 64 megjelenik a módosítással együtt. Jelenleg a következőket tehetjük:
  • Mozilla Firefox: Nincs sok tennivaló, ők felelősek 57-es verzióik frissítéséért a performance.now () függvény módosításával és a SharedArrayBuffer szolgáltatás letiltásával, és más biztonsági intézkedéseken dolgoznak.
  • Google Chrome: közben aktiválhatja a védelmi mechanizmusokat a webhelyek kézi elkülönítésére. Ehhez elérheti a címet chrome: // flags / # enable-site-per-process és engedélyezzük a sárga színnel jelölt opciót, amely a Script Site Isolation szót írja. Ha Chrome-ot használ Androidon, akkor ezt a lehetőséget is elérheti chrome: // flags de konfliktusokhoz vagy teljesítményvesztéshez vezethet.
• A problémák megoldására szolgáló javítások másokat teljesítményen felülieknek okoznak. Például a Windows rendszerben vannak problémák egyes víruskeresőkkel, és ezek generálódnak kék képernyő felvételek a konfliktusból. Tehát kompatibilis víruskeresőre van szüksége ...
• A Google dolgozik egy frissítésen amelyet ma 5. január 2018-én teszünk közzé Androidra, de csak azokat a telefonokat éri el, amelyek támogatják az OTA frissítéseket, az első a Pixel 2 lesz, a többi pedig a terminálunk gyártóitól függ ...
• Apple Javításokat is készít az iOS és a macOS számára, de jelenleg nem tettek nyilatkozatokat ... Úgy tűnik, hogy a macOS High Sierra 10.13.2-ben a probléma látszólag megoldódott, de úgy tűnik, hogy a 10.13.3 verzióban lesz további hírek. Meglátjuk, mit csinálnak az iOS-szel az iPhone-okhoz és iPadjeikhez.
• ARM Javításokat is kínál az érintett processzorainak, és a javítások már elérhetők a Linux kernel számára, valamint emlékeztetnek minket arra, hogy a biztonság növelése érdekében használjuk az ARM Trusted Firmware programot.
• Bor- és virtualizációs szoftver Ezek azok a szoftvertípusok, amelyek végrehajtása során nagyobb teljesítményveszteséget okozhat a végrehajtáshoz szükséges rendszerszámaink száma miatt.
• Nem csak a számítógépeket érinti és mobil eszközök, egyéb eszközök, például csatlakoztatott autók, ipari rendszerek, amelyek az érintett chipeken alapuló SoC-vel rendelkeznek, otthoni automatizálás, bizonyos IoT-termékek stb.
• Az NVIDIA frissítette illesztőprogramjait GeGorce, Quadro és NVS modelljeikre, mert a vezérlőjükben a Spectre hatással lehet rájuk, ezért siettek frissíteni az illesztőprogramokat. De ez nem érinti magát a GPU-t ... ez egy egyszerű illesztőprogram-frissítés a sérülékeny rendszerek kihasználásának elkerülése érdekében, mivel a böngészők, a víruskereső és más szoftverek is frissülnek. Az érintett GPU-k hamisak ...
• Az érintett architektúrák bővítése, Már tudja, hogy a Meltdown csak az Intel problémája (az ARM-et és az AMD-t sem érintették a kielégítően elkészített PoC-k), míg a Spectre a következőket is érinti:

• Mindeközben az Intel továbbra is piacra dobja a modelleket anélkül, hogy bármit is javított volna a javításokon túl. Ma vásárolna egy mikroprocesszort, amelyről tudja, hogy érintett? Nem csak a régebbi modelleket árulják továbbra is készleten, hanem a most piacra dobott modelleket is, amelyek épp a gyárból hagyták el, mint a Coffe Lake
• Folyamatosan bővítjük az elmúlt óra információit és függőben van, mivel valószínűleg új biztonsági ellenintézkedések jelennek meg, és az is lehetséges, hogy új változatok kerülnek kiadásra, amelyek továbbra is problémákat okozhatnak ...

Ahogy mondom a szappanopera még csak most kezdődött, és úgy érzem, hogy sok ilyen hír fog írni, amely a TÖRTÉNELEM LEGNAGYOBB BIZTONSÁGI HIBA lett:

Ne felejtsük el, hogy megjegyzéseket… Ha van hozzá megjegyzése, kétségei vannak, vagy bármi más.