Intel ruller ut nye Spectre-oppdateringer

[AfterGlow]

Men de eldre prosessorene er ennå utsatt.

Intel ruller ut nye Spectre-oppdateringer

[Dal]

En ting jeg lurer på: Er disse sikkerhetshullene tettet i nyere modeller av prosessorer?

Så hvis vi kjøper nye prosessorer, så trenger vi ikke softwarebaserte fikser?

[_Spook_]

En ting jeg lurer på: Er disse sikkerhetshullene tettet i nyere modeller av prosessorer?

Så hvis vi kjøper nye prosessorer, så trenger vi ikke softwarebaserte fikser?

 

Nei de er ikke rettet i noen modeller som er på markedet nå. Intel påstår de skal ha fikset det i neste generasjon som kommer i løpet av året.

[G]

Hvor mye senere i år vil disse endringen dukke opp i silisiumet?

[Storefjell]

Absurd mye unødvendig fokus på dette fra media. Nettopp i det mest ekstreme hjørnet av virtualiseringsforskning det ble oppdaget i det hele tatt. For privatfolk må man være infisert med trojan/rat og virus med mindre man bruker en utdatert nettleser, og hvis man først har ondartet programvare, er det LANGT mer andre og mer direkte interessante ting å gjøre enn å utnytte side-channel svakheter, blir rett og slett tåpelig ting å gjøre. Dette er ikke viktig overhodet å patche utenfor virtuelle produksjonsmiljøer. Folk flest kan slappe helt av og la dette gå sin naturlige gang uten å stresse.

[Karamell]

Hvor mye senere i år vil disse endringen dukke opp i silisiumet?

Et meget interessant spørsmål, mitt tips er : det kommer ikke i år.

 

Spectre er meget vanskelig å bli kvitt, kanskje ikke praktisk mulig ?

Meltdown krever design endringer av relativt inngripende og omfattende karakter, som bryter med en

designfilosofi man har brukt som base i 20 år. Bare å bygge noe som helst, som er like effektivt, men sikrere, og samtidig kompatibelt med alskens programvare, vil kreve mye ressurser.

Det vil også være vanskelig å forutsi mulige framtidige problemer/exploits med de løsninger man eventuelt måtte klare å komme med.

Noe som gjør at disse 2 "bugsa" minner mer om logiske brister, enn sikkerhetshull.

 

Hvordan skal du klare å overliste en person, som vet akkurat hvordan hjernen din virker ?

Endret 23. februar 2018 av Karamell

[G]

Så du mener at de bør redesigne CPU (x86-64), og kjøre parallell OS-utvikling, evt. å simulere ting i en sandkasse?

Endret 24. februar 2018 av G

[Karamell]

Så du mener at de bør redesigne CPU (x86-64), og kjøre parallell OS-utvikling, evt. å simulere ting i en sandkasse?

Jeg har ikke løsningen, men noen har prøvd å si lenge, i flere år, at Intel har hatt et sikkerhetsproblem. Apple har patchet sine OS. Linux har beskyttet seg. Wiki skriver at forskere til å begynne med nektet å tro det var sant, fordi det er såpass alvorlig. Intel CEO selger aksjene sine. Patcher som kommer fra Intel, kan ikke brukes for man får blåskjerm. Så sier de at det er null problemas, det kommer hardware fix i 2018 ?

Vel, det tror jeg ikke noe på. Hvis ikke Intel har klart å gjøre noe ennå, så.....

I beste fall kommer det "hardware fix", som ikke gjør noe annet enn å amputere bort de funksjoner som forårsaker sårbarhetene.

Det kommer ikke en CPU med separate page tables for hver eneste kjørende prosess, eller en ny privilege check metode i 2018.

Intel er både trege og lite effektive på sikkerhet.

De tar ikke imot advarsler.

Selv om man ikke vet om disse 2 sårbarhetene har vært utnyttet ennå, vet man flere ting:

Ondsinnet programvare som utnytter Spectre/Meltdown kan ikke verken stoppes eller oppdages. Svakheten eksisterer på nesten alle plattformer og CPU generasjoner som er i drift.

 

Hva mer kan man ønske seg ? Hvis du ønsker å stjele 10 milliarder fra en bank, eller gå til cyber krig mot en fremmed makt, så sitter du nå og koder for harde livet på Meltdown og Spectre. Det bør det vel ikke være noen tvil om.

 

http://www.nag.co.za/2018/02/02/reports-flood-in-of-meltdown-and-spectre-malware-discovered-in-the-wild/

Endret 24. februar 2018 av Karamell

[G]

Selv om det kan nesten oppfattes konspiratorisk, at nå går det til helvete, så er jeg tilbøyelig til å lytte til hva du har mer å si Karamell. Var en interessant mening du har der.

 

Det tar jo tid og guts, og samarbeid i fra Microsoft og andre OS-utviklere, men det går jo an å starte med blanke ark, og få en mer optimalisert CPU i samme vending. Det har jo lenge lenge vært antydet at x86-64 har kjørt seg opp i et hjørne ytelsesmessig også. Jeg synes ihvertfall at Intel, AMD med flere hardwareprodusenter i sammen med OS-produsentene da bør gå i sammen om å starte med blanke ark.

 

De kan til og med utveksle kompetanse seg i mellom hardwareaktørene, og sånn sett få kuttet vekk noen royalties hindre som blokkerer mersalget. Men, nå er jeg vel plutselig i en utopisk verden hvor alle er venner og stoler på at de kan tjene penger i sammen?

 

Når man først redesigner noe så spesiellt som en CPU, så må det kodes mye ny lavnivåkode. Applikasjonene på toppen bør de rett og slett drite i. Så utvikle designverktøy som kan hjelpe med å få rekompilert programvare til den nye plattformen.

 

Så kan heller de som har lyst begynne å kode på virtualisering, sandkasser eller hva som behøves for de som ikke er villig til å skrote gammel programvarekode gjøre det parallellt eller i etterkant. Men, det bør ikke være førsteprioriteten. Noen ganger må det skikkelig guts til. Dersom det du forteller manifisterer seg som sannheter, så vil det jo garantert finnes noen kunder som verdsetter initiativet og som vil bytte ut hele serverparker, så snart som råd er. 

Endret 25. februar 2018 av G

[Karamell]

Hardware sårbarheter må jo være mange ganger verre enn software.

Dersom MicroSoft får rapportert en svakhet eller et høl, blir det jo som regel lappet på, 

med en software fix som regel uten problemer.

Det er da et Software firma som lapper på en software feil.

I dette tilfellet er det et hardware firma som prøver å lappe hardware høl med software.

Nedslagsfeltet er også enormt mye større, siden det dekker all slags prosessorer på alle,

eller svært mange plattformer. Og mange kunder lar være å oppdatere, eller kan ikke ?

 

 

Etter hva jeg forstår, kan man bruke en webside (eller en del av en webside),  og JavaScript til å kjøre slike side channel attacks.

Enten en webside man oppretter selv, eller en webside man kopierer eller hacker.

En webside !

 

Så jeg vil ikke svartmale situasjonen, det er totalt unødvendig.

Det er nemlig en katastrofe