Intelin prosessoreista löytynyt bugi vaatii suorituskykyyn vaikuttavan käyttöjärjestelmätason

[TenderBeef]

Onpa kyllä paskamyrsky, vaikka en puoliakaan tajua tästä hyvin teknispainotteisesta keskustelusta.

On jäänyt kaikki pätsit laittamatta Win8.1:seen sen jälkeen kun Microsoftin GWX-malware putkahti minunkin koneelle (ja sen jälkeen kaikki uudet vakoilupaskeet).. tarkoitus on ollut siirtyä pikimmiten linuxiin ja aina kun on ollut aikaa niin tehnyt valmisteluja, nyt paska housussa kun en ilmeisesti voi vaan ajaa uusinta pätsiä näihin haavoittuvuuksiin.. ei uskalla edes Keepassin salasana-lokeroa käyttää koneella kun kaikki voi vuotaa.

Microsoftin sivuilta bongasin tämän:

Customers who only install the Windows January 2018 security updates will not receive the benefit of all known protections against the vulnerabilities. In addition to installing the January security updates, a processor microcode, or firmware, update is required. This should be available through your device manufacturer.

Pitääkö tosiaan vielä ruveta etsimään jotain firmware-päivityksiä erikseen? Kiva vanhoille laitteille.

Onko missään selvästi esitetty (ilman teknisjargonia), että mihin laitteisiin nämä haavoittuvuudet kohdistuu?

Esim. minulla:
- tabletissa: Intel Atom Z2560 (Android 4.4.jotain, eli päivityksiä ei varmasti tule mistään, voiko tätä laitetta sitten käyttää ollenkaan enää jos haavoittuva?)
- läppärissä: i5-4200U

Onko nuo haavoittuvia? Kännykän (Noksu5) päivitys varmaan tulee, jos tarpeen, ja Synologyn NASsiin pätsi on tekeillä.

Nimimerkillä: epätietoinen vaikka yrittänyt lukea paljon asiasta.

 

[TenderBeef]

Ilmeisesti kyse variantista 1?

Ööö, turha minulta kysyä. Lainasin vain mitä siellä luki.

 

[mRkukov]

Onko missään selvästi esitetty (ilman teknisjargonia), että mihin laitteisiin nämä haavoittuvuudet kohdistuu?

Käytännössä kaikkiin käytössä oleviin koneisiin. Meltdown lähinnä intel (kaikki mallit) ja muilla sitten spectre tavalla tai toisella. Eli kyllä, koskee sinuakin.

 

[TenderBeef]

Käytännössä kaikkiin käytössä oleviin koneisiin. Meltdown lähinnä intel (kaikki mallit) ja muilla sitten spectre tavalla tai toisella. Eli kyllä, koskee sinuakin.

Onkohan tämä nyt varma? Nimittäin nyt kun googlasin lisää, sattui pari juttua silmään.

Meltdown FAQ:

every Intel processor which implements out-of-order execution is potentially affected, which is effectively every processor since 1995 (except Intel Itanium and Intel Atom before 2013).

Wikipedian Intel Atom-prossujen listauksessa minun tablettini Atom Z2560 on merkitty julkaistuksi February 25, 2013.

Mutta jos etsin tietoa onko Atom Z2560:ssa out-of-order execution:ia niin _näyttäisi_ siltä että EI ole (kaikissa versus.com vertailuissa Atom Z2560:ssä ei ole tuota OoO-executionia, esim1), en saa googlattua varmaa tietoa, Intelin sivuilla prossun spekseistä en löydä mitään asiaan viittaavaa ja eri nettisivuilta silmissä pyörii kaikenmaailman Intelin mikroarkkitehtuurit joissa tuo fiitseri olisi tai ei ole, en saa selvää.. on kyllä hankalaa, kauhulla ajattelen jotain vanhempaa väkeä erilaisten laitteiden ja koneiden kanssa joilla ei ole mitään kykyä tajuta tai selvittää tätä asiaa.

Mikä on sitten oikea tieto? Pitääkö heittää tabletilla vesilintua vai ei? VMP. Olisi paljon muutakin tekemistä kuin selvitellä tällaisia.

 

[TenderBeef]

Ja plot-thickens, tuolta versus.com-sivuilta löytyy vertailu jossa läppärini Intel Core i5-4200U (joka sekin julkaistu 2013 vuoden alussa) ei sisältäisi out-of-order execution:ia. Mikähän se totuus nyt oikein on..

 

[vmovapd]

Päivitin uudelleen pakettipuuta. Uusin revisio linux-firmwaresta asensi /lib/firmware/amd-ucode/microcode_amd_fam17h.bin, muttei pgp-signausta kuten muissa hakemiston tiedostoissa. Microcode loader näyttää edelleen patch_level=0x08001129, en osaa sanoa patchasiko se mitään (Asus B350+ pari kk vanha bios sisällä).

 

[Kaotik]

Ja plot-thickens, tuolta versus.com-sivuilta löytyy vertailu jossa läppärini Intel Core i5-4200U (joka sekin julkaistu 2013 vuoden alussa) ei sisältäisi out-of-order execution:ia. Mikähän se totuus nyt oikein on..

Se ettei tuollaisiin versus-sivustoihin kannata luottaa.
Atomeihin tuli OoOE Silvermontin myötä, tuo sinun Atomisi on Cloverview joka perustuu Bonnell-arkkitehtuuriin eli ei ole OoOE-prosessori

 

[JiiPee]

Miksi kotikäyttäjää kiinnostaisi googlen tai amazonin ongelmat? Se on niiden päänsärky. Samalle kotikäyttäjälle Sata liitäntä harvemmin on se pullonkaula mistä tarviisi hirveästi ressata.

Kyllä se kotikäyttäjää alkaa kummasti kiinnostaa jos juutuubi videot alkaa vaikka tökkiä sen takia että googlen salista loppuu kapasiteetti kun yht äkkiää palvelintehosta haistuu kolmannes tai pahimmassa tapauksessa puolet.

Mikä on sitten oikea tieto? Pitääkö heittää tabletilla vesilintua vai ei? VMP. Olisi paljon muutakin tekemistä kuin selvitellä tällaisia.

No jos täysin varma haluaa olla niin kannattaa heittää kaikilla vehkeillä vesilintua joissa on prosessori ja vetää foliopipo tiukasti päähän.

 

[TenderBeef]

Se ettei tuollaisiin versus-sivustoihin kannata luottaa.

No niinpä, mutta kun selvää tietoa en mistään muualta löytänyt/löydä.. ja oli siellä ilmeisesti kuitenkin se Atom-prossun tieto oikein. Löytääkö joku muu jostain luotettavaa tietoa?

Atomeihin tuli OoOE Silvermontin myötä, tuo sinun Atomisi on Cloverview joka perustuu Bonnell-arkkitehtuuriin eli ei ole OoOE-prosessori

Eli ei ainakaan sitten Meltdown-pelkoa ole, phuih, laite jää sitten käyttöön. Kiitos paljon tiedosta!

 

[TenderBeef]

No jos täysin varma haluaa olla niin kannattaa heittää kaikilla vehkeillä vesilintua joissa on prosessori ja vetää foliopipo tiukasti päähän.

Olikos sulla jotain ihan asiallistakin sanottavaa? Vai trollaatko muuten vaan?

 

[TenderBeef]

Se ettei tuollaisiin versus-sivustoihin kannata luottaa.

Lisätään nyt vielä, että ei tuolla Meltdown FAQ:ssakaan sitten ihan oikeaa tietoa ollut jos siellä paalutetaan, että vain Atomit ennen vuotta 2013 eivät olleet haavoittuvaisia (oma Atom oli 2013 julkaistu). Vaikeaa se on oikean tiedon löytäminen.

 

[Kaotik]

Lisätään nyt vielä, että ei tuolla Meltdown FAQ:ssakaan sitten ihan oikeaa tietoa ollut jos siellä paalutetaan, että vain Atomit ennen vuotta 2013 eivät olleet haavoittuvaisia (oma Atom oli 2013 julkaistu). Vaikeaa se on oikean tiedon löytäminen.

Vaikka tuo nimenomainen julkaistiin 2013 ensimmäinen ko. tuoteperheestä julkaistiin 2012

 

[TenderBeef]

Vaikka tuo nimenomainen julkaistiin 2013 ensimmäinen ko. tuoteperheestä julkaistiin 2012

Joo okei, mutta silti, siellä FAQissa puhutaan vain Intel Atom:ista, mistä minun pitäisi arvata, että mitä se sitten tarkasti tarkoittaa?

 

[Johan_V]

Päivitin uudelleen pakettipuuta. Uusin revisio linux-firmwaresta asensi /lib/firmware/amd-ucode/microcode_amd_fam17h.bin, muttei pgp-signausta kuten muissa hakemiston tiedostoissa. Microcode loader näyttää edelleen patch_level=0x08001129, en osaa sanoa patchasiko se mitään (Asus B350+ pari kk vanha bios sisällä).

Tästä olisi mielenkiintoista saada lisätietoa. Kommentin "This new firmware disables branch prediction on AMD family 17h processor
to mitigate a attack on the branch predictor that could lead to
information disclosure from e.g. kernel memory (bsc#1068032 CVE-2017-5715)."
Perusteella kohteena on Spectre, mutta eikö haarautumisen ennustamisen poistaminen käytöstä aiheuta merkittäviä haittoja suorityskykyyn? Poistetaanko branch prediction kokonaan?

 

[Kaotik]

Joo okei, mutta silti, siellä FAQissa puhutaan vain Intel Atom:ista, mistä minun pitäisi arvata, että mitä se sitten tarkasti tarkoittaa?

On mahdotonta tehdä aina täydellisiä dokumentteja. Tuossakin lauseessa sanotaan että "käytännössä kaikki paitsi itanium ja pre-2013 atom", ei että aivan varmasti jok'ikinen paitsi nuo.

 

[vmovapd]

Tästä olisi mielenkiintoista saada lisätietoa. Kommentin "This new firmware disables branch prediction on AMD family 17h processor
to mitigate a attack on the branch predictor that could lead to
information disclosure from e.g. kernel memory (bsc#1068032 CVE-2017-5715)."
Perusteella kohteena on Spectre, mutta eikö haarautumisen ennustamisen poistaminen käytöstä aiheuta merkittäviä haittoja suorityskykyyn? Poistetaanko branch prediction kokonaan?

Kiinnostaisi tietää itselläkin.

Kokeilin kernel-dokumentaation late-loadausta, dmesgiin ilmestyi pari riviä:

[ 4105.325822] microcode: patch size mismatch
[ 4105.325824] microcode: Patch-ID 0x08001213: size mismatch.

Pitäisköhän päivittää UEFI ensin?

EDIT: Uusin UEFI sisällä, sama laulu. Vaatiiko tuo mysteeri-binääriplob sitten tulevan version mikrokoodista?

EDIT2: Moni muukin ihmettelee tuon alkuperää. FS#56951 : microcode_amd_fam17h.bin available for Spectre vulnerability through OpenSUSE

EDIT3: Aha, lataaminen vaatii patchin kerneliin.

 

[Hannibal]

Onpa kyllä paskamyrsky, vaikka en puoliakaan tajua tästä hyvin teknispainotteisesta keskustelusta.

On jäänyt kaikki pätsit laittamatta Win8.1:seen sen jälkeen kun Microsoftin GWX-malware putkahti minunkin koneelle (ja sen jälkeen kaikki uudet vakoilupaskeet).. tarkoitus on ollut siirtyä pikimmiten linuxiin ja aina kun on ollut aikaa niin tehnyt valmisteluja, nyt paska housussa kun en ilmeisesti voi vaan ajaa uusinta pätsiä näihin haavoittuvuuksiin.. ei uskalla edes Keepassin salasana-lokeroa käyttää koneella kun kaikki voi vuotaa.

Microsoftin sivuilta bongasin tämän:

Customers who only install the Windows January 2018 security updates will not receive the benefit of all known protections against the vulnerabilities. In addition to installing the January security updates, a processor microcode, or firmware, update is required. This should be available through your device manufacturer.

Pitääkö tosiaan vielä ruveta etsimään jotain firmware-päivityksiä erikseen? Kiva vanhoille laitteille.

Onko missään selvästi esitetty (ilman teknisjargonia), että mihin laitteisiin nämä haavoittuvuudet kohdistuu?

Esim. minulla:
- tabletissa: Intel Atom Z2560 (Android 4.4.jotain, eli päivityksiä ei varmasti tule mistään, voiko tätä laitetta sitten käyttää ollenkaan enää jos haavoittuva?)
- läppärissä: i5-4200U

Onko nuo haavoittuvia? Kännykän (Noksu5) päivitys varmaan tulee, jos tarpeen, ja Synologyn NASsiin pätsi on tekeillä.

Nimimerkillä: epätietoinen vaikka yrittänyt lukea paljon asiasta.

Kaikki viimeinen 10-20 vuoden aikana julkaissut Intelin prossat ja muutamat muut, eli jep... pitäis päivitellä käyttikset. Win7 päivitys ei ole vielä valmis, joten sitä joutuu odotteleen. Win XP ei välttämättä päivitystä enää saa, mutta kun korporaatit vielä käyttää, niin ei se mahdotonta ole sillekkään.

 

[tonkar]

Eikös tuo Windows XP POSReady ole edelleen tuettu joten eiköhän XP:lle tule päivitys

 

[Tege]

Tässä listaus av-ohjelmista
CVE-2017-5753, CVE-2017-5715, and CVE-2017-5754 (Meltdown and Spectre) Windows antivirus patch compatibility

 

[Stunned]

Ilmeisesti meltdownia pystyy hyväksikäyttämään ainakin chromella ajettavalla javascriptillä... eli esim mainosverkkojen kautta miljooniin koneisiin.. samalla kun käyttäjät kirjautuvat vaikka facebookkiin tai toisessa tabissa verkkopankkiin. Ei hyvä.

Spectre vaatii ilmeisesti amd prossujen kanssa fyysisen pääsyn koneelle/rautaan, jotta sitä voisi hyödyntää. Muiden valmistajien osalta epäselvää miten voi hyödyntää.

Niin siis chrome taitaa olla ainoa selain, jossa tuolle on suojaus (site isolation). Tosin on flagin takana, kun kuluttaa enemmän muistia ja muutenkin chrome sitä tykkää syödä.

@TenderBeef jos tabusi on Android 4.4 versiolla vielä niin siinä on kyllä niin paljon jo aukkoja valmiiksi ettei tällä varmaan ole suurempaa merkitystä

 

[JoniS]

Tässä tapauksessa ongelma ei ole tietomurto, vaan että korjaus on kohtuullisen monimutkainen, niin asiaa käsitellään hidastumisena enemmän kuin murto ongelmana.
Tuo korjaus kuitenkin hidastaa jatkuvaa suoritusta, mutta on hyvin pieni todennäköisyys että tietomurto tapahtuisi tuota kautta.

Jossakin oli maininta että tavallinen käyttäja törmää ongelmaan selaimessa javascriptin yhteydessä, onko muita riski ohjelmia?

Kaikki ohjelmat, ihan jokaikinen ikinä tehty ohjelma on mahdollinen riski.

Tuo JavaScript mikä ajetaan selaimessa oli vain yksittäinen esimerkki, ihan yhtä hyvin vaikka Microsoftin pasianssi voisi tuota hyödyntää.

 

[Kautium]

Kyllä se kotikäyttäjää alkaa kummasti kiinnostaa jos juutuubi videot alkaa vaikka tökkiä sen takia että googlen salista loppuu kapasiteetti kun yht äkkiää palvelintehosta haistuu kolmannes tai pahimmassa tapauksessa puolet.

Ei tuollaisia kannata heitellä edes vitsillä, kun joku ottaa sen kuitenkin todesta ja kertoo faktana edelleen jossakin muualla.

Todellinen hävikki suorituskyvyssä ei ole ollut missään testissä pahimmassakaan tilanteessa edes sitä peloteltua 30 prosenttia. Kyllä sillä suuressa mittakaavassa varmasti vaikutusta on, mutta ei kuitenkaan käytännössä palveluiden loppukäyttäjille.

@TenderBeef jos tabusi on Android 4.4 versiolla vielä niin siinä on kyllä niin paljon jo aukkoja valmiiksi ettei tällä varmaan ole suurempaa merkitystä

Samaa meinasin sanoa jo aiemmin. 4.4 on niin ikivanha ja reikäinen alusta jo nyt, että on ihan turha huolehtia sellaisen kanssa tästä bugista. Se on vähän kuin ajaisi sateessa avo-autolla ja huolehtisi siitä että laukussa olevassa sateenvarjossa saattaa olla reikä.

 

[Kautium]

Samaa ongelmaa myös omenapuolella:

Apple says all Mac devices hit by chip bug

 

[prc]

Miksi ketään kiinnostaisi, mikä kotikäyttäjää kiinnostaa?

Samasta syystä kun osaa porukasta ei kiinnosta pätkääkään kun kahden valtion johtajat uhoaa ydinaseilla. Eihän se omaan elämään vaikuta mitenkään. (ts. ei osaa edes ymmärtää että se vaikuttaisi omaan elämään jos paska osuu tuulettimeen.)

 

[Raikku]

Joko jossain testattu paljon sandy hidastuu, esim oma 2700K?

 

[Swamper]

Vanhemmalla prossulla IO- testiä, (prossu julkaistu: Q4/2008) i7-965 @ kevyt oc.

Win 10 pro 1709 16299.125 vrt. Windows päivitys tehty: 16299.192.

Mediassa peloiteltiin yleisesti tietokoneesi tehot putoavat 30% (jopa yli 50%). Käytännössä mitään et huomaa, noissa tuloksissa yllä on osin myös parantumista -> Paljon melua tyhjästä. Vanhoilla prossuilla vaikutus on kuulemma suurempi.

Jos lukemasi mediat antoivat kuvan että kaikkien tietokoneiden tehot putoavat 30% (jopa yli 50%) kannattanee vaihtaa lukemiaan medioita.
Jos sen sijaan ymmärsit väärin mitä mediassa kerrottiin, sille ei voi mitään.

Media on monikko sellaisenaan.

 

[prc]

Joku taisi aikaisemmin kysellä cryptojen louhinnasta. Iskin äsken pelipannuun (Win10) tuon meltdown patchin ja käynnistin louhinnan Monerolle (XMR) uudellen.

CPU miner + GPU miner, kummassakaan ei selvää eroa tehoissa, eli virhemarginaalin sisällä. (Mikä oli sinänsä oletettavissa kun ei noiden pitäisi pahemmin syscaleja tehdä).

Win pöntsässä: 3700k + RX 580

Linux pöntsän vastaavat testit taitaa jäädä tekemättä kun ohjain on takuuvaihdossa

 

[jive]

hieman off-topic, mutta spectren ja meltdownin tänne linkatut paperit ovat hyvä katsaus siihen miten nykyisin CPU:n liukuhihnoitus ja muistialijärjestelmä toimii. Kannattanee lueskella läpi kun ovat kuitenkin hyvinkin selkokielisiä vaikkei muutoin olisi kiinnostunut suorittimien sielunelämästä.

 

[HEDT]

Niin tiesi mutta AMD sanoi täysin oikein että prossut on 100% toimivia, koska kommentoitiin Meltdown exploittia. Ei AMD:llä ollut mitään syytä kommentoida Spectreä eikä olisi edes voineet kommentoida sitä koska se oli vielä salassapitovelvoitteen alla. Joten se kommentti koski AINOASTAAN Meltdownia.

Salassapitoa tai ei, jos on haavoittuvuuksia prossussa (ihan mitä tahansa) silloin ei voi kehua että: "meidän prossut on turvattuja".

Eli kaikki testisi ovat SATA-2 väylään rajoittuneita.
Siinä syy miksi X58 alustoista vaihdetaan uudempiin (ml. minä). Ei siinä prossun nopeudella ole mitään väliä, kun pullonkaula on ihan toisaalla.

Täällä vedellään jotain vanhaa Sata-liitäntää vasten jotain nyrkkipajan kiintolevytestiä ja todetaan, että ongelmaa ei ole?

1. Nyt haettiin haittoja, HIDASTUMISTA, ei huippuvauhtia, väylän tyypillä ei ole mitään merkitystä tässä kohtaa.
2. Vahemmissa prossuissa piti olla suurin haitta, NIISSÄ ei koskaan ole SATA3 liitäntää, HALOOO!
3. IO- oli juurikin kotikäyttää koskevaa ns. "ongelmaa".
4. Nyt valoja vähän päälle teille.

Seurasitko prosessorikuormaa noiden SSD-testien aikana? Se saattoi muuttua reilustikin, vaikka nopeuksissa rajoittava tekijä oli yhä SSD:n nopeus.

En.
Tuossa korjatun Windowsin ytimien käyttöä (1. testiosio):

 

[TML]

Ilmeisesti meltdownia pystyy hyväksikäyttämään ainakin chromella ajettavalla javascriptillä... eli esim mainosverkkojen kautta miljooniin koneisiin.. samalla kun käyttäjät kirjautuvat vaikka facebookkiin tai toisessa tabissa verkkopankkiin. Ei hyvä.

Chromelle tulee 23.1. päivitys joka vähentää riskiä. Product Status - Google Help
Nyt jo voi flags kautta itse sandboxaa prosesseja joka auttaa.

Joko jossain testattu paljon sandy hidastuu, esim oma 2700K?

PCID tuki jos on, on kuulemma performance hit pienempi.
Yhdessä tekstissä luki että oli vasta Haswell eteenpäin, mutta miksi muistan että olisi ollut aiemmin... toisessa tekstissä mitä en löydä.

Tuossa noita "normaalin käyttäjän" tekemisiä enemmän koskevia testejä, kuten pelit. Menee virhemarginaaliin erot tuon Windows patchin kanssa. Toki tuossa tuoreempia, ja muutenkin tehokkaita, suorittimia.

Testing Windows 10 Performance Before and After the Meltdown Flaw Emergency Patch

 

[jive]

auts ...



kaikkien keyloggereiden äiti, isä ja koko suku.

 

[Stunned]

Google jo tehnyt jotain fixiä Spectreenkin ilmeisesti ja muutenkaan ei merkittävää tehon menetystä Google Online Security Blog: More details about mitigations for the CPU Speculative Execution issue

Retpoline: a software construct for preventing branch-target-injection - Google Help

 

[Divvy]

Päivityksellä ei näyttäisi olevan mitään käytännön vaikutusta suorituskykyyn ainakaan peruskäyttäjälle.

 

[jive]

Tuossa on tapahtunut aivan taatusti joku isomman luokan virhe jossain nyt. Variant 2 kyllä koskee myös AMD:ta, mutta vain teoriassa - kukaan ei ole vieläkään saanut AMD:n prossuja taipumaan sille hyökkäykselle missään yhteydessä. Kukaan ei taatusti lähde tuollaisen vuoksi disabloimaan haarautumisen ennustusta prosessorista.

Ilmeisesti ei, vaan kyse lienee tästä Controlling the Performance Impact of Microcode and Security Patches for CVE-2017-5754 CVE-2017-5715 and CVE-2017-5753 using Red Hat Enterprise Linux Tunables - Red Hat Customer Portal
Käynnistyksessä lukitaan kaikki ja ajossa sitten auotaan jos auotaan.

 

[juha88]

auts ...



kaikkien keyloggereiden äiti, isä ja koko suku.

Ei kai kukaan 2018 käytä enää merkkijonoa maksuvälinevarmenteena? Apple Pay token perusteinen ja kaksivaiheiset tunnistautumiset niin verkkopankeissa kuin maksupalveluissa käytössä.

 

[Kizmo]

Ei kai kukaan 2018 käytä enää merkkijonoa maksuvälinevarmenteena? Apple Pay token perusteinen ja kaksivaiheiset tunnistautumiset niin verkkopankeissa kuin maksupalveluissa käytössä.

Ai vähän niinku luottokortin tiedot

 

[jive]

Ei kai kukaan 2018 käytä enää merkkijonoa maksuvälinevarmenteena? Apple Pay token perusteinen ja kaksivaiheiset tunnistautumiset niin verkkopankeissa kuin maksupalveluissa käytössä.

sudo <käyttäjä> <passwd>

tai vaikkapa LastPass kredentiaalit, twiitin cred ei tarkoita luottokorttia vaan tunnistetietoja yleisesti.

 

[Contay]

Ai vähän niinku luottokortin tiedot

Itse en hirveästi foliohattuile, mutta tämä on hyvä syy olla tallentamatta korttitietojaan juuri minnekkään. Onneksi sekin kortti on vaan debit 8)

 

[Masturbo]

sudo <käyttäjä> <passwd>

tai vaikkapa LastPass kredentiaalit, twiitin cred ei tarkoita luottokorttia vaan tunnistetietoja yleisesti.

"Parhautta" on kuitenkin Nordnetin palvelut, kaksivaiheisuutta ei ole, eikä näillä näkymin tulekkaan. Kaikki ne osakesalkut pelkästään salasanan ja tunnuksen takana. Onneksi sentään vastatilihomma on tuolla aspan läpi, mutta se ei estä vaihtamasta salasanaa, sotkemasta salkkua ja aiheuttamasta valtavaa päänvaivaa.

 

[looz]

En.
Tuossa korjatun Windowsin ytimien käyttöä (1. testiosio):

No sitten testillä ei ole mitään merkitystä. Työpöytäkoneissa IO ei tietenkään kuormita prosessoria huomattavasti, mutta serverissä tilanne voi olla täysin eri.

 

[user9999]

Näköjään Apple päivittänyt tuota security ilmoitusta ja Meltdown olisi korjattu myös Sierra ja El Capitan käyttöjärjestemissä.
About the security content of macOS High Sierra 10.13.2, Security Update 2017-002 Sierra, and Security Update 2017-005 El Capitan

Kernel

Available for: macOS High Sierra 10.13.1, macOS Sierra 10.12.6, OS X El Capitan 10.11.6

Impact: An application may be able to read kernel memory

Description: Systems with microprocessors utilizing speculative execution and indirect branch prediction may allow unauthorized disclosure of information to an attacker with local user access via a side-channel analysis of the data cache.

CVE-2017-5754: Jann Horn of Google Project Zero, Werner Haas and Thomas Prescher of Cyberus Technology GmbH, and Daniel Gruss, Moritz Lipp, Stefan Mangard and Michael Schwarz from Graz University of Technology

Entry added January 4, 2018

Myös iOS 11.2 sama homma.
About the security content of iOS 11.2

Kernel

Available for: iPhone 5s and later, iPad Air and later, and iPod touch 6th generation

Impact: An application may be able to read kernel memory

Description: Systems with microprocessors utilizing speculative execution and indirect branch prediction may allow unauthorized disclosure of information to an attacker with local user access via a side-channel analysis of the data cache.

CVE-2017-5754: Jann Horn of Google Project Zero, Werner Haas and Thomas Prescher of Cyberus Technology GmbH, and Daniel Gruss, Moritz Lipp, Stefan Mangard and Michael Schwarz from Graz University of Technology

Entry added January 4, 2018

EDIT: Tiedotteessa puhuvat vain High Sierrasta (10.13.2) niin mahdollista, että väärin tuossa Security tiedotteessa eli ei koske Sierra ja El Capitan käyttiksiä.
About speculative execution vulnerabilities in ARM-based and Intel CPUs

 

[FireFly Renaissance]

Itse en hirveästi foliohattuile, mutta tämä on hyvä syy olla tallentamatta korttitietojaan juuri minnekkään. Onneksi sekin kortti on vaan debit 8)

[offtopic]
Debitti on paljon pahempi. Creditin kanssa luottokunta hoitaa ongelmia (jonka bisnes on hoitaa niitä ongelmia), mutta debitin kanssa joutuu tappelemaan oman pankin kanssa.

 

[halcyon]

Ei kai kukaan 2018 käytä enää merkkijonoa maksuvälinevarmenteena? Apple Pay token perusteinen ja kaksivaiheiset tunnistautumiset niin verkkopankeissa kuin maksupalveluissa käytössä.

Jenkkipankit. Yllätyt, kun otat selvää niiden login käytännöistä

 

[Kaotik]

Samaa ongelmaa myös omenapuolella:

Apple says all Mac devices hit by chip bug

Näköjään Apple päivittänyt tuota security ilmoitusta ja Meltdown olisi korjattu myös Sierra ja El Capitan käyttöjärjestemissä.
About the security content of macOS High Sierra 10.13.2, Security Update 2017-002 Sierra, and Security Update 2017-005 El Capitan

Kernel

Available for: macOS High Sierra 10.13.1, macOS Sierra 10.12.6, OS X El Capitan 10.11.6

Impact: An application may be able to read kernel memory

Description: Systems with microprocessors utilizing speculative execution and indirect branch prediction may allow unauthorized disclosure of information to an attacker with local user access via a side-channel analysis of the data cache.

CVE-2017-5754: Jann Horn of Google Project Zero, Werner Haas and Thomas Prescher of Cyberus Technology GmbH, and Daniel Gruss, Moritz Lipp, Stefan Mangard and Michael Schwarz from Graz University of Technology

Entry added January 4, 2018

Myös iOS 11.2 sama homma.
About the security content of iOS 11.2

Kernel

Available for: iPhone 5s and later, iPad Air and later, and iPod touch 6th generation

Impact: An application may be able to read kernel memory

Description: Systems with microprocessors utilizing speculative execution and indirect branch prediction may allow unauthorized disclosure of information to an attacker with local user access via a side-channel analysis of the data cache.

CVE-2017-5754: Jann Horn of Google Project Zero, Werner Haas and Thomas Prescher of Cyberus Technology GmbH, and Daniel Gruss, Moritz Lipp, Stefan Mangard and Michael Schwarz from Graz University of Technology

Entry added January 4, 2018

EDIT: Tiedotteessa puhuvat vain High Sierrasta (10.13.2) niin mahdollista, että väärin tuossa Security tiedotteessa eli ei koske Sierra ja El Capitan käyttiksiä.
About speculative execution vulnerabilities in ARM-based and Intel CPUs

Jahas, aiemmin oli käsitys että Apple paikkasi nämä jo joulukuussa?

 

[AION]

Jahas, aiemmin oli käsitys että Apple paikkasi nämä jo joulukuussa?

Eikö stuo päivitys ainakin OSX:ään ole tullut joulukuussa mutta for obvious and previously stated reasons ne lisäsi noi tiedot tonne changelogiin vasta eilen?

 

[user9999]

Jahas, aiemmin oli käsitys että Apple paikkasi nämä jo joulukuussa?

Joulukuussa noi on päivitetty. MacOS 6.12.2017 ja iOS 2.12.2017.

 

[Kaotik]

Eikö stuo päivitys ainakin OSX:ään ole tullut joulukuussa mutta for obvious and previously stated reasons ne lisäsi noi tiedot tonne changelogiin vasta eilen?

No niin, eli olin siis kärryillä Väärinymmärryksen pistän juuri heränneen flunssaisen pään piikkiin

 

[BlackWolf]

Vosiko joku nyt ajaa nämä samat testit ihan normaalilla HDD kovalevyllä, kun suurin osa servereistä pyörii edelleen noiden varassa, ihan puhtaasti hinnan takia. Joo se on kiva että porukalla on koneet täys SSD kovalevyjä, mutta edelleen aika harvassa paikassa ne on se pääasiallinen työympäristö. Sehän tässä eniten kiinnostaa että kuinka pahasti tämä voi rampauttaa markkinoita yleensäkkin. Eikä tosin ainakaan allekirjoittaneella ne kaikki pelitkään mahdu SSD:lle. Joku raidi kokoonpano missä HDD:itä niin voisi näkyä sitä käytännön vaikutusta. Vai liekö niin, että noissa muodostuu jo kovalevyt pullonkaulaksi.

 

[Contay]

[offtopic]
Debitti on paljon pahempi. Creditin kanssa luottokunta hoitaa ongelmia (jonka bisnes on hoitaa niitä ongelmia), mutta debitin kanssa joutuu tappelemaan oman pankin kanssa.

Probleemaa ei tule, kun on korttitili erikseen. Mulla ei pysty veloittamaan saldon yli niin isoja tappioita ei voi tulla 8) mutta hyvä pointti silti.

 

[escalibur]