Prosessoreiden tuoreet haavoittuvuudet julki: Meltdown ja Spectre

Viestiketju alueella 'io-tech.fi uutiset' , aloittaja Sampsa, 04.01.2018.

  1. Sampsa

    Sampsa Sysop Ylläpidon jäsen Team PUBG Team Stream Team Apex Legends Team H2O

    Viestejä:
    6 972
    Rekisteröitynyt:
    13.10.2016
    [​IMG]


    Meltdown koskee ainoastaan Intelin prosessoreita ja se on mahdollista paikata ohjelmallisesti Linux-, Windows- ja OS X -käyttöjärjestelmissä. Kyseessä on aiemmin io-techissä uutisoitu bugi, joka korjataan ottamalla käyttöjärjestelmän kernelissä käyttöön Kernel Page Table Isolation -ominaisuus eli KPTI, joka eristää kernelimuistin täysin käyttäjätason muistiavaruudesta. Intel painottaa, että kyseessä ei ole suunnitteluvirhe (errata), vaan prosessorit toimivat spesifikaatioiden mukaisesti.
    Every Intel processor which implements out-of-order execution is potentially affected, which is effectively every processor since 1995 (except Intel Itanium and Intel Atom before 2013).



    Spectre on haavoittuvuuksista vakavampi ja se on läsnä käytännössä kaikissa laitteissa älypuhelimista pilvipalvelimiin. Haavoittuvuus on todettu Intelin, AMD:n ja ARM:n prosessoreissa. Spectre rikkoo eri sovellusten välisen eristyksen ja antaa hyökkääjälle mahdollisuuden huijata ohjelmat vuotamaan salaisuutensa riippumatta siitä, miten hyvin ne on koodattu. Spectreä on vaikeampi hyödyntää kuin Meltdownia ja samaan aikaan nykyisillä prosessoreilla sitä vaikeampi paikata ohjelmallisesti tai jopa mahdoton korjata kokonaan.
    Almost every system is affected by Spectre: Desktops, Laptops, Cloud Servers, as well as Smartphones. More specifically, all modern processors capable of keeping many instructions in flight are potentially vulnerable.



    Hyökkäysvariantteja on kolme kappaletta:
    • Variant 1: bounds check bypass (CVE-2017-5753)
    • Variant 2: branch target injection (CVE-2017-5715)
    • Variant 3: rogue data cache load (CVE-2017-5754)

    Näistä variantit 1 ja 2 liittyvät Spectreen ja variantti 3 on Meltdown.

    Päivitys:

    Aiemmista tiedoista poiketen Meltdown- eli variantti 3 koskee Intelin lisäksi myös osaa ARM:n ytimistä. Asia selviää ARM:n julkaisemasta tiedotteesta, jonka mukaan variantti 3 koskee yhtiön Cortex-A75-ydintä. Lisäksi ARM:n mukaan on olemassa variantti 3:een liittyvä neljäskin hyökkäystapa, joka koskee sen Cortex-A15-, A57- ja A72-ytimiä.



    Lue lisää: Spectreattack.com, Meltdownattack.com

    Lähde: Google Security Blog

    Huom! Foorumiviestistä saattaa puuttua kuvagalleria tai upotettu video.

    Linkki alkuperäiseen uutiseen (io-tech.fi)

    Palautelomake: Raportoi kirjoitusvirheestä
     
    Viimeksi muokannut ylläpidon jäsen: 04.01.2018
    halcyon tykkää tästä.
  2. Deussu

    Deussu Premium-jäsen

    Viestejä:
    655
    Rekisteröitynyt:
    18.10.2016
    Mutta eikö täällä juuri hehkutettu, että ei koske ARM ja että x86 on kaiken pahan alku ja juuri? :confused:

    :srofl:
     
  3. Elvis Jagger

    Elvis Jagger

    Viestejä:
    1 438
    Rekisteröitynyt:
    16.10.2016
    - NOT a result of product errata; processors are operating to specification

    Mikä se sitten on, jos se kerran ei ole virhe? Onko se ominaisuus?
     
  4. Antti Alien

    Antti Alien

    Viestejä:
    829
    Rekisteröitynyt:
    05.11.2016
    Kyseessähän nimenomaan *on* suunnitteluvirhe kun speksi on väärin. Errata tarkoittaa listaa virheistä, ja Intelin tapa käyttää termiä on melko outo.
     
    halcyon tykkää tästä.
  5. kjns

    kjns

    Viestejä:
    1 979
    Rekisteröitynyt:
    21.11.2016
    Voihan sen tietysti ominaisuudeksi listata, kun sinne on suunnittelemalla suunniteltu ominaisuus joka näin toimii ja tämän mahdollistaa. Se, onko se järkevää on taas eri tarina :vihellys:
     
  6. Raikku

    Raikku

    Viestejä:
    1 660
    Rekisteröitynyt:
    18.10.2016
    Jos ei muuten tarvitse rautaa uusia niin sitten kun rampauttavat turvajutuilla suosituskyvyn niin onkin yhtäkkiä pakko...

    Tokihan tässä voisi pikku hiljaa alkaa keräillä kamaa kahvikokoonpanoon.
     
  7. FlyingAntero

    FlyingAntero ɑ n d r o i d Tukijäsen Team Android

    Viestejä:
    3 346
    Rekisteröitynyt:
    17.10.2016
    Koskeekohan nämä haavoittuvuudet myös Qualcommin "in-house" custom ytimistä (esim. Krait ytimet ja SD82x piirien Kryo ytimet) muodostuvia prosessoreja? Nämä uudemmat semi-custom Kryo ytimet pohjautuvat ARM:n Cortex-A ytimiin, joten ainakin uudemmat prosessorit lienevät haavoittuvia. Kiinnostaisi tietää, miten on noiden vanhempien prosessoreiden laita.
     
  8. runboy93

    runboy93

    Viestejä:
    1 321
    Rekisteröitynyt:
    01.08.2017
    Cortex A-53 ainoa luotettava :)

    Nyt vain odotellaan päivitystä :D

    https://source.android.com/security/bulletin/2018-01-01.html
     
  9. BitByte

    BitByte

    Viestejä:
    56
    Rekisteröitynyt:
    11.11.2016
    Pakkohan Intelin on "vastata" noin, koska jos se ilmoittais, että kyseessä on suunnitteluvirhe niin voi niitä joukkokanteiden ja korvaushakemusten määrää joka sille siitä pamahtais ihan samalla hetkellä.
     
  10. FireFly Renaissance

    FireFly Renaissance

    Viestejä:
    2 960
    Rekisteröitynyt:
    22.10.2016
    Eikö ennemminkin päinvastoin? Nythän ne siis kertoo, että ominaisuus on tuotteessa tahallaan.

    Tai hmm. Uutisen käännös tökkii. Se siis nimenomaan on suunnitteluvirhe ja prosessori toimii suunnitellusti, eli speksien mukaan. Speksit vain ovat väärin. Errata tarkoittaisi, että speksi on oikein, mutta prosessori toimii toisin. (toteutusvirhe?)
     
    Elvis Jagger tykkää tästä.
  11. Hannibal

    Hannibal

    Viestejä:
    1 432
    Rekisteröitynyt:
    14.12.2016
    Well, tuotehan toimii just niinkuin on tarkoitettu, joten ei hätiä mitiä :)
    Ei tästä mitään korvauskanteita pitäisi pystyä saamaan aikaan, ainakaan menestyksellisesti.
    Wanhassa nvdian muistiongelmassa markkinointiosasto antoi eri kuvan, kuin laite sitten todella antoi ulos. Tässä tapauksessa laite toimii täysin speksiensä mukaisesti. Se että kuluttaja ei osannut kieltäytyä tuotteen ostosta vaikka prosessori ei hylännyt käskyjä jo alussa on sitten kuluttajan ongelma. Tosin ei kukaan luultavasti olisi osannut sellaista edes vaatia, mutta ominaisuus oli avoimesti nähtävissä jo 10 vuotta sitten.

    Tärkeintähän tässä on, että turvallisuusruski tukitaan vaikkapa sen nopeuden kustannuksella ja seuraavien sukupolvien prossissa tämäkin otetaan huomioon.
    Ensi vuoden prossat eivät varmastikaan vielä sisällä näitä korjauksia, mutta kahden vuoden kuluttua pitäis ilmestyä jo prossia niin arm, kuin x86 kategoriaan, jotka eivät tästä ominaisuudesta enää kärsi.
     
  12. mdms

    mdms

    Viestejä:
    52
    Rekisteröitynyt:
    17.10.2016
    nt
     
  13. IcePen

    IcePen Typo Generaatroti ;-)

    Viestejä:
    4 884
    Rekisteröitynyt:
    17.10.2016
    " Intel painottaa, että kyseessä ei ole suunnitteluvirhe (errata), vaan prosessorit toimivat spesifikaatioiden mukaisesti. "

    Siis Intelin mielestä on parempi että prosessori on tahallaan suunniteltu niin että siinä on iso turvallisuus riski vakiona sen sijasta että kysesessä olisi suunnittelumoka tai bugi !

    Tämä tarkoittaisi myös sitä etä Intel on tahallaan suunnitellut niin että proessori menetää ison osan tehostaan tietyissä tilanteissa silloin kun tuo turvallisuus riski paikataan !!

    Mikä tarkoittaa sitä että Intel on tietoisesti myynyt 10 vuotta prosessoreja tehoväitteillä jotka ei pidä paikaansa silloin kun prosessoria käytetään suunnitellusti turvalliselal tavalla suunnilellusti vaarallisen tavan sijasta !!!

    Jos Intel ei olisi harastanut tätä taahallista vedätystä olisi tämän KYMMENENVUOTTA AMD prosesorit olleet tehokaampi valinta niihin käyttötarkoituksiin jossa Intel otta turvallisella tavalla pahimman tehohitin.
     
  14. IcePen

    IcePen Typo Generaatroti ;-)

    Viestejä:
    4 884
    Rekisteröitynyt:
    17.10.2016
    KPTI aukon paikaus aiheutta tietyissä virtuaalipalvelin käyttötilanteissa (käytännössä kaikki virtuaalipalvelimia Intel prosessorian päällä pyörittävät nettifirmat jotka myy niitä virtuaaölipalvelimia asiakailleen) 50% pudotuksen tehossa.

    Tuo pudotus on niin valtava että se muuttaa täysin voimasuhteen Intel ja AMD prosesorien välillä niin että uskon että moni virtuaaalipalvelimia tarjoava firma on kiireellä perumassa Intel Xeon tilauksiaan ja tilaamassa AMD Epyc prosessoreja niiden tilalle.

    PS Intelin pomo on myynyt melkein kaikki Intel osakkeensa (jäljelle jäi vain senverran kuin hänellä on pakko olla sopimuksensamukaan), ajatteleeko Intel pomo että tuomio sisäpiiritiedon hyödyntämisestä on pienempi vahinko kuin mitä niiden osakkeiden säilyttäminen olisi aiheuttanut.
     
  15. IcePen

    IcePen Typo Generaatroti ;-)

    Viestejä:
    4 884
    Rekisteröitynyt:
    17.10.2016
    Ei todellakaan pienennä Intelin vastuuta, kun suunnitteluvirhe ei ole tuottamuksellinen teko ts sen seuraumukset Intelille ei olisi kovin vakavat.

    Mutta tahallaan vaaralliseksi suunniteltu prosessori ja siitä sen prosesorin käyttäjille 10 vuotta kertomatta jättäminen on tahallinen suunniteltu teko ts tuottamuksellinen = petos joka on paljon suurempi mittakaavaltaan kuin yksikään toinen firma on ikinä tehyt.
     
  16. BitByte

    BitByte

    Viestejä:
    56
    Rekisteröitynyt:
    11.11.2016
    Kuten Hannibal sanoo, se "ominaisuus" on dokumentoitu ja ollut tiedossa. Ja vaivaa siis 23 vuotta vanhojakin prossuja (eli jostain pena-ajalta lähtien).
    Se ei tee siitä hyväksyttävämpää, mutta silti se oikeudessa pystytään näyttämään toteen, että prossu on suunniteltu niin ja asiasta on tiedetty. Joten virheestä Inteliä ei pääse syyttämään ja oikeudessa tuomistsemaan.
    Onkin sitten aivan eri kysymys yrittääkö (todennäköisesti kyllä) joku haastaa Intelin oikeuteen huonosti suunnitellun tietoturvan takia on sitten eri juttu.
     
  17. Kautium

    Kautium IOdootti

    Viestejä:
    5 725
    Rekisteröitynyt:
    16.10.2016
    Vaan kun ei se coffee lake muuta tilannetta miksikään. Vai mitä tarkoitit?
     
  18. FlyingAntero

    FlyingAntero ɑ n d r o i d Tukijäsen Team Android

    Viestejä:
    3 346
    Rekisteröitynyt:
    17.10.2016
    Tarkkaa tietoa ei edelleenkään ole mutta todennäköisesti myös Qualcommin custom coret ovat haavoittuvia:
     
    Elvis Jagger tykkää tästä.
  19. MarcosGordon

    MarcosGordon

    Viestejä:
    49
    Rekisteröitynyt:
    25.10.2016
    Koskahan ensimmäiset rautatasolla paikatut tulevat kaupanhyllyille?
     
  20. Nerkoon

    Nerkoon Se ainoa oikea Platinum-jäsen

    Viestejä:
    3 158
    Rekisteröitynyt:
    18.10.2016
    2-3 vuotta veikkaisin. Prosessorien suunnittelu ja testaus ei ole nopea homma