Kas Spectre and Miledown on endiselt oht? Plaastrid, mida vajate

Reklaam

Spectre ja Meltdown protsessori haavatavuse paljastused olid 2018. aasta šokeeriv algus. Haavatavused mõjutavad peaaegu kõiki protsessoreid, praktiliselt kõiki opsüsteeme ja arhitektuure. Protsessoritootjad ja operatsioonisüsteemide arendajad andsid turvaaukude eest kaitsmiseks kiiresti välja plaastrid.

Kuid oli ka tõsiseid hammaste otsimisega seotud probleeme.

Nüüd, enam kui aasta pärast esialgseid aruandeid, kas oleme lähenenud tõrke- ja spektrihaavatavuste tõelisele parandamisele?

Spondi ja sulamise haavatavused Viimati

2018. aasta alguses avastatud Spectre'i ja Meltdown'i haavatavused mõjutavad jätkuvalt andmetöötlust. Sulamine mõjutab konkreetselt Inteli mikroprotsessoreid, ulatudes 1995. aastasse. Selle probleemi pikaajalisus tähendab, et enamik maailma Inteli protsessoreid on ohus ja isegi sellised teenused nagu Microsoft Azure ja Amazon Web Services.

Spectrel on sarnane globaalne efekt. Spectre haavatavus mõjutab Inteli mikroprotsessoreid, aga ka teisi peamisi disainereid, sealhulgas AMD ja ARM. Seega muudavad Spectre ja Meltdown suurema osa maailma arvutitest haavatavaks - olukord ulatub üle 20 aasta.

#Sulamine & #Spekter - võrdlus ühelt poolt#küberturvalisus#DataBreach#inimlikud tegijad# CES2018#malware#Tehnoloogia

CC: @ ipfconline1@JimMarous@evankirstel@MikeQuindazzi@pierrepinna@ jblefevre60@ käitus2ratan@KirkDBorne@Ronald_vanLoonpic.twitter.com/0S79P5jDbV

- Shira Rubinoff (@Shirastweet) 10. jaanuar 2018

Mõistetavalt tekitavad paljastused jätkuvalt tarbijate ja ettevõtjate jaoks hämmingut. Mure on mitmetahuline. Intel, AMD ja ARM lasid kõik turvaaukude jaoks paika; kas need plaastrid toimivad? Kas mikroprotsessorite terveid varusid on lihtsam asendada? Millal tuleb turule täiesti turvaline protsessor? Ja kuidas on lood maksumusega?

"Me ei ole kunagi varem näinud nii laiaulatuslikku viga, mis mõjutab sõna otseses mõttes iga suurt protsessorit," ütleb TrustSeci tegevjuht David Kennedy, kes tegeleb läbitungimise testimisega ja turvanõustamisega korporatsioonid.

“Olin eelmisel nädalal vähemalt kümme kõnet suurettevõtetega ja kaks eile seletasin, mis toimub. Neil pole aimugi, mida teha, kui tegemist on lappimisega. See põhjustab tõesti jama. ”

Järgmine põlvkond

Ei, see pole James Bond-Star Treki crossover, millest olete unistanud. Spectre Next Generation on Spectre haavatavuste teine ​​põlvkond. Teise põlvkonna kattis Google'i projekt Zero (kes avalikustas ka esimese põlvkonna).

Projekt Zero on Google'i töörühm nullpäeva haavatavuste otsimiseks ja vastutustundlikuks avalikustamiseks enne, kui ebakindlad inimesed need avastavad.

Ma ei kavatse siin kõiki üksikasju käsitleda, kuid siin on artikkel, milles selgitatakse Järgmise põlvkonna spektri tagajärjed Inteli spektri haavatavus naaseb nagu mineviku kummitusSpectre / Meltdowni paljastused 2018. aasta alguses raputasid arvutimaailma. Nüüd on turvateadlased avastanud Inteli protsessorite jaoks kaheksa uut Specteri stiilis haavatavust, mis võib tähendada, et teie arvuti on veelgi ohustatud. Loe rohkem .

Kas on spektri- ja sulamispaiku?

Veel üks probleem on haavatavate seadmete suur valik. Igat tüüpi riistvara vajab veidi erinevat individuaalselt koostatud lahendust. Alates 2018. aasta jaanuarist tehtud plaastriprotsess pole olnud midagi üllatavat.

Intel kiirustas turvapatarei väljatöötamist ja vabastamist. Negatiivne külg oli tõsised sooritusprobleemid. Inteli kurikuulus ütles: „Mis tahes jõudluse mõjud sõltuvad töökoormusest ja keskmise arvutikasutaja jaoks peaks see nii olema ei ole olulised ja aja jooksul leevendatakse seda. ” See avaldus oli siis vale ja jääb selliseks ka 2007 kirjutamine.

Isegi uuemad töötlejad, kes alles turule tulevad, tunnevad selle mõju ikkagi.

Tegelikult tõmbas Intel 22. jaanuaril 2018 ühe oma Spectre'i plaastri tagasi, kuna see põhjustas juhusliku taaskäivituse probleemi. Intel soovitas võrguadministraatoritel kõik juba installitud värskendused tagasi võtta koos Inteli tegevjuhi Neil Shenoyga öeldes: "Vabandan võimalike häirete pärast, mida see juhiste muutmine võib põhjustada." VMware, Lenovo ja Dell tegid kõik samasuguseid teadaandeid samal ajal aeg.

Jaanuari lõpus teatas Microsoft ka, et Windows 10 jaoks on Spectre and Meltdown plaastrid olid kompromiteerivad jõudlust ja põhjustasid juhuslikke fataalseid vigu, kinnitades, et nende turvaparandused olid korras lollakas.

Oh, ja Apple võttis samamoodi tagasi väited vanemate masinate kaitse kohta, vabastades hulga plaastreid High Sierra, Sierra ja El Capitani jaoks.

Linus ja Linux

Linus Torvalds, Linuxi tuuma looja ja peamine arendaja, on kogu Spectre / Meltdown plaastriprotsessi suhtes väga kriitiline. (Mis on tuum ikkagi? Mis on kernel Linuxis ja kuidas oma versiooni kontrollida?Linux on opsüsteem, eks? Noh, mitte täpselt! See on tegelikult tuum. Mis on Linuxi kernel? Loe rohkem ). Tegelikult läks Torvalds nii kaugele, et kuulutas Inteli plaastrid „TÄIELIKuks ja ülaosaliseks garaažiks”.

Sa saad loe ülejäänud tema tiraadi siit. See on lugemist väärt.

Linus analüüsis plaastreid. Ta leidis, et Intel üritab turvapaigad muuta valikuliseks ja ka OS-i põhiseks, nii et neil neid pole nende protsessori ülesehituse täielikuks ümberehitamiseks (mis on ainus võimalus tõelise turvalisuse tagamiseks - selgitan miks a hetk).

Teine võimalus oleks välja anda kaks plaastrit, kus üks võimaldab turvapaiku ja teine ​​kerneli parandusi.

Selle asemel väidab Torvalds, et Intel sunnib neid kahte koos jõudlushittide üle läikima, lubades valikulise turvalise režiimi. kusjuures kasutaja peab valima oma protsessori parandusse ja jõudluse jõudmiseks klientide otsusele, mitte Inteli asemel flak. Lisaks sellele saavad kasutajad kohe haavatavaks, kui nad käivitavad vanema opsüsteemi, mis pole kunagi plaastrit tundnud.

29. jaanuaril tehti kättesaadavaks Linux 4.15 kernel, mis hõlmas äsja laiendatud turbevõimalusi Inteli ja AMD protsessorites Linuxi seadmetes. Ja kuigi Linus Torvaldsi rent oli Linuxile keskendunud, on selge, et Inteli plaastrid ei olnud ühegi opsüsteemi jaoks kriimustatud.

Kas Hiina teadis peast ja sulamisest?

Vaatamata sellele, et Intel oma tulude aruannete osas ühest kuulist kõrvale hiilib (vaatamata enamiku maailma arvutite kriitilisele haavatavusele, teenib Intel kasumit üsna kenasti) võttis Intel hunniku kriitika alla nii Meltdowni kui ka Spectre'i avaldamise kohta oma tohututele Hiina klientidele, nagu Alibaba ja Lenovo, enne kui ta USA-le seda ütles valitsus.

Mitmetele USA suurematele agentuuridele tehti Specterist ja Meltdownist teatavaks alles siis, kui aruanded avalikustati, mitte aga mingist avalikustamiseelse teatamise protsessist. Ja kuigi pole mingeid andmeid selle kohta, et seda teavet on valesti kasutatud (nt Hiina valitsusele edastatud ja seda kasutatud), tekitab see tõsist muret Inteli valiku üle, keda teavitada.

Arvestades Hiina Interneti-jälgimise põhjalikkust ja ulatust, näib olevat täiesti ebatõenäoline, et Hiina valitsus ei olnud USA valitsuse ees haavatavustest teadlik.

Windows 10 Retpoline Specter Fix

Retpoliin on a „Tarkvarakonstruktsioon hargnenud sihtmärgi süstimise vältimiseks.“ Teisisõnu, see on plaaster, mis kaitseb selle eest Spekter, tutvustades alternatiivset ennustusharu, hoides süsteemi spektri stiilis spekulatsioonide eest kaitstuna rünnakud.

2018. aasta detsembris Microsoft tegi retpoline'i paranduse kättesaadavaks oma siseringite programmi jaoks. Programm Insider ja Insideri eelvaated on need, kus Microsoft testib eelseisvat Windows 10 versiooni enne, kui see jõuab peavoolu versioonini. Viimane värskendus 19H1 sisaldab retoliini värskendust.

Siiski teatas Microsoft 2019. aasta märtsis, et retpoline'i parandus on saadaval kõigile, kes soovivad seda alla laadida. Seal on paar tingimust:

• Süsteem peab käitama Windowsi 10. oktoobri 2018 värskendust.
• Parandus töötab ainult Inteli eelsetele Skylake'i protsessoritele ja vanematele (parandus töötab ka AMD masinatele, AMD lugejatele).

Kas pole kindel, millist Windows 10 versiooni praegu kasutate? Vajutage Windowsi klahv + I, siis Süsteem> Teave. Oma praegust Windowsi versiooni näete jaotises Windowsi spetsifikatsioon. Kui see ütleb 1809, saate värskenduse installida. Kui ei, siis peate ootama, kuni teie Windowsi versioon järele jõuab.

Retoliini värskendus KB4470788, saabub teie süsteemi tavalise Windows Update'i kaudu. Kuid värskenduse KB4470788 saate alla laadida Microsofti värskenduste kataloogi kaudu. Laadige alla oma opsüsteemi arhitektuuri õige versioon (nt x64 64-bitiseks, x86 32-bitiseks) ja installige siis.

Kas Spectre and Meltdown saab kunagi heaks?

Esimese põlvkonna Specter ja Meltdown plaastrid olid ajutised lahendused. Turvalisuse tõkestamise plaastrite lubamiseks ei tohiks tarbijatel laskuda kohustus, rääkimata sellest, et nad peavad otsustama tuuma tasemel turbeprobleemide ja protsessori jõudluse kokkulangevuse üle. See on lihtsalt ebaõiglane, rääkimata täiesti ebaeetilisest.

Retolliiniparanduste aeglane kasutuselevõtt on tarbijatele parem, parandades süsteemi haavatavusi ja naastes süsteemi kiiruse tagasi eelmisele tasemele. Sellegipoolest pole mõnel kasutajal retolliini paranduse eeliseid, seega pole see võlumaksu abistaja.

2018. aasta alguses esitas Inteli finantsaruanne teavet tegevjuhi Brian Krzanichi käest, kes lubas, et tõeliste riistvaraparandustega kiibid hakatakse tarnima sel aastal. Kahjuks ei olnud Krzanich täpsustanud, mida see julge avaldus tähendas.

Kuna Krzanich kinnitas siiski Inteli kavatsust jätkata 14nm toodete arendamist (Inteli protsessorid alates 2014. aastast - Kaby Lake, Coffee Lake, Skylake jne) kogu 2018. aasta jooksul. See loob võimalusi: ränisiseseid parandusi praeguse CPU põlvkonna jaoks ja parandusi tulevaste Cannon Lake protsessorite jaoks.

Hiljem, 2018. aastal, teatas Intel, et riistvara parandused - see on räniprotsessoril põhinev parandus - saabuvad koos Inteli tulevane protsessoripõlvkond. Mõned parandused võetakse kasutusele vähese energiatarbega protsessoriseeria Whiskey Lake abil, samas kui rohkem parandusi on ette nähtud de facto 10. põlvkonna protsessoritega Ice Lake. Uue põlvkonna Inteli protsessorid peaksid kaitsevad ka Foreshadow haavatavuse eest, ka.

Kas arvate, et Spectre and Meltdown ei mõjuta teid? Vaadake arvutiriistvara loetelu, mida turvaaukud ei mõjuta Kas mõni arvuti ei ole rikke ja spektri vigadest mõjutatud?Meltdown ja Specter haavatavused on mõjutanud riistvara kogu maailmas. Tundub, et kõik on ebakindel. Kuid see pole nii. Vaadake seda turvalise riistvara loendit ja meie edaspidiseid näpunäiteid. Loe rohkem , ja mõtle uuesti.