Спектр и Meltdown по-прежнему представляют собой угрозу? Патчи, которые вам нужны

Обнаружение уязвимостей процессоров Spectre и Meltdown стало шокирующим началом 2018 года. Уязвимости затрагивают почти каждый процессор, практически во всех операционных системах и архитектурах. Производители процессоров и разработчики операционных систем оперативно выпустили исправления для защиты от уязвимостей.

Но были некоторые серьезные проблемы с прорезыванием зубов , тоже.

Теперь, спустя год после первых отчетов, приблизились ли мы к тому, чтобы по-настоящему исправить уязвимости Meltdown и Spectre?

Последние уязвимости Spectre и Meltdown

Уязвимости Spectre и Meltdown, обнаруженные в начале 2018 г., продолжаются чтобы повлиять на вычисления. Распад особенно влияет на микропроцессоры Intel, начиная с 1995 года. Длительный срок существования этой проблемы означает, что риску подвержены большинство процессоров Intel в мире и даже такие сервисы, как Microsoft Azure и Amazon Web Services.

Spectre имеет аналогичный глобальный эффект. Уязвимость Spectre затрагивает микропроцессоры Intel, а также других крупных разработчиков, включая AMD и ARM. Таким образом, Spectre и Meltdown делают большую часть вычислений в мире уязвимой, и эта ситуация возникла более 20 лет назад.

#Meltdown & #Spectre — Сторона стороны -старное сравнение # кибербезопасность #DataBreach #humanfactors # CES2018 # вредоносное ПО # Технология

CC: @ ipfconline1 @JimMarous @evankirstel @MikeQuindazzi @pierrepinna @ jblefevre60 @reach2ratan @KirkD .com/0S79P5jDbV

— Шира Рубинофф (@Shirastweet) 10 января 2018 г.

Понятно, что эти открытия продолжают вызывать ужас как у потребителей, так и у компаний. Беспокойство многогранно. Intel, AMD и ARM выпустили исправления для уязвимостей; эти патчи будут работать? А проще ли заменить микропроцессоры целиком? Когда выйдет на рынок полностью защищенный процессор? А как насчет стоимости?

«Мы никогда не видели такой обширной ошибки, как эта, которая затрагивает буквально все основные процессоры», — говорит Дэвид Кеннеди, генеральный директор TrustedSec, которая занимается тестированием на проникновение и консультирует корпорации по вопросам безопасности.

«На прошлой неделе я был как минимум на десяти звонках с крупными компаниями и на двух вчера, чтобы объяснить, что происходит. Они понятия не имеют, что делать, когда дело доходит до установки исправлений. Это действительно вызывает беспорядок.. «

Spectre Next Generation

Нет , это не кроссовер Джеймса Бонда и Звездного пути, о котором вы мечтали. Spectre Next Generation — это второе поколение уязвимостей Spectre. Второе поколение было обнаружено Google Project Zero (который также показал первое поколение).

Project Zero — это рабочая группа Google по поиску и ответственному раскрытию уязвимостей нулевого дня до того, как их обнаружат гнусные люди.

Я не собираюсь здесь вдаваться во все подробности, но вот статья, объясняющая значение Spectre Next Generation.

Существуют ли патчи Spectre и Meltdown?

Огромный спектр уязвимых устройств создает еще одну проблему. Для каждого типа оборудования требуется немного свое индивидуально разработанное решение. Процесс исправления с тех пор Январь 2018 года был не чем иным, как ошеломляющим.

Intel поспешила разработать и выпустить исправление безопасности. Обратной стороной были серьезные проблемы с производительностью. В Intel печально известно: «Любое влияние на производительность зависит от рабочей нагрузки и для среднего пользователя компьютера не должно быть значительным и со временем будет смягчено». Это заявление не соответствовало действительности и остается таковым на момент написания.

Даже более новые процессоры, которые только появляются на рынке, все еще ощущают влияние.

Фактически, 22 января 2018 года Intel отозвала одно из своих исправлений Spectre, поскольку оно вызывало случайную перезагрузку. Intel предложила сетевым администраторам просто откатить все уже установленные обновления, а исполнительный вице-президент Intel Нил Шеной сказал: «Прошу прощения за любые нарушения, которые может вызвать это изменение в руководстве». VMware, Lenovo и Dell сделали аналогичные объявления одновременно.

Затем в конце января Microsoft также объявила, что патчи Spectre и Meltdown для Windows 10 снижают производительность и вызывают случайные фатальные ошибки, подтверждая, что их исправления безопасности содержат ошибки.

Да, и Apple аналогичным образом отказалась от претензий относительно защиты старых компьютеров, выпустив множество исправлений для High Sierra, Sierra и El Capitan.

Линус и Linux

Линус Торвальдс, создатель и главный разработчик Linux ядро, остается крайне критичным ко всему процессу патча Spectre/Meltdown. (В любом случае, что такое ядро?). Фактически, Торвальдс даже объявил патчи Intel как «ПОЛНЫЙ МУСОР».

Вы можете прочитать остальную часть его тирады здесь. Его стоит прочитать.

Линус проанализировал патчи. Он обнаружил, что Intel пытается сделать исправления безопасности необязательными, а также основанными на ОС, чтобы им не приходилось полностью пересматривать дизайн своего процессора (что является единственным вариантом для реальной безопасности — я объясню, почему ).

Альтернативой может быть выпуск двух исправлений, один из которых включает исправления безопасности, а второй — исправления для ядра.

Вместо этого Торвальдс утверждает, что Intel вынуждает их вместе скрыть проблемы с производительностью, разрешив «необязательный безопасный режим», в соответствии с которым пользователь должен включить свой процессор в исправление, что приведет к снижению производительности. решение клиентов, а не Intel. Кроме того, если и когда пользователи загружают старую операционную систему, которая никогда не знала патча, они мгновенно становятся уязвимыми.

29 января было выпущено ядро ​​Linux 4.15 с новыми расширенными возможностями безопасности в процессорах Intel и AMD на Устройства Linux. И хотя напыщенная речь Линуса Торвальдса была сосредоточена на Linux, ясно, что исправления Intel не подходили ни для одной операционной системы.

Знал ли Китай о Spectre и Meltdown?

Несмотря на то, что Intel уклонилась от одной пули, касающейся своих отчетов о доходах (несмотря на критическую уязвимость, обнаруженную в большинстве компьютеров в мире, прибыль Intel неплохо растет), Intel подверглась критике за то, что, как сообщается, раскрыла информацию о Meltdown и Spectre своим огромным китайским клиентам. , как Alibaba и Lenovo, до того, как об этом сообщили правительству США.

Несколько крупных агентств США узнали о Spectre и Meltdown только тогда, когда отчеты стали общедоступными, а не о каком-либо процессе предварительного уведомления. И хотя нет никаких указаний на то, что информация использовалась ненадлежащим образом (например, была передана и использована правительством Китая), это вызывает серьезные опасения по поводу выбора Intel того, кого информировать.

Учитывая глубину и масштабы китайской слежки за интернетом, кажется маловероятным, что китайское правительство не знало об уязвимостях перед правительством США.

Windows 10 Retpoline Spectre Fix

Retpoline — это «программная конструкция для предотвращения внедрения ответвлений в мишени». Другими словами, это патч, который защищает от Spectre, вводя альтернативную ветвь предсказания, защищая систему от атак спекулятивного типа.

В декабре 2018 года Microsoft сделала доступным исправление retpoline для своей программы Insider. Программа Insider и предварительные версии Insider — это то место, где Microsoft тестирует предстоящую версию Windows 10, прежде чем она выйдет на основной выпуск. Последнее обновление, 19H1, содержит обновление retpoline..

Однако в марте 2019 года Microsoft объявила, что исправление retpoline доступно всем, кто хочет его загрузить. Есть несколько условий:

  • В системе должно быть установлено обновление Windows 10 October 2018 Update.
  • Исправление работает только для процессоров до Intel Skylake и старше (исправление также работает для машин AMD и считывателей AMD).

Не знаете, какую версию Windows 10 вы используете в настоящее время? Нажмите Windows Key + I , затем Система> О программе. Вы можете увидеть текущую версию Windows в разделе Спецификация Windows . Если написано 1809, вы можете установить обновление. В противном случае вам придется подождать, пока ваша версия Windows не догонит.

Обновление retpoline, KB4470788, появится в вашей системе через обычный процесс обновления Windows. Однако вы можете загрузить обновление KB4470788 через каталог Центра обновления Майкрософт. Загрузите версию, соответствующую архитектуре вашей операционной системы (например, x64 для 64-разрядной версии, x86 для 32-разрядной версии), затем установите.

Будут ли Spectre и Meltdown когда-либо исправлены навсегда?

Первое поколение патчей Spectre и Meltdown было временным решением. Бремя включения исправлений для блокировки уязвимостей не должно лежать на потребителях, не говоря уже о том, чтобы решить вопрос о компромиссе между проблемами безопасности на уровне ядра и снижением производительности процессора. Это просто несправедливо, не говоря уже о полной неэтичности.

Медленное развертывание исправлений retpoline лучше для потребителей, так как они устраняют уязвимости системы и возвращают скорость системы на прежний уровень. Тем не менее, у некоторых пользователей нет возможности исправить ретполин, так что это не волшебный пластырь.

Еще в начале 2018 года финансовый отчет Intel содержал информацию от генерального директора Брайана Кржанича, который пообещал, что в этом году начнутся поставки микросхем с настоящими аппаратными исправлениями. К сожалению, Кржанич не уточнил, что означало это смелое заявление.

Однако, поскольку Кржанич подтвердил планы Intel продолжать разработку своих 14-нм продуктов (процессоры Intel с 2014 года — Kaby Lake, Coffee Lake, Skylake и т. д.) в течение 2018 года. Это создает возможности: «в кремнии» исправления для текущего поколения процессоров и исправления для будущих процессоров Cannon Lake, или того или другого.

Позже в 2018 году Intel объявила, что исправления для оборудования — это кремниевое исправление для процессора — — появится с грядущим поколением процессоров Intel. Некоторые исправления появятся в серии процессоров с низким энергопотреблением Whiskey Lake, в то время как другие будут добавлены в процессоры 10-го поколения де-факто Ice Lake.. Новое поколение процессоров Intel также должно защищать от уязвимости Foreshadow.

Думаете, на вас не действуют Spectre и Meltdown? Ознакомьтесь со списком компьютерного оборудования, не подверженного уязвимостям, и подумайте еще раз.

Оцените статью
oilgasindustry.ru
Добавить комментарий