Привид і Обвал все ще небезпечні? Патчі, які вам потрібні

Відкриття вразливостей процесора Spectre і Meltdown стало шокуючим початком 2018 року. Вразливості зачіпають практично кожен процесор, практично в кожній операційній системі та архітектурі. Виробники процесорів і розробники операційних систем оперативно випускають патчі для захисту від вразливостей.

Але були і серйозні проблеми з прорізуванням зубів.

Тепер, по закінченні більше року з моменту появи перших звітів, ми наблизилися до справжнього виправлення вразливостей Meltdown і Spectre?

Вразливості в Привиді та Обваленні

Уразливості Spectre і Meltdown, виявлені на початку 2018 року, продовжують впливати на обчислення. Розплавлення особливо впливає на мікропроцесори Intel, починаючи з 1995 року. Тривалість цієї проблеми означає, що більшість світових процесорів Intel схильні до ризику, і навіть такі служби, як Microsoft Azure і Amazon Web Services.

Привид має аналогічний глобальний ефект. Вразливість Spectre зачіпає мікропроцесори від Intel, а також інших великих розробників, включаючи AMD і ARM. Таким чином, Spectre і Meltdown роблять більшу частину світових обчислювальних систем вразливою, і ця ситуація існує вже більше 20 років.

Зрозуміло, що викриття продовжують викликати жах як у споживачів, так і у підприємств. Занепокоєння багатогранне. Intel, AMD і ARM випустили виправлення для вразливостей; ці патчі будуть працювати? Простіше замінити цілі запаси мікропроцесорів? Коли на ринок вийде повністю захищений процесор? А як щодо вартості?

«Ми ніколи не бачили такої серйозної помилки, як ця, яка зачіпає буквально кожен великий процесор», - говорить Девід Кеннеді, генеральний директор TrustedSec, який проводить тестування на проникнення і консультування з питань безпеки для корпорацій.

"Минулого тижня я як мінімум десять разів дзвонив у великі компанії, а два вчора пояснював, що відбувається. Вони поняття не мають, що робити, коли справа доходить до виправлення. Це дійсно викликає безлад.

Привид наступного покоління

Ні, це не кросовер Джеймса Бонда і Стар Трека, про якого ви мріяли. Spectre Next Generation - це друге покоління вразливостей Spectre. Друге покоління було виявлено Google Project Project Zero (який також показав перше покоління).

Project Zero - це цільова група Google, яка займається пошуком і відповідальним розкриттям вразливостей нульового дня, перш ніж їх виявлять зловмисники.

Я не буду вдаватися в подробиці тут, але ось стаття, що пояснює значення Spectre наступного покоління

Чи є «Привид» і «Облисіння»?

Величезний діапазон вразливих пристроїв пропонує ще одну проблему. Кожному типу апаратного забезпечення потрібно трохи інше індивідуально розроблене рішення. Процес виправлення з січня 2018 року був просто приголомшливим.

Intel поспішила розробити і випустити патч безпеки. Недоліком були серйозні проблеми з продуктивністю. Intel сумно сказала: «Будь-який вплив на продуктивність залежить від робочого навантаження, і для звичайного користувача комп'ютера він не повинен бути значним і з часом буде пом'якшено». Це твердження було неправильним і залишається таким на момент написання статті.

Навіть нові процесори, які щойно вийшли на ринок, як і раніше відчувають ефект.

Фактично, 22 січня 2018 року Intel відкликала одне зі своїх виправлень для Spectre, оскільки воно викликало випадкову проблему з перезавантаженням. Intel запропонувала, щоб мережеві адміністратори просто відкотили всі вже встановлені оновлення, а виконавчий віце-президент Intel Ніл Шеной сказав: «Я приношу вибачення за будь-які збої, які можуть бути викликані цією зміною керівництва». VMware, Lenovo і Dell зробили однакові оголошення одночасно час.

Потім наприкінці січня Microsoft також оголосила про те, що виправлення Spectre і Meltdown для Windows 10 знижують продуктивність і призводять до випадкових фатальних помилок, підтверджуючи, що їх виправлення безпеки містили помилки.

О, і Apple аналогічним чином відмовилася від претензій щодо захисту старих машин, випустивши безліч патчів для High Sierra, Sierra і El Capitan.

Лінус і Лінукс

Лінус Торвальдс, творець і головний розробник ядра Linux, як і раніше вкрай критичний до всього процесу виправлення Spectre/Meltdown. (У будь-якому випадку, що таке ядро?). Фактично, Торвальдс зайшов так далеко, що оголосив патчі Intel «ПОВНИМ І ЧУТЛИВИМ ГАБАРИТОМ».

Ви можете прочитати іншу частину його тиради тут. Це варто прочитати.

Лінус проаналізував патчі. Він виявив, що Intel намагається зробити виправлення безпеки необов'язковими, а також на основі ОС, щоб їм не довелося повністю переробляти дизайн свого процесора (що є єдиним варіантом для забезпечення реальної безпеки - я поясню чому найближчим часом).

Альтернативою може бути випуск двох виправлень, де одне включає виправлення безпеки, а друге - виправлення ядра.

Замість цього Торвальдс стверджує, що Intel змушує їх двох замовчувати недоліки продуктивності, допускаючи «Додатковий безпечний режим», при якому користувач повинен включити свій ЦП у виправлення і зробити так, щоб продуктивність впливала на рішення клієнтів, а не на провал Intel, Крім того, якщо і коли користувачі завантажать більш стару операційну систему, яка ніколи не знала патч, вони будуть миттєво вразливі.

29 січня було випущено ядро ^ Linux 4.15 з новими розширеними можливостями безпеки в процесорах Intel і AMD на пристроях Linux. І хоча робота Лінуса Торвальдса була сфокусована на Linux, ясно, що патчі Intel були не на порожньому місці ні для однієї операційної системи.

Чи знав Китай про Привид і Обвал?

Незважаючи на те, що Intel упевнилася від своїх звітів про доходи (незважаючи на критичну вразливість, виявлену на більшості комп'ютерів світу, прибуток Intel досить непогано зріс), Intel піддалася критиці за те, що, за повідомленнями, розкрила і Meltdown, і Spectre своїм масовим китайським клієнтам, таким як Alibaba. і Lenovo, перш ніж це сказали уряду США.

Кілька великих агентств США були проінформовані про «Привид» і «Розплавлення» тільки тоді, коли звіти стали надбанням громадськості, а не про процес попереднього розкриття. І хоча немає ніяких ознак того, що інформація використовувалася неналежним чином (наприклад, була передана і використана урядом Китаю), це викликає серйозну стурбованість з приводу вибору Intel щодо того, хто повинен повідомляти.

Враховуючи глибину і масштаби китайського інтернет-спостереження, здається малоймовірним, що китайський уряд не знав про вразливості до уряду США.

Windows 10 Retpoline Spectre виправити

Retpoline - це «програмна конструкція для запобігання впровадження гілок-мішеней». Іншими словами, це патч, який захищає від Spectre, вводячи альтернативну гілку прогнозування, зберігаючи систему в безпеці від спекулятивних атак в стилі Specter.

У грудні 2018 року Microsoft зробила виправлення retpoline доступним для своєї програми Insider. У програмі Insider і Insider Previews Microsoft тестує майбутню версію Windows 10, перш ніж вона вийде в основний випуск. Останнє оновлення, 19H1, містить оновлення retpoline.

Однак у березні 2019 року Microsoft оголосила, що виправлення retpoline доступне для всіх, хто хоче його завантажити. Є пара умов:

• Система повинна працювати під управлінням Windows 10 жовтня 2018 року.
• Виправлення працює тільки для процесорів до Intel Skylake і більш старих (виправлення також працює для машин AMD, читачів AMD).

Ви не впевнені, яку версію Windows 10 ви використовуєте в даний час? Натисніть клавішу Windows + I і виберіть пункт меню Система > Про програму. Ви можете побачити свою поточну версію Windows відповідно до специфікації Windows. Якщо написано 1809, ви можете встановити оновлення. Якщо ні, вам доведеться почекати, поки ваша версія Windows не наздожене вас.

Оновлення retpoline KB4470788 буде надходити до вашої системи через звичайний процес оновлення Windows. Однак ви можете завантажити оновлення KB4470788 через каталог оновлень Microsoft. Завантажте правильну версію для вашої архітектури операційної системи (наприклад, x64 для 64-бітової, x86 для 32-бітної), потім встановіть.

Чи буде Привид і Обвал назавжди виправлені?

Перше покоління патчів Spectre і Meltdown було тимчасовим рішенням. Споживачі не повинні лягати на споживачів, щоб активувати виправлення, блокуючі вразливості, не кажучи вже про те, щоб вирішувати питання про компроміс між проблемами безпеки на рівні ядра і падіннями продуктивності процесора. Це просто несправедливо, не кажучи вже про абсолютно неетичне.

Повільне розгортання виправлень retpoline краще для споживачів, виправляючи вразливості системи і повертаючи швидкість системи назад до попередніх рівнів. Проте деякі користувачі не мають можливості виправити ретполін, так що це не чарівна пов'язка.

Ще на початку 2018 року фінансовий звіт Intel містив інформацію від генерального директора Брайана Крзанича, який пообіцяв, що цього року почнуться поставки чіпів зі справжніми апаратними виправленнями. На жаль, Крзанич не уточнив, що означало це сміливе твердження.

Однак, оскільки Крзанич підтвердив, що Intel планує продовжити розробку своїх 14-нм продуктів (процесори Intel з 2014 року - Kaby Lake, Coffee Lake, Skylake і т. Д.) протягом 2018 року. Це створює можливості: виправлення «в кремнії» для поточного покоління Процесори і виправлення для майбутніх процесорів Cannon Lake або одного чи іншого.

Пізніше, в 2018 році, Intel оголосила, що апаратні виправлення - це кремнієві виправлення на базі процесорів - будуть випущені в наступному поколінні процесорів Intel. Деякі виправлення з'являться в серії процесорів з низьким енергоспоживанням Whiskey Lake, в той час як інші будуть випущені з процесорами де-факто 10-го покоління Ice Lake. Нове покоління процесорів Intel також має захищати від вразливості Foreshadow.

Думаєш, на тебе не впливають Привид і Розплавлення? Ознайомтеся зі списком комп'ютерного обладнання, на яке не впливають уразливості. схильні і подумайте ще раз.