Уязвимость в ЦП Intel: затронуты Windows и Linux, закрытие уязвимости приведёт к падению производительности до 30%

Intel допустила весьма серьёзную уязвимость в своих центральных процессорах, и её нельзя исправить обновлением микрокода. Уязвимость затрагивает все процессоры Intel за последние лет десять как минимум.

Закрытие уязвимости требует обновления ОС, патчи для Linux уже вышли, Microsoft планирует закрыть её в рамках традиционного ежемесячного «вторника патчей». На данный момент детали уязвимости не разглашаются, но некоторые подробности всё-таки выплыли наружу благодаря Python Sweetness и The Register.

Уязвимость позволяет программам получать несанкционированный доступ к определённым данным в защищённой области памяти ядра. Предотвратить это можно, внедрив изоляцию памяти ядра (Kernel Page Table Isolation), которая сделает ядро «невидимым» для текущих процессов. Это не идеальное решение проблемы, но грядущие патчи для Windows, Linux и macOS будут использовать именно этот подход.

Однако подобное решение может очень серьёзно ударить по производительности. Падение производительности из-за изоляции может достигать 30 процентов. К счастью, последние модели процессоров Intel с технологией PCID (идентификаторы контекста процесса), возможно, позволяют уменьшить падение производительности, хоть и не избежав его совсем.

Уязвимость может эксплуатироваться в реальных условиях; под удар, в первую очередь, могут попасть компании, использующие виртуализацию.

Пока детали патчей не раскрываются, и Intel по понятным причинам предпочитает молчать, нам остаётся только ждать, когда можно будет полностью оценить серьёзность проблемы и угрозу, которую она несёт существующим компьютерным платформам. Но на данный момент всё это выглядит очень серьёзно.

Источник (полностью)

ereke_kz писал(а):

Выключение в Виндовс 10 только на 30 дней, дальше система пишет что автоматически включит.

А что нельзя поставить проверять, но не скачивать?

Интересно дешеветь будут процессоры или нет)

Max_Alekseyev писал(а):

Не знаю, по моим наблюдениям спокойней.

Абсолютно одинаковы, поверь. И чем дешевле селерон дома у фаната, тем яростнее он кидается в бой против АМД При этом на простые вопросы про реальные различия процев и их сильные/слабые стороны -- ни те, ни другие фанаты ответить обычно не в состоянии. Да ну их всех, пусть дальше копья ломают, мне как-то всё равно

Max_Alekseyev писал(а):

В простонародье "цироз" :смех:

У нас, помнится, их называли "курица", а "циррозом" у нас были видюхи от CirrusLogic
Эх, сколько ж тогда было разного железа, ныне забытого, и никто ведь священных войн не устраивал. Порог вхождения был выше, что ли?..

Max_Alekseyev писал(а):

А что нельзя поставить проверять, но не скачивать?

Можно, но без конца всплывающее окно напоминания тоже не айс..

ereke_kz писал(а):

Можно, но без конца всплывающее окно напоминания тоже не айс..

Да всё что угодно отключить можно, и уведомления, и можно вообще службу в ручной режим перевести или отключить. И для кого только Гугл придумали?

Max_Alekseyev
Решил уже, отключил Центр обновления через Службы и Редактор локальных политик.
А размещенный вами ранее скрин Центра обновления это старая версия.

ereke_kz писал(а):

А размещенный вами ранее скрин Центра обновления это старая версия.

Это от 8.1, но суть та же. Я просто погуглил быстро вашу задачку, так такой же функционал, только дизайн чуть другой. Отключили - отлично, я тоже не люблю, когда винда мне что-то под руку рассказывает

а разницу вернут? Проц стоит 15000р. , а если патч поставят, то цена его производительности станет 3500р.. Разницу в 11500р мне вернет intel? о_0

Vergus_nv писал(а):

Разницу в 11500р мне вернет intel? о_0

Конечно вернут, вы на них еще сможете повесить судебные издержки. Начинайте подыскивать хорошую юридическую контору предположительно в Штатах и заранее откройте визу на пару лет, т.к. скорее всего ваше присутствие в зале суду как истца будет обязательным.

По патчу от microsoft :

Здесь рассказано как можно принудительно включать или отключать KVA shadow, если патч уже установлен :

https://support.microsoft.com/en-us/help/4072698/windows-server-guidance-to-protect-against-the-speculative-execution

Как оказалось для серверов по умолчанию shadow выключен, на workstation не проверял, но по логике должен быть включен

Обнаружил интересную особенность реализации KVA. Shadow включен только для процессов, не имеющих прав администратора. Предполагается, что если права уже есть, то защищаться смысла нет. Так что из замедления исключены службы, работающие под SYSTEM, процессы, для которых выполнено повышение привилегий через UAC, или если UAC отключен совсем и вы работаете под админом
Выяснял это простой самописной прогой, циклящей в вызовах к ядру. По просадке на 30-40% сразу видно работает ли shadow.

Несмотря на то, что PCID виден присутствующим в AIDA на процах ivy bridge, он там не используется. Требуется поддержка инструкции invpcid, которая доступна только в hasswell.
Разница в скорости на моей проге : 0.6 без invpcid, 0.7 с pcid

ereke_kz писал(а):

Max_Alekseyev Решил уже, отключил Центр обновления через Службы и Редактор локальных политик. А размещенный вами ранее скрин Центра обновления это старая версия.

А зачем?
Патч практически не снижает производительность. на большинстве западных сайтов +/-, где-то даже выросли результаты. Снижение на базах данных, да есть. До аж 10% в реальных условиях, в среднем не выше 5%. на играх - как было.

Добавлено спустя 7 минут 39 секунд:

Vergus_nv писал(а):

а разницу вернут? Проц стоит 15000р. , а если патч поставят, то цена его производительности станет 3500р.. Разницу в 11500р мне вернет intel? о_0

Пруфы будут?
И да, патч то на ОС, не на фирмвар процессора.
Вообще, забавно. 99% народа не понимает в чем проблема и чем оно может грозить. Из них часть бесноватые АМД фанаты.
Да, так, к слову, уязвимость не одна.
Да, уязвимости, которая патчится KPTI, подвержены и топовые кортексы от ARM, включая огрызочные.
Да, уязвимости потенциально подвержены и другие процессоры со спекулятивным внеочередным исполнением . да потенциально есть вероятность, что и Дзены АМД будут уязвимы. И весьма немаленькая. Несмотря на то, что пока что алгоритм разработанный под хасвеллы не сработал.
Но вы это, беливьте там.

Добавлено спустя 13 минут 6 секунд:

al2.pl писал(а):

Чем все это грозит? Ничем хорошим. Ларри Эллисон много лет назад сказал "Приватность?Нет у вас никакой приватности!". Эллисон Создатель фирмы Оракл, которая создала одноименную базу данных, которой пользуются все американские силовики, крупные корпорации всего мира и частично России. Человек знал что говорил. Так вот. Сейчас у вас ее совсем не осталось. Считайте что на компьютерах с Intel полностью сдохло все шифрование. Пароли-то можно прочитать.

О, [censored] поддтянулся.
Казалось бы, причем тут шифрование, особенно с асимметричными ключами-то?
Про пароль - "нивапрос". А вы вообще, механизм уязвимости хоть поизучали? рекомендую. скорость получения дампа памяти до полумегабайта в секунду. Нет, пароль получить можно. Но вот просканировать, к примеру все 8ГБ ОЗУ при этом займет...
8192/0.503=16286 секунд т.е. 271 минута. Т.е. чуть больше 4.5 часов. за это время любой пароль из памяти уже может просто уйти, потому что приложение завершит работу.
Более того, чтобы эта уязвимость ( Meltdoiwn) сработала, нужно чтобы на вашем компьютере УЖЕ стояла такая шпиЁнская программа и работала, ЧСХ. Удаленной атакой ничего не достичь.
Но это фигня, потому что то же самое делают две уязвимости Spectre (но они доят инфу не через кэш первого уровня процессора, а через другое приложение и кэши 2 и 3 уровня), которым подвержены ВСЕ современные мощные процессоры процессоры включая IBM Power 8,9, Z-серии, ВСЕ х86 процессоры, ВСЕ ARM кроме самых простеньких. Без исключения. И эту уязвимость ОЧЕНЬ сложно прикрыть. да, она ещё медленнее доит память (если мельтдаун до 503КБ/с, то спектры - 1.5КБ/с и 2КБ/с). Так что если впадать в панику - впадайте СРАЗУ, потому что сегодня все, абсолютно все компьютеры в банках, госучреждениях и персоналки , плюс большая часть смартфонов и планшетов - уязвимы.

Добавлено спустя 5 минут 51 секунду:

kx77 писал(а):

Обнаружил интересную особенность реализации KVA. Shadow включен только для процессов, не имеющих прав администратора. Предполагается, что если права уже есть, то защищаться смысла нет.

Если вы работаете на рут-лвл, то у вас по умолчанию полный доступ. Уязвимость же позволяла получить доступ из гостевого входа.

Кстатити, а зачем нужна программка, заваливающая кернел запросами? Чисто узнать, есть ли защита?
Это как в тестах PostgreSQL c фактически пустым SELECT, где падение есть в примерно 25% при заплатке, но стоит перейти на реальные данные и реальные SELECT, как падение резко уменьшается по понятным причинам

Новые ЦП Интела будут уже лишены этого досадного. Я не исключаю, что этот удар по бизнесу Интела был сделан намеренно и лукаво и в угоду будущим, ещё большим непропорциональным прибылям монополии. Прям, заговор какой-то, но в пользу Интела и другим.

al2.pl писал(а):

Задолбали клоуны. Уже и картинку скинул, и ссылки давал все равно одно и то же "AMD тоже уязвим". Вам за Intel обидно, или вы на зарплате? Неузвимы процессоры от AMD, эксплоит один из трех, работает только на линуксе причем если вы сами измените весьма специфическую, отключенную по умолчанию настройку. Если этого не сделать - вы в безопасности. Intel и его апологеты просто мутят воду, если не сказать грубее.

Новогодние подарки, часть вторая: Spectre

Добавлено спустя 10 минут 40 секунд:

al2.pl писал(а):

Подозрительно молчат немецкие и голландские молодые физики, которые очень любят покопаться в подозрительных железках. Видимо любопытство им все-таки отшибли... Так что не надеялся бы я на обновление прошивки.

Один вякал, так потом парашют не раскрылся.
Крис Касперски

Bennjamin писал(а):

Исследователи из Google и вовсе использовали функцию BPF — это механизм, существующий в Linux и FreeBSD и позволяющий пользовательскому приложений подцепить к ядру системы свой фильтр, например, для отслеживания I/O-потоков. В данном случае, понятно, совершенно неважно, что этот фильтр будет делать — важно, чтобы в каком-то его месте была нужная нам последовательность команд. Nota bene: из этого родилась версия, что уязвимость Spectre неприменима при выключенном BPF. Это не так.

А если не цитировать, а самому дочитать до конца и сделать выводы своими словами (помните -- "понятым можно считать лишь то, что можно пересказать без потери смысла", а)? А написано там, по сути, следующее:
-- теоретическая применимость и практическая, как говорится, две большие разницы. "Спектр" без BPF на практике бессмысленен по причине слишком высокой трудоёмкости реализации и непредсказуемости результата.

Это наверно ответка каму-то, за что-то.
Да все наверно о ней знали и пользовались без претензий к друг другу.
Кто-то кому-то дорогу перешел и пошла ответка.
- Вот и обнародовали через цепочку людей.
типа может как - Касперскому запретили в ГосОрганах пендостана использовать ну или типа того.
Просто так чтоль даже в обычной ментовке все в бумажном виде, ПК если на столе и есть - то не для служебных нужд - так развлечься.