Τεράστιο σχεδιαστικό λάθος σε όλους τους Intel επεξεργαστές εξαναγκάζει τον επαναπρογραμματισμό σε Linux και Windows Kernels, εώς και 30% χαμηλότερες οι επιδόσεις.

[cpc464]

1 ώρα πριν, Dr_73 είπε

Σε περίπτωση που χάκερς κλέψουν κωδικούς , ειδικά internet banking και καταφέρουν να "κερδίσουν" κάτι από αυτό , προκύπτουν και άλλα ζητήματα και διαμάχες πελατών-τράπεζας.

Το internet banking έχει ήδη μηχανισμούς αποστολής κωδικών με sms , οπότε μπορεί να προστατευτεί . Ξεφεύγει το θέμα.

Εάν όμως ο hacker έχει πρόσβαση στον υπολογιστή σου σου κλέβει και αριθμό κάρτας και cvv και secure code, άρα δέν προστατεύεσαι, θα το καταλάβεις μόλις κάνει ψώνια.

[talos_2002]

Η τρελίτσα της Ίντελ συνεχίζεται σε κάθε ανακοίνωση:

Αναφορά σε κείμενο

This is not a bug or a flaw in Intel products.
these exploits do not have the potential to corrupt, modify or delete data. (μόνο τα κλέβουν)
many different vendors’ processors

Ενώ οι άλλες εταιρίες λένε για 2 συγκεκριμένα προβλήματα με ονόματα, οι μηχανικοί δημοσιοσχετίστες της μιλάνε γενικά για several software analysis methods.
Και το παρουσιάζουν ως industry-wide πρόβλημα, αναφέροντας πάλι και την AMD λες και θα γράψει μαζί της τα διορθωμένα bios.

https://www.intel.com/content/www/us/en/architecture-and-technology/facts-about-side-channel-analysis-and-intel-products.html

22 λεπτά πριν, cpc464 είπε

Εάν όμως ο hacker έχει πρόσβαση στον υπολογιστή σου σου κλέβει και αριθμό κάρτας και cvv και secure code, άρα δέν προστατεύεσαι, θα το καταλάβεις μόλις κάνει ψώνια.

Σωστά. Ιδού η εκμετάλλευσή του εν δράσει:
https://twitter.com/misc0110/status/948706387491786752

Επεξ/σία 7 Ιανουαρίου 2018 από talos_2002

[evzonas23]

3 λεπτά πριν, talos_2002 είπε

Η τρελίτσα της Ίντελ συνεχίζεται σε κάθε ανακοίνωση:

Ενώ οι άλλες εταιρίες λένε για 2 συγκεκριμένα προβλήματα με ονόματα, οι μηχανικοί δημοσιοσχετίστες της μιλάνε γενικά για several software analysis methods.
Και το παρουσιάζουν ως industry-wide πρόβλημα, αναφέροντας πάλι και την AMD λες και θα γράψει μαζί της τα διορθωμένα bios.

https://www.intel.com/content/www/us/en/architecture-and-technology/facts-about-side-channel-analysis-and-intel-products.html

Είναι industry wide και τους επηρεάζει όλους, το θέμα είναι πόσο τον καθένα ? 

[Zaknafein]

51 λεπτά πριν, Πέτρος είπε

Δεν έχω τις γνώσεις για να βγάλω άκρη.

Για να βγάλω άκρη, ρωτάω.

Κάποιοι λένε έτσι, κάποιοι το αντίθετο.

Όπως γράφτηκε παραπίσω, η επίσημη τοποθέτηση της AMD ότι δεν επηρεάζεται παρά υπό αυστηρές προϋποθέσεις βγήκε αφού έσκασε η αποκάλυψη, οπότε είναι τεράστιο πλήγμα κατά της αν δεν ισχύει (και νομικά).

Τρία site όλα κι όλα παρακολουθώ για το "νέο", ακόμα άκρη για το τί επακριβώς ισχύει δεν έχω βγάλει.

Όσο πιο απλά γίνεται τότε και με το disclaimer ότι είναι όπως τα έχω καταλάβει χωρίς να είμαι cybersecurity expert:

Οι συγκεκριμένες μέθοδοι επίθεσης είναι εφικτές γιατί λόγω αρχιτεκτονιτκής εξέλιξης οι επεξεργαστές δύναται να εκτελέσουν κώδικα πριν αυτός ζητηθεί (αν ζητηθεί, κερδίζουν επιδόσεις, αν δεν ζητηθεί απλά "πετιέται") και μέσω πλάγιων μεθόδων (side channel attack) αυτή η δυνατότητα του επεξεργαστή μπορεί να αποκαλύψει προστατευμένα δεδομένα. Για να γίνει αυτή η επίθεση, πρέπει ο επιτιθέμενος ήδη να έχει βρει τρόπο να τρέξει κώδικα στη μηχανή, είτε απομακρυσμένα, είτε locally.

Για το μεν Meltdown ισχύει ότι είναι ευάλωτοι, αποδεδειγμένα, οι intel επεξεργαστές, ενώ μέχρι στιγμής κάτι αντίστοιχο δεν έχει αποδειχτεί για τους λοιπούς (AMD, ARM).

Για το δε Spectre, που έχει πιο ευρύ πεδίο εφαρμογής αλλά και πιο δύσκολη υλοποίηση, είναι εφαρμόσιμο σε όλες τις αρχιτεκτονικές (intel-AMD-ARM), απλά λόγω τεχνικών λεπτομερειών δεν είναι -προς το παρόν- το ίδιο σημαντικό ως ευπάθεια και όχι τόσο εύκολα εκμεταλλεύσιμο, τουλάχιστον άμεσα.

Το θέμα είναι ότι το Meltdown είναι patchable, ενώ το Φαντασματάκι ενδέχεται να μας 'στοιχειώνει' για καιρό - εξού και το όνομα.

Τώρα για τα οπαδικά κτλ, εγώ δεν φοράω κασκόλ, λέφτακια θέλω να βγάλω απ'το HW, όπως για τα λεφτάκια νοιάζονται και οι εταιρίες και όχι για το "καλό μας" και πραγματικά λυπάμαι όποιον πιστεύει ότι η μια ή η άλλη είναι "καλύτερη" ή πιο "υπεύθυνη", στα @@ τους απλά, bottom line is everything.

[pirmen56]

1 ώρα πριν, Zaknafein είπε

Δεν ισχύει το φυσική/άμεση πρόσβαση, ούτε το μόνο Linux, ένα inject υπόθεση είναι από Javascript - εφόσον το επιτρέπεις αυτό (βλ. noscript κτλ). 1-2 σελίδες πίσω είναι τα links από το επίσημο site του πανεπιστημίου του Graz, με τα white papers. Τώρα αν είναι κι αυτοι στην ομάδα αληθείας της ιντέλας δύσκολο να το ξέρουμε, αλλά δεν βλέπω το λόγο να ισχύει αυτό για το φαντασματάκι... η 'τεχνική' του είναι εφαρμόσιμη απ'την στιγμή που υφίσταται αρχιτεκτονικά το speculative execution, αυτό που αλλάζει είναι ο ακριβής τρόπος εφαρμογής - ο οποίος btw βρίσκεται από πειράματα των ερευνητών, αφού δεν γνωρίζουν τις λεπτομέρειες σε επίπεδο HW.

Εδώ το ποστ μου με τα links σε πηγές:

  Απόκρυψη περιεχομένων

Όπως τα λες. Ακόμα και για το meltdown οι ερευνητές της google αναφέρουν ότι η τεχνική τους απλά δεν δούλεψε σε AMD επεξεργαστές και αναφέρουν την πιθανή αιτία. Πειράματα και υποθέσεις κάνουν επάνω στην κάθε out of order αρχιτεκτονική. Δεν είπαν ποτέ ότι η αρχιτεκτονική της AMD είναι αδιαπέραστη. Από το pdf που συζητήθηκε προ ολίγου.

https://meltdownattack.com/meltdown.pdf

Αναφορά σε κείμενο

However, we did not manage to successfully leak kernel memory with the attack described
in Section 5, neither on ARM nor on AMD. The reasons for this can be manifold. First of all, our implementation
might simply be too slow and a more optimized version might succeed. 

Αναφορά σε κείμενο

 However, for both ARM and AMD, the toy example as described in Section 3 works reliably, indicating
that out-of-order execution generally occurs and instructions past illegal memory accesses are also performed.

Επιπλέον αν διαβάσει κανείς αυτό το λεπτομερές άρθρο του arstechnica θα καταλάβει ότι το exploit γίνεται με έμμεσο έξυπνο τρόπο. Δεν φαίνεται να είναι κάτι απλό.

https://arstechnica.com/gadgets/2018/01/meltdown-and-spectre-heres-what-intel-apple-microsoft-others-are-doing-about-it/

Αναφορά σε κείμενο

While this speculative execution does not alter program behavior at all, the Spectre and Meltdown research demonstrates that it perturbs the processor's state in detectable ways. This perturbation can be detected by carefully measuring how long it takes to perform certain operations. Using these timings, it's possible for one process to infer properties of data belonging to another process—or even the operating system kernel or virtual machine hypervisor.

Αναφορά σε κείμενο

Meltdown, applicable to virtually every Intel chip made for many years, along with certain high-performance ARM designs, is the easier to exploit and enables any user program to read vast tracts of kernel data.

 

Επεξ/σία 7 Ιανουαρίου 2018 από pirmen56

[MoviemakerGr]

Αυτό που θα μπουν όλοι και θα κλέψουν τους άδειους λογαριασμούς μας με ξεπερνάει..

 

[pirmen56]

Σχετικά με αυτό που είπε ο moviemaker έκανα μια σκέψη. Το update των win πατσάρει μόνο το meltdown που ουσιαστικά κάνει τον χάκερ administrator. Ενώ το bios update χρειάζεται για το spectre.

Τι κινδύνους θα είχε κάποιος από το Spectre και μόνο πέρα από την υποκλοπή password; Με το σκεπτικό να μην αλλάξεις bios και να αποφύγεις έτσι τον κύριο όγκο της επιβάρυνσης των επιδόσεων.

Ποιά θα είναι άραγε η επίπτωση στους AMD από το πατσάρισμα του spectre(software ή και bios);

edit: Άκυρο. Το είχα καταλάβει λάθος από άλλες πηγές. Στο arstechnica το λέει ξεκάθαρα ότι και στο Spectre μπορούν να υποκλαπούν δεδομένα από το kernel.

Αναφορά σε κείμενο

Spectre attacks can be used both to leak information from the kernel to user programs, but also from virtualization hypervisors to guest systems.

Αναφορά σε κείμενο

Moreover, Spectre doesn't offer any straightforward solution. Speculation is essential to high-performance processors, and while there may be limited ways to block certain kinds of speculative execution, general techniques that will defend against any information leakage due to speculative execution aren't known.

 

 

Επεξ/σία 7 Ιανουαρίου 2018 από pirmen56

[thanosAIAS]

Ισως είναι και μια ευκαιρία να κερδίσει έδαφος η AMD απένατνι στην intel. Θα κάνει καλό στον υγιεί ανταγωνισμό μεταξύ τους.

[.::NikoS::.]

Πειράζει που δεν έχω καταλάβει τι πρέπει να κάνω; Εχω 4690k πανω σε μια Gigabyte Z97x Gaming 3 και τρεχω Win 7. Δεν εχω δει καποιο win update ακομα... Ποιο ειναι το Update που πρεπει να περαστει;

Απο την Gigabyte  τι θα πρεπει να κοιταξω να περασω (αααν βγαλουν κατι)? BIOS καινουριο δε βλεπω. Ειδα κατι που το ονομαζει "Gigabyte Intel ME Critical FW Update", αλλά το τρέχω και εμφανίζει μήνυμα: There is no need to run the update. Εν τελη πρεπει να περνιεται καποιο patch καθε φορα που κανω εγκατασταση windows? (και αν ναι, ποιο ειναι αυτο το patch? Απο microsoft, από Gigabyte, ή απο Intel?) Ας μου εξηγησει καποιος αν ειναι ευκολο. 

Ευχαριστώ!

Επεξ/σία 7 Ιανουαρίου 2018 από .::NikoS::.

[pmakr]

Σε πιάνει πανικός απλώς επειδή έγινε μεγάλος ντόρος. Δεν έχεις μεγαλύτερο κίνδυνο απ'οσον είχες τα 10-20 τελευταία χρόνια. Όποιος χάκερ ήξερε πως να το κάνει θα σου είχε ήδη κλέψει ότι ήθελε και δεν θα είχες καταλάβει καν το πως. Απλώς τώρα το ξέρεις.

Τί να κάνεις; Ότι έκανες συνήθως. Τα κανονικά updates όταν βγουν. Έτσι κι αλλιώς μπορεί να υπάρχει κι άλλο bug που θα μάθεις μετά από 20 χρόνια. Το hardware και το software ειναι πλεον τοσο πολυπλοκα και αχανή όσο το σύμπαν. Το ότι δεν έχει bugs είναι σαν να λες ότι δεν υπάρχουν εξωγήινοι αφού δεν τους έχεις δει. Φυσικά και έχει και θα έχει πάντα μέχρι κάποιος να τα βρει και να τα χρησιμοποιήσει εις βάρος σου. Εξάλλου συνέχεια κάθε μέρα βγαίνουν security updates για τα πάντα. Απλώς τα "μεγάλα" μυαλά που σχεδίασαν τον επεξεργαστή δεν σκέφτηκαν να καλύψουν αυτή την τρύπα και πέρασαν είκοσι χρόνια για να τα ανακαλύψουν κάποια εξίσου μεγάλα μυαλά (αν δεν είχε ήδη γίνει πιο πριν)

Αν δεις ότι έχεις πτώση στην ταχύτητα, βγάλε τα updates και χρησιμοποίησε το pc χωρίς να βάζεις προσωπικά δεδομένα μέσα μεχρι να διορθωθεί στις επόμενες γενιές και να κάνεις αναβαθμιση που θα έχουν σίγουρα bugs διαφορετικά από αυτό. Αλλά όσο είσαι online δεν θα είσαι ποτέ ασφαλής. Είναι σαν να βάζεις μια ξύλινη πόρτα μπροστά από έναν αντιδραστήρα για να αποφύγεις τις επιπτώσεις της ραδιενέργειας. Ο μόνος ασφαλής τρόπος για να μη σου κλέψουν τα δεδομένα είναι μόνο ένας (από σεμινάριο/ομιλία της δίωξης ηλεκτρονικού εγκλήματος που είχε γίνει στο μεγαρο μουσικής στο startup/scaleup 2ημερο πριν κανα δύο χρόνια) : Να μην είσαι Online ! (και φυσικα να μη σου κλέψουν το pc)

 

Επεξ/σία 7 Ιανουαρίου 2018 από pmakr

[kom]

ολόσωστα όλα τα παραπάνω μη σας πιάνει τρέλα,,,όλα τα cpu και windows είναι "τρύπια" και "αρρωστα" μέχρι αηδίας από τότε που έβγαλαν το πρώτο security update και πολλά άλλα που δεν γνωρίζουμε,,,προσωπικά δεν έβαλα και ούτε πρόκειται να βάλω Updates και ας μπουν στο pc μου να το κανουν βίδες,,,θα βαρεθούν γιατί δεν θα βρουν απολύτως τίποτα που να τους ενδιαφέρει

Επεξ/σία 7 Ιανουαρίου 2018 από kom

[Spartan117]

Το microcode BIOS update φαίνεται ότι κάνει την μεγαλύτερη διαφορα, αλλα και πάλι σε games μιλάμε για το πολύ 1-3 frames. Είμαι περίεργος να δω το microcode update της AMD ποσο θα επηρεάσει τις επιδόσεις.

Επεξ/σία 7 Ιανουαρίου 2018 από Spartan117

[akoinonitos]

4 ώρες πριν, Spartan117 είπε

 Είμαι περίεργος να δω το microcode update της AMD ποσο θα επηρεάσει τις επιδόσεις.

Θα βγαλει? αν βγαλει μετα τις δηλωσεις της οτι δεν εχουν θεμα οι επεξεργαστες της θα γινει ρομπα...

[cpc464]

Δέν νομίζω η η AMD να βγάλει microcode, bios&patch είναι για να φτιαχθεί το meltdown , τα AMD δέν προσβάλονται απο αυτό το exploit, ελπίζω δηλαδή γιατί έχω φτιάξει επιχείρηση με full amd λογω κόστους και τους είπα σήμερα (που μας τραπέζωσε το αφεντικό λόγω ονομαστικής γιορτής)  με περηφάνεια δέν χρειάζεται bios update, μόνο τα windows ενημερώστε.

[benign]

5 ώρες πριν, kom είπε

ολόσωστα όλα τα παραπάνω μη σας πιάνει τρέλα,,,όλα τα cpu και windows είναι "τρύπια" και "αρρωστα" μέχρι αηδίας από τότε που έβγαλαν το πρώτο security update και πολλά άλλα που δεν γνωρίζουμε,,,προσωπικά δεν έβαλα και ούτε πρόκειται να βάλω Updates και ας μπουν στο pc μου να το κανουν βίδες,,,θα βαρεθούν γιατί δεν θα βρουν απολύτως τίποτα που να τους ενδιαφέρει

Απολυτως τιποτε,ουτε καμμια τσοντουλα?

3 λεπτά πριν, cpc464 είπε

Δέν νομίζω η η AMD να βγάλει microcode, bios&patch είναι για να φτιαχθεί το meltdown , τα AMD δέν προσβάλονται απο αυτό το exploit, ελπίζω δηλαδή γιατί έχω φτιάξει επιχείρηση με full amd λογω κόστους και τους είπα σήμερα (που μας τραπέζωσε το αφεντικό λόγω ονομαστικής γιορτής)  με περηφάνεια δέν χρειάζεται bios update, μόνο τα windows ενημερώστε.

Ισως επρεπε να του πεις και για αυξηση,μιας και ηταν σε καλη διαθεση.

Επεξ/σία 7 Ιανουαρίου 2018 από benign