Intel CPU design flaw |Meltdown, Spectre a ine|

[havli]

ide naozaj "len" o lokalne citanie dat, bit po bite z pamäti CPU (nie z disku)...

Pokud se utocnikovi podari spustit v napadnutem PC svuj kod (a je to neco lepsiho nez JavaScript), tak si muze disky prohlizet v pohode a nepotrebuje k tomu zadne specialni chyby v CPU.

[hnizdo]

https://www.lupa.cz/clanky/spectre-melt ... acentrech/

Otázkou je také to, jaké reálné dopady budou mít záplaty Spectre a Meltdown na výkon procesorů a serverů. „První nasazené patche nevykazují žádný viditelný pokles výkonu, ale je ještě brzy na celkové hodnocení,“ míní technický ředitel Seznamu Vlastimil Pečínka. „Situace, kterou Spectre a Meltdown způsobily, se dotkne zejména práce bezpečnostních týmu a adminů (v analytické rovině) a následně všech admin týmů pracujících v provozu při rutinním procesu výměny kernelu,“ dodává.

Přidává se i Master Internet. „Výkon průběžně monitorujeme a byť očekáváme jeho degradaci, prozatím žádný dramatický propad nepozorujeme,“ uvádí firma.

Apokalypsa se zrejme nekona

[Jája]

Utilita InSpectre jednoduše otestuje hrozbu ze strany Spectre a Meltdown

A především je možné, pokud ji spustíte s administrátorskými právy, deaktivovat ochranu proti Meltdown, což vyžaduje restart. Můžete si pak sami pomocí různých testů zjistit, jaký má dopad na výkon vašeho počítače.

https://www.svethardware.cz/utilita-ins ... down/45884

[Commanderwar]

Ahoj nikde se to nepíše je skutečně pro běžné uživatele v čr nutné vůbec tento problém řešit?...Je važně takové riziko tuto aktualizaci instalovat?

Dneska jsem ji odinstaloval.

To co předváví nejmenovany web to je skutečně jak z Terminátora genesis.

[hnizdo]

Jak uz se psalo mnohkrat, zranitelnost slouzi ke cteni chranenych dat, tedy napriklad sberu hesel. O jejim vyuziti v praxi se vedou spory.

[killerek]

Kolega se server teamu to uspesne otestoval na ziskani hesel. U nas v koproratu se rozjela rychlo akce na zjisteni všech zarizeni nespravovanych IT. Teda ono to uz zacalo s poslední vlnou ramsonwaru, jen to ted nabralo obratky.

[Eddward]

Jak uz se psalo mnohkrat, zranitelnost slouzi ke cteni chranenych dat, tedy napriklad sberu hesel. O jejim vyuziti v praxi se vedou spory.

Vyuzitie v praxi nebude ine, len take ze to bude citat data. Podla toho ako si ich kto ceni by sa mal zariadit
Samozrejme ide predovsetkym o hesla, kluce a podobne veci.
Ked to berieme z pozitivnej stranky, tak je to urcite lepsie ako by mal nejaky ransomware locknut cely disk, alebo inak modifikovat ulozene data.
Na druhej strane, skody su potencialne o dost väcsie.

[MV]

Dneska jsem ji odinstaloval.

Imho příští měsíc ji tam máš zpět v rámci "únorového balíčku" záplat. Takže to bys teď musel vypnout windows update napořád

[hnizdo]

2eddward&killerek: trochu upresnim - vedou se spory o uzitecnosti utoku v porovnani s jinymi metodami. tedy o to, co delat kdyz uz jsem uvnitr. o tom ze m&s funguje, samozrejme neni sporu.

[killerek]

Muze ti to teoreticky získat prave pristup dovnitř, když třeba pomoci prohlizece vyčmucháš hesla a pak uz se do systemu dostanes snaze.

[hnizdo]

Ten kod musi byt napred uvnitr a mit ty hesla v ram jadra, tedy po prihlaseni (pokud se bavime o systemu). Nemyslim ze tenhle utok muze jakkoliv pomoct dostat se do systemu. U virtualizovaneho prostredi je to o dost komplikovanejsi, teoreticky muzes z jednoho vm odposlechnout druhy, ale nevim jestli tohle nekdo dokazal.

[Bender250]

Ten kod musi byt napred uvnitr a mit ty hesla v ram jadra, tedy po prihlaseni (pokud se bavime o systemu). Nemyslim ze tenhle utok muze jakkoliv pomoct dostat se do systemu. U virtualizovaneho prostredi je to o dost komplikovanejsi, teoreticky muzes z jednoho vm odposlechnout druhy, ale nevim jestli tohle nekdo dokazal.

Ale tvuj pocitac spousti cizi kod naprosto bezne - napriklad skrze ten prohlizec.

Na konci FAQ je odkaz na otestovani si prohlizece. Ale ani patchnuty prohlizec neni 100 % ochrana. JavaScript ci jiny jazyk na strane klienta mas na dalsich mistech (dokumenty).

Offtopic: Cteni teto diskuze je pro mne jako studenta ITSec velmi prinosne. Uz chapu, proc kdyz dostaneme ukol na heartbleed, tak stale i po tolika letech najdeme velky web, ktery stale nema aktualizovane OpenSSL. Nebo ze ma smysl se zajimat i o obor Usable security.

Nez se drbat s vypinanim aktualizaci bych se na to byt vama vykaslal. Casem vyjdou aktualizace, ktere nebudou usite tak horkou jehlou (coz tak bohuzel dopadlo, byt verejne oznameni zranitelnosti prislo dlouho po nalezu) a ty budou snizovat vykon minimalne (kdyz to dokazal na svych datacentrech Google). A na ten mesic do te doby, boli to opravdu tolik?

[rbclass]

ako dlho sa o tomto vie,teda ako dlho o tom vie verejnost ,a ako dlho o tom vedia napr vyrobcovia hw ?
mam najnovsi bios z 2017-12-27
je mozne ze ma zaplatu na spectru i ked je z toho datumu ?

- Improve NVME compatibility.
- Update micro code.
- Improve USB 2.0 device can not work properly after resume from S3 mode.
- Improve memory compatibility.
- Update Intel ME for security vulnerabilities

[Krteq]

Nope

[zsdx]

- Update Intel ME for security vulnerabilities

To ale neni Spectre...

[DOC_ZENITH]

Jo to je upgrade na ten podznimní MEI explot přes kterej se dá nabourávat do systémů, ne na Spectre. Na mei už se ale zas oběvily další exploity, celej tenhle MEI systém je největší HW backdoor všech dob, mnohem horší jak celej spectre/meltdown.

[hnizdo]

Ale tvuj pocitac spousti cizi kod naprosto bezne - napriklad skrze ten prohlizec.

O tom neni sporu. Nicmene je to podmineno uzivatelovou akci na danem systemu nebo pouziti jine metody k pruniku do daneho systemu. M&S je bez pochyby mozne pouzit k tezeni dat, ale neni mozne ho pouzit k pruniku do systemu zvenci (pravdepodobne s vyjimkou virtualnich stroju).
Coz nic nemeni na tom, ze na systemech s kontrolovanym setem aplikaci tahle zranitelnost nemusi mit zadny dopad.

A na ten mesic do te doby, boli to opravdu tolik?

Mne ne, mam nainstalovany win+bios patch a nepozoruji zadny efekt. Jediny meritelny efekt je dopad na SSD vykon v 4kB QD32.

[havli]

Nez se drbat s vypinanim aktualizaci bych se na to byt vama vykaslal. Casem vyjdou aktualizace, ktere nebudou usite tak horkou jehlou (coz tak bohuzel dopadlo, byt verejne oznameni zranitelnosti prislo dlouho po nalezu) a ty budou snizovat vykon minimalne (kdyz to dokazal na svych datacentrech Google). A na ten mesic do te doby, boli to opravdu tolik?

Pro zacatek by stacilo, kdyby aktualizace od MS nevyrobily z PC cihlu, ktera ani nedokaze nabootovat OS. Takze vypnuti aktualizaci je v urcitych pripadech nutnost pro zachovani funkcnosti PC.

[racecar]

Mozem potvrdit.

[DOC_ZENITH]

Když jsem dělal v CZC na servise tak jsme mněli X krát více PC na reinastall co dokurvila aktualizace win než těch co byly zavirovaný + těch kde naopak její absence něco způsobila. Do té doby než jsem tam dělal jsem se jim vyhejbal protože... Warez že.... ale od té doby k nim mam naprostej odpor. Když už ňákou musim nainstalovat (třeba tu pro podporu SDXC ve win7) tak předtim jak vůl zálohuju celej disk Acronisem co kdyby náhodou. Praxe mně naučila panikařit z aktulizací, ne z virů či děr.

Biosy to samé, ne naradno se u nich všude píše "if your system is running and performing fine, do not upgrade".