Autore Topic: Bug processori (e... buon '18!)  (Letto 299 volte)

Offline marco

  • Member
  • *****
  • Post: 119
    • Mostra profilo
Bug processori (e... buon '18!)
« il: Gennaio 04, 2018, 11:27:11 pm »
Ciao ragazzi,
è da un po' che non passo.
Spero stiate tutti bene!

Colgo l'occasione del bug processori per chiedervi una spiega chiara su questa storia e augurarvi nel contempo un buon '18!

Insomma, a leggere i giornali non ci si capisce niente. Di voi invece mi fido e so che in poche righe saprete illuminarmi. E magari essere utili anche a qualche viandante della rete che dovesse passare di qua.

In sintesi: l'utente medio (Win7, Linux Mint, processori Intel) come me che misure dovrebbe prendere? Fare gli aggiornamenti sarà sufficiente? Ho letto la storia dei rallentamenti e al momento sono su una posizione attendista. C'è qualcosa che è meglio non fare in questi giorni, chessò, accedere all'home banking?

Un grazie anticipato,
attendo vostre!

Marco

Offline frafra

  • Administrator
  • Member
  • *****
  • Post: 1452
    • Mostra profilo
    • https://frafra.eu
Re:Bug processori (e... buon '18!)
« Risposta #1 il: Gennaio 05, 2018, 01:24:00 pm »
Ciao :) Buon 2018 anche a te!

I problemi sono due: Meltdown e Spectre. Il primo si può mitigare a livello di kernel e pare riguardare esclusivamente i processori Intel prodotti dopo il 1995, mentre il secondo è più difficile da mitigare ed affligge praticamente ogni processore, anche di marche ed architetture diverse (ci sono delle contromisure livello di programmi comunque).

C'è già una patch per Linux che mitiga la vulnerabilità Meltdown e pare non porti riduzioni di prestazioni significative: https://www.phoronix.com/scan.php?page=article&item=linux-kpti-pcid&num=1

Per quanto riguarda Spectre si sta lavorando a livello di compilatori e singoli software; ad esempio, Mozilla ha già rilasciato un aggiornamento per Firefox: https://blog.mozilla.org/security/2018/01/03/mitigations-landing-new-class-timing-attack/

Diciamo che noi utilizzatori di software libero siamo quelli che stanno ricevendo gli aggiornamenti in maniera più tempestiva (come sempre) ;-)

I problemi sono due: da un lato Intel era a conoscenza dei problemi dei suoi processori da più di 10 anni, ma ha sottovalutato sempre il problema (vedasi discussione della mailing list di OpenBSD datata 2007 a riguardo, dove si parla proprio della possibilità di sfruttare questi difetti proprio come ha fatto Meltdown https://marc.info/?l=openbsd-misc&m=118296441702631&w=2 ) così come ha sottovalutato le problematiche di sicurezza legate a Intel ME/AMT/eccetera (avere un sistema Intel moderno vuol dire praticamente avere una backdoor sempre aperta); l'altro problema è che gli attacchi side-channel stanno diventando sempre più popolari e, nel caso di Spectre, obbligano a riflettere su come le CPU sono progettate internamente e ai problemi che l'ottimizzazione nell'esecuzione delle istruzioni possono portare a livello di sicurezza nel caso di analisi delle tempistiche con i quali certi pezzi di codice vengono eseguiti.

Semplificando molto, è come se tu non volessi dirmi che cosa stai facendo sul tuo computer, ma io ti chiedessi di aprire il browser e visitare un sito: se tu mi dici "fatto" immediatamente, vuol dire che avevi già il browser aperto su quel sito, magari perché ti aspettavi già che io ti chiedessi di fare ciò (Spectre è proprio questo, sfrutta i problemi della speculative execution). Come risolvere? Beh, tu potresti non aprire il browser ed il sito in anticipo, ma perderesti del tempo, oppure dovresti in qualche modo rispondermi un po' dopo, così da non farmi capire troppo, ma anche questo comporta ritardi (tipo quando parli con l'assistenza tecnica del tale operatore telefonico e ti dice di seguire la procedura standard ed aprire Internet Explorer, e tu fai finta di aprirlo perché hai Linux, non usi Explorer, e sai benissimo che il problema è della linea e non del PC :D).
Francesco Frassinelli - Fondatore del ViGLug - keybase.io/frafra

Offline marco

  • Member
  • *****
  • Post: 119
    • Mostra profilo
Re:Bug processori (e... buon '18!)
« Risposta #2 il: Gennaio 05, 2018, 03:21:58 pm »
Ciao frafra,
bentrovato e grazie per le delucidazioni!

Alcune cose di cui parli non sono al mio livello e cercherò di approfondire da solo usando l'amico Google.

Ma... venendo al discorso pratico delle contromisure: come consigli di procedere? Cosa fare e cosa non fare in questi giorni?

Offline frafra

  • Administrator
  • Member
  • *****
  • Post: 1452
    • Mostra profilo
    • https://frafra.eu
Re:Bug processori (e... buon '18!)
« Risposta #3 il: Gennaio 05, 2018, 04:00:49 pm »
Figurati. Per maggiori riferimenti: http://meltdownattack.com/

Aggiornare e basta; con Firefox non dovresti avere problemi. In futuro valutare bene che piattaforma/processore comprare (https://hardware.slashdot.org/story/18/01/05/142201/when-f00f-bug-hit-20-years-ago-intel-reacted-the-same-way) :) Per risolvere effettivamente il problema, l'unica è sostituire il processore, ma mentre per Meltdown basta usare un processore AMD (ad esempio), per Spectre la questione è più complicata.

Ora come ora mi fa più paura Intel ME e simili.

...Aiutaci RISC V, sei la nostra ultima speranza https://riscv.org/2018/01/more-secure-world-risc-v-isa/
« Ultima modifica: Gennaio 05, 2018, 04:08:55 pm da frafra »
Francesco Frassinelli - Fondatore del ViGLug - keybase.io/frafra

Offline marco

  • Member
  • *****
  • Post: 119
    • Mostra profilo
Re:Bug processori (e... buon '18!)
« Risposta #4 il: Gennaio 08, 2018, 05:31:51 pm »
Ok, aggiornato W7 col KB4056894.
Sono leggermente inquietato dalla storia delle BSOD ad esso collegate.
Se non altro non monto AMD... speriamo in bene!

PS: grazie frafra per gli ottimi spunti di lettura sparsi qua e là, appena riesco vado a spulciare.  ;)