Re: [uanog] Project Zero: В Новый Год - с новым багом!

Ключевым в ответе Интела можно считать - "не только мы мудаки" :) остальное - вода. On 1/5/18 3:46 PM, Mykola Ulianytskyi wrote:

Subj: Официальное заявление Intel по поводу обнаруженной критической уязвимости

Вчерашняя новость о том, что в процессорах Intel была обнаружена критическая уязвимость, исправления которой может значительно повлиять на производительность этих самых процессоров, взбудоражила общественность. Компания Intel просто не могла не отреагировать на это, и поэтому опубликовала соответствующий пресс-релиз, полный текст которого мы постарались максимально точно перевести на русский:

"Intel и другие технологические компании были ознакомлены с новыми исследованиями в области безопасности, описывающими программные методы анализа, которые при использовании в злонамеренных целях могут собирать конфиденциальные данные с вычислительных устройств. Intel полагает, что эксплойты [построенные на использовании этой уязвимости] не могут повредить, изменить или удалить данные.

Недавние сообщения о том, что эксплойты, вызванные этой "ошибкой" или "недостатком", уникальны для продуктов Intel, неверны. Основываясь на проведённом, на сегодняшний день анализе, многие типы вычислительных устройств – с множеством процессоров и операционных систем от разных производителей – восприимчивы к данной уязвимости.

Intel стремится к безопасности своих продуктов и клиентов, и тесно сотрудничает со многими другими технологическими компаниями, включая AMD, ARM Holdings и несколькими поставщиками операционной системы, для разработки комплексного подхода к решению этой проблемы быстро и конструктивно. Корпорация Intel начала предоставлять обновления программного обеспечения и прошивки для минимизации этой уязвимости. Вопреки некоторым отчётам, любое влияние на производительность зависит от конкретной рабочей нагрузки и для среднего пользователя влияние не должно быть значительным и со временем будет минимизировано.

Intel придерживается лучшей в индустрии практики ответственного раскрытия потенциальных проблем безопасности, поэтому Intel и другие поставщики планировали раскрыть [информацию] о данной проблеме на следующей неделе, когда будет доступно больше обновлений программного обеспечения и прошивок. Тем не менее, Intel делает это заявление сегодня из-за появления неточных сообщений в средствах массовой информации.

Обратитесь к поставщику или производителю вашей операционной системы и примените любые доступные обновления, как только они будут доступны. Следование основным принципам, помогающим защититься от вредоносного ПО в целом, также позволит остаться защищённым от возможной эксплуатации [уязвимости] до тех пор, пока не будут применены обновления.

Intel считает, что её продукты являются самыми безопасными в мире, и при поддержке партнёров, текущие решения этой проблемы обеспечат максимальную безопасность для клиентов."

Собственно, Intel пытается нас убедить, что на самом деле серьёзность проблемы преувеличена, а также что не только её процессоры обладают данной уязвимостью. Кроме того, компания считает, что "заплатка", которая исправит данный "недостаток" не должна повлиять на производительность систем.

https://www.overclockers.ru/hardnews/88813/oficialnoe-zayavlenie-intel-po-po...

---

...

компания считает, что "заплатка", которая исправит данный "недостаток" не должна повлиять на производительность систем. Выключен PTI: # dd if=/dev/zero of=xxx bs=512 count=5000000 1.1 GB/s

Включен PTI: # dd if=/dev/zero of=xxx bs=512 count=5000000 520 MB/s

<censored>.

-- Best regards, Mykola

2018-01-05 13:07 GMT+02:00 Taras Heichenko :

...

Интересно, сколько AMD заплатил за обнаружение этих дырок в Intel? ;)

5 січня 2018 р. 12:28:21 EET, Valentin Nechayev написав:

...

Fri, Jan 05, 2018 at 12:02:22, unisol wrote about "Re: [uanog] Project Zero: В Новый Год - с новым багом!":

...

Интересно ещё одно - решаемо ли это через "cpu microcode update" ? Можно ж просто выключить предсказатель ветвлений...

И потерять в скорости раз в пять? Вряд ли на это пойдут...

-netch- ________________________________

uanog mailing list uanog@uanog.kiev.ua https://mailman.uanog.kiev.ua/mailman/listinfo/uanog

-- Відправлено з мого Android пристрою з K-9 Mail. Вибачте за стислість.

_______________________________________________ uanog mailing list uanog@uanog.kiev.ua https://mailman.uanog.kiev.ua/mailman/listinfo/uanog

---

uanog mailing list uanog@uanog.kiev.ua https://mailman.uanog.kiev.ua/mailman/listinfo/uanog

-- Volodymyr Litovka "Vision without Execution is Hallucination." -- Thomas Edison