[uanog] Project Zero: В Новый Год - с новым багом!

[Mykola Ulianytskyi]

Subj: Официальное заявление Intel по поводу обнаруженной критической уязвимости

Вчерашняя новость о том, что в процессорах Intel была обнаружена
критическая уязвимость, исправления которой может значительно повлиять
на производительность этих самых процессоров, взбудоражила
общественность. Компания Intel просто не могла не отреагировать на
это, и поэтому опубликовала соответствующий пресс-релиз, полный текст
которого мы постарались максимально точно перевести на русский:

"Intel и другие технологические компании были ознакомлены с новыми
исследованиями в области безопасности, описывающими программные методы
анализа, которые при использовании в злонамеренных целях могут
собирать конфиденциальные данные с вычислительных устройств. Intel
полагает, что эксплойты [построенные на использовании этой уязвимости]
не могут повредить, изменить или удалить данные.

Недавние сообщения о том, что эксплойты, вызванные этой "ошибкой" или
"недостатком", уникальны для продуктов Intel, неверны. Основываясь на
проведённом, на сегодняшний день анализе, многие типы вычислительных
устройств – с множеством процессоров и операционных систем от разных
производителей – восприимчивы к данной уязвимости.

Intel стремится к безопасности своих продуктов и клиентов, и тесно
сотрудничает со многими другими технологическими компаниями, включая
AMD, ARM Holdings и несколькими поставщиками операционной системы, для
разработки комплексного подхода к решению этой проблемы быстро и
конструктивно. Корпорация Intel начала предоставлять обновления
программного обеспечения и прошивки для минимизации этой уязвимости.
Вопреки некоторым отчётам, любое влияние на производительность зависит
от конкретной рабочей нагрузки и для среднего пользователя влияние не
должно быть значительным и со временем будет минимизировано.

Intel придерживается лучшей в индустрии практики ответственного
раскрытия потенциальных проблем безопасности, поэтому Intel и другие
поставщики планировали раскрыть [информацию] о данной проблеме на
следующей неделе, когда будет доступно больше обновлений программного
обеспечения и прошивок. Тем не менее, Intel делает это заявление
сегодня из-за появления неточных сообщений в средствах массовой
информации.

Обратитесь к поставщику или производителю вашей операционной системы и
примените любые доступные обновления, как только они будут доступны.
Следование основным принципам, помогающим защититься от вредоносного
ПО в целом, также позволит остаться защищённым от возможной
эксплуатации [уязвимости] до тех пор, пока не будут применены
обновления.

Intel считает, что её продукты являются самыми безопасными в мире, и
при поддержке партнёров, текущие решения этой проблемы обеспечат
максимальную безопасность для клиентов."

Собственно, Intel пытается нас убедить, что на самом деле серьёзность
проблемы преувеличена, а также что не только её процессоры обладают
данной уязвимостью. Кроме того, компания считает, что "заплатка",
которая исправит данный "недостаток" не должна повлиять на
производительность систем.

https://www.overclockers.ru/hardnews/88813/oficialnoe-zayavlenie-intel-po-povodu-obnaruzhennoj-kriticheskoj-uyazvimosti.html


---
> компания считает, что "заплатка", которая исправит данный "недостаток" не должна повлиять на производительность систем.

Выключен PTI:
# dd if=/dev/zero of=xxx bs=512 count=5000000
1.1 GB/s

Включен PTI:
# dd if=/dev/zero of=xxx bs=512 count=5000000
520 MB/s

<censored>.

--
Best regards,
Mykola


2018-01-05 13:07 GMT+02:00 Taras Heichenko <tasic at academ.kiev.ua>:
> Интересно, сколько AMD заплатил за обнаружение этих дырок в Intel? ;)
>
> 5 січня 2018 р. 12:28:21 EET, Valentin Nechayev <netch at netch.kiev.ua>
> написав:
>>
>>  Fri, Jan 05, 2018 at 12:02:22, unisol wrote about "Re: [uanog] Project
>> Zero: В Новый Год - с новым багом!":
>>
>>>  Интересно ещё одно - решаемо ли это через "cpu microcode update" ?
>>>  Можно ж просто выключить предсказатель ветвлений...
>>
>>
>> И потерять в скорости раз в пять? Вряд ли на это пойдут...
>>
>>
>> -netch-
>> ________________________________
>>
>> uanog mailing list
>> uanog at uanog.kiev.ua
>> https://mailman.uanog.kiev.ua/mailman/listinfo/uanog
>
>
> --
> Відправлено з мого Android пристрою з K-9 Mail. Вибачте за стислість.
>
> _______________________________________________
> uanog mailing list
> uanog at uanog.kiev.ua
> https://mailman.uanog.kiev.ua/mailman/listinfo/uanog