Разработчики Linux и Windows работают над закрытием огромной уязвимости в процессорах

Фундаментальная ошибка проектирования всех современных процессоров Intel, выпущенных за последние 10 лет, заставила разработчиков Linux и Windows в срочном порядке переписывать значительные куски кода ядер для того, чтобы закрыть недавно открытую в них уязвимость. Архитектура ARM64 также подвержена уязвимости.Детали уязвимости находятся под эмбарго до тех пор, пока не будут выпущены исправления, которое намечается на середину января 2018 года, когда выйдет новое ядро Linux и ежемесячное обновление безопасности для Windows. Проблема возможно уже исправлена в ядре 4.14.11, учитывая огромный размер инкрементного патча (229 KiB).По известным сейчас данным, обход этой аппаратной проблемы может привести к падению производительности приложений на процессорах Intel от 5 до 30% и даже до 63% на некоторых задачах. Более новые чипы от Intel имеют в своём арсенале возможности (PCID / ASID), позволяющие сократить провал в производительности при применении исправления.Суть уязвимости, скорее всего, заключается в том, что процессоры Intel при спекулятивном выполнении кода не выполняют проверки на безопасность инструкций, которые позволяют читать сегменты памяти, что позволяет любому пользовательскому приложению получить доступ к памяти ядра, тем самым позволяя прочитать закрытые данные, такие как ключи шифрования и пароли. Большую опасность проблема также представляет для систем виртуализации, так как позволяет получить доступ к памяти вне гостевой системы.Для решения проблемы разработчикам ядер пришлось полностью разделить память ядра и память пользовательских приложений, однако такое решение приводит к серьёзному падению производительности из-за постоянной необходимости замены указателей на память. Разработчики ядра Linux в шутку предлагали следующие аббревиатуры для новой модели разделения памяти ядра и пользовательских процессов: User Address Space Separation (*_uass) и Forcefully Unmap Complete Kernel With Interrupt Trampolines (fuckwit_*), однако остановились на Kernel Page Table Isolation (kpti_*).Разработчики из GRSecurity протестировали патчи и увидели огромное падение производительности. Разработчики PostgreSQL отметили падение производительности в тесте pgbench на 23% (при использовании процессоров с PCID — 17%). Из-за сильного влияния на производительность разработчики патча предусмотрели опцию для отключения KPTI, которая активируется через передачу параметра «nopti» при загрузке ядра.Компания AMD утверждает, что её процессоры уязвимости не подвержены. Работа над исправлением уязвимости в других операционных системах также активно ведётся.Дополнение 1: Выполнение программ под DOSEMU и Wine замедлится от исправления ещё больше, ввиду использования эмуляторами LDT.Дополнение 2: Исследователь по безопасности под псевдонимом Brainsmoke написал прототип эксплоита, который читает закрытую память ядра при запуске непривилегированного процесса. Судя по всему, ошибка даже более серьёзная, чем предполагалось ранее.
Stfw.Ru
Читайте также



Примечание: При комментировании материала просим соблюдать законы Российской Федерации. Пожалуйста, воздержитесь от оскорблений и токсичного поведения.

Сводка событий

13:07 Цукерберг заявил, что у компании есть абсолютно ясные свидетельства попыток вмешательства россиян в американские выборы 2016 года


13:07 Палажченко - в 1985-1991 гг. переводчик Горбачева - назвал беспрецедентным призыв демократов вызвать в конгресс переводчика Трампа для дачи показаний о закрытой части встречи в Хельсинки с Путиным


13:07 Компания Vivo готовит еще один смартфон среднего уровня


11:07 Представлен смартфон Xiaomi Mi Max 3: экран 6,9 дюйма, Snapdragon 636, сдвоенная камера и батарея 5500 мА•ч


11:07 WSJ: Сгибаемый смартфон Samsung с 7-дюймовым дисплеем выйдет в начале 2019 года и будет стоить $1500


11:07 В августе Microsoft покажет "новое оборудование и аксессуары" для Xbox


11:07 Уважаемые участники н2!


11:07 Фаблет Xiaomi Mi Max 3 представлен официально


11:07 Corning представила защитное стекло Gorilla Glass 6


10:07 Производительность нового MacBook Pro с CPU Core-i9 8950HK из-за чрезмерного троттлинга даже ниже, чем у прошлогодней модели. Не справляется штатная система охлаждения


10:07 Низкий спрос заставляет Western Digital закрыть в Малайзии завод по производству жестких дисков


10:07 Илон Маск и прочие технологические компании договорились не создавать системы на базе ИИ для автономного летального оружия


10:07 Сенатор Баррассо внес в конгресс США законопроект о санкциях против "Северного потока - 2", "предоставляя странам-членам НАТО взамен стабильные и надежные американские энергоресурсы"


Вне компьютерной темы