KAISER - błąd w układach Intela, ARM i AMD podatny na ataki Meltdown i Spectre

[Lex]

@bluszcz: Nie, że "podobno ma problemy", ale "są problemy" - przykład:

[Aby zobaczyć linki, zarejestruj się tutaj]

Ja się też dodatkowo zastanawiam jak w tym całym galimatiasie informacyjnym odnośnie wydajności "po patchu" wychodzą procesory z rodziny Broadwell-E (platforma X99). Z jednej strony to taki niby Haswell+, ale z drugiej wyprodukowane zostały już po Skylake. Jakby ktoś znalazł jakiś test X99 w środowisku Windows 7 to bardzo proszę o linka.

[A11-11Q]

Ja tego tak nie śledzę, tych wszystkich szczegółów... ale mam pytanie. Jak kupować komputer to jaki? Z procesorem AMD?? Jakie jest najlepsze, optymalne wyjście?

[zord]

Optymalne wyjście to poczekać na pozbawione błędów nowe serie procesorów.

[A11-11Q]

Optymalne wyjście to poczekać na pozbawione błędów nowe serie procesorów.

To logiczne, ale jak muszę teraz, do miesiąca kupić, to co? :/

[Lex]

@A11-11Q: Chyba bym wybrał platformę AMD, tym bardziej, że będziesz miał prawdopodobnie mozliwość zmiany na nowszy procesor bez wymiany reszty komponentów. Obecne platformy Intela są już raczej "zakończone" i nowszych procków na nie chyba nie należy się raczej spodziewać.

[bluszcz]

Jeśli stacjonarny to nie widzę powodu, by nie kupić z procesorem AMD. Niezła wydajność, niska cena, najmniej podatny na rynku.
Przy laptopach najlepiej byłoby poczekać na procesory Ryzen Mobile. Jeśli musisz teraz to nie wiem.
Dla miłośników multimediów: Przy laptopach warto sprawdzić czy mają sprzętowe dekodowanie H.265 (inaczej zwany HEVC), jeśli się ogląda dużo filmów i zamierza używać przez co najmniej kilka najbliższych lat. Zwykle są wbudowane w CPU obok zintegrowanego GPU.

[Lex]

Co do Ryzen Mobile: pod koniec zeszłego roku już widziałem jakieś wstępne testy takich lapków, co w sumie oznacza, że można się ich niedługo spodziewać.

[dolar444]

Ja tego tak nie śledzę, tych wszystkich szczegółów... ale mam pytanie. Jak kupować komputer to jaki? Z procesorem AMD?? Jakie jest najlepsze, optymalne wyjście?

Wszystko zależy do czego ten sprzęt ma być ?

[A11-11Q]

Wszystko zależy do czego ten sprzęt ma być ?

Laptop ogólnego stosowania... bez grania.

[TheShadow]

Witam
Przeczytałem artykuł na

[Aby zobaczyć linki, zarejestruj się tutaj]

 i pobrałem aplikacje,

[jacabad]

Czytaliście to ?

[Aby zobaczyć linki, zarejestruj się tutaj]

jesli to prawda nikt nie jest bezpieczny.

[bluszcz]

Witam
Przeczytałem artykuł na

[Aby zobaczyć linki, zarejestruj się tutaj]

 i pobrałem aplikacje,

Jak już pisałem

[Aby zobaczyć linki, zarejestruj się tutaj]

wątku przy okazji program robi małą dziurkę w zabezpieczeniach Windowsa i tak to już potem zostawia., no chyba że poprawili w końcu.

[Aby zobaczyć linki, zarejestruj się tutaj]

tego nie robił nigdy.

[M'cin]

. Niezła wydajność, niska cena, najmniej podatny na rynku.

Program testing can be used to show the presence of bugs, but never to show their absence! - Edsger Wybe Dijkstra

Do czego zmierzam - to, że w intelach teraz znaleziono sporo błędów (Management Engine i Meltdown/Spectre) nie znaczy, ze zaraz ktoś nie dokopie się do gorszych rzeczy w AMD.
Przypominam, ze mówimy o błędzie, który występował od przynajmniej 6 lat i nie ma znanego exploita czy malware, ani walącego w zwykłych użytkowników, ani w wielkie korporacje czy agencje rządowe. Ergo - widzę zagrożenie, ale nie podzielam paniki.
Co do szczegółowego doboru lapka, polecam założyć nowy wątek. tutaj to spory offtop.

[dolar444]

Laptop ogólnego stosowania... bez grania.

To jeszcze jaki budżet, albo napisz na PW

[Lex]

Przypominam, ze mówimy o błędzie, który występował od przynajmniej 6 lat i nie ma znanego exploita czy malware, ani walącego w zwykłych użytkowników, ani w wielkie korporacje czy agencje rządowe. Ergo - widzę zagrożenie, ale nie podzielam paniki.

No i niestety takie myślenie jest bardzo błędne. Nie ma znaczenia ile dany błąd istniał, skoro wiekszość nie była świadoma jego istnienia. Po publikacji "dokumentacji" znacznie więcej osób bedzie go chciało "sprawdzić" niż przed tym faktem.

Do stanu paniki faktycznie może być daleko, bo błąd nie jest łatwy do wykorzystania, ale w żadnym wypadku nie odkładałbym tego do archiwum, jako czegoś co istniało "od wieków" to można sobie teraz odpuścić.

[M'cin]

Nie tyle 'odpuścić', co nie traktować go jako uniwersalnego wyznacznika bezpieczeństwa czy opłacalności zakupu. Przeglądarki już się zabezpieczyły przy ostatnim łataniu, a jeśli się pojawią desktopowe malware wykorzystujące tę podatność, to po dniu czy dwóch będą widoczne w bazach sygnatur AV. Dostęp do pamięci? Wykradanie haseł? Jak nie jesteś managerem banku, bardziej prawdopodobne, że zostaniesz dziabnięty przy okazji masowego wycieku (pozdrawiamy Yahoo). Ludzie tak często nabierają się na podrobione stronki Facebooka czy banku, że bałbym się prostszych do zastosowania ataków. I nie wpadajmy w panikę 'wszystko byle nie Intel', bo to, że ta firma zaliczyła największą wtopę, nie znaczy, że inne produkty są bezpieczne i nie mają błędów. Chwila moment i pojawią się kolejne błędy w innych produktach i będziemy mieli nowy czarny charakter. Tym bardziej, że polecane parę postów wyżej Ryzeny to wciąż świeża technologi i ciekawe, co w nich się znajdzie

No ale rozumiem, te 50% spadku wydajności, zapowiadane w niektórych newsach, podziałało na wyobraźnię.

A tu głos rozsądku z firmy zajmującej się bezpieczeństwem:

[Aby zobaczyć linki, zarejestruj się tutaj]

Vulnerabilities in processors and related functionality happen more than you think. There were 33 vulnerabilities in Intel processors/software in 2017 alone. In fact, it could be easily argued that at least one of them was far more significant than Meltdown or Spectre, especially given all of the vendors impacted. In the middle of Meltdown and Spectre making the news, two days before technical details were published, Cfir Cohen of the Google Cloud Security Team disclosed a vulnerability in AMD’s PSP. AMD describes it as “a dedicated processor that features ARM TrustZone® technology, along with a software-based Trusted Execution Environment (TEE) designed to enable third-party trusted applications.” Cohen’s vulnerability allows for unauthenticated remote code execution due to a buffer overflow. Yet somehow, this was missed by most and didn’t enjoy the same mainstream press while likely being a bigger risk to AMD users.

Vulnerabilities are disclosed every day, to the tune of over 20,000 new disclosures in 2017 alone. Just because a vulnerability receives a name, a website, and/or a marketing campaign does not necessarily mean it is high risk or that it will impact your organization. As always, we strongly encourage organizations to cut through the noise and focus on the details relevant to them, and make a decision based on that alone.

[bluszcz]

Zgadzam się z Lex w tym, że po publicznym ujawnieniu błędów na pewno dużo więcej osób się zainteresuje wykorzystywaniem go.
Warto pamiętać, że researcherzy którzy znaleźli błędy Meltdown i Spectre grzebali też w AMD, więc to nie jest tak, że grzebali tylko w Intelu. Nie wiem czy tyle samo czasu spędzili, ale grzebać na pewno grzebali.
Poza tym AMD nie stosuje pewnych metod optymalizacji stosowanych przez Intela, więc potencjał błędów mniejszy.

Co do zabezpieczenia przeglądarek - to śmiech na sali, a nie zabezpieczenia przed Spectre. Wyłączyli tylko dwie funkcje, a jest cała masa innych funkcji by skonstruować precyzyjne timery. I tych innych nie mogą wyłączyć, bo to w zasadzie podstawowe rzeczy, których używają frontendowcy do pisania interaktywnych stron.

[Lex]

Tak sobie myślę, że zważywszy na róznice wydajnościowe "przed" i "po" to najlepszym wyjściem byłoby przy patchowanych BIOSach dodanie w nich opcji on/off. Jeśli użytkownik uzna że na daną chwilę nie potrzebuje owej łatki (bo np. pracuje offline) a potrzebuje "większej wydajności" to by mógł sobie ów patch wyłączyć i w ten sposób w pewnym sensie wilk byłby syty i owca cała.

Nie wiem tylko na ile wprowadzenie tej opcji do menu jest możliwe i jak wiele pracy by to wymagało.

[Lex]

Problemy z resetowaniem komputerów po wgraniu nowego mikrokodu, które pierwotnie miały dotyczyć jedynie Haswell / Broadwell CPU teraz "się rozrosły" i już dotyczą też nowszych (Skylake / Kably Lake), a gdzieniegdzie czytam że i też starszych od nich.

Brawo.

[ichito]

Coś dla użytkowników Linuxa do sprawdzenia podatności

[Aby zobaczyć linki, zarejestruj się tutaj]

[Aby zobaczyć linki, zarejestruj się tutaj]