Jak je to s opravami chyby Spectre. Aktualizace mikrokódu, operačního systému a důsledky

27

Začátkem tohoto měsíce vešla ve známost existence bezpečnostních chyb Spectre a Meltdown, které hodně rozbouřily vody ve světě procesorů a tato kategorie útoků patrně bude dlouhodobějším problémem. Chybu Meltdown řeší aktualizace operačních systémů, které již v případě Windows jsou dávno v distribuci. S chybou Spectre je to ale složitější, pojďme se tedy podívat na to, jak je to se zabezpečením této díry.

Pro připomenutí, Spectre jsou ve skutečnosti dvě zranitelnosti s trošku odlišným mechanismem a účinky, a také odlišnými cestami k opravě. Jednak tzv. „varianta 1“, jinak CVE-2017-5753 (Bounds Check Bypass); a vedle ní „varianta 2“, CVE-2017-5715 (Branch target injection). Obě tyto chyby potřebují opravu jak na procesorech Intel, tak na procesorech AMD. AMD sice uvádí, že v případě druhé varianty je zranitelnější méně a šance na zneužití není velká, opravy ale budou aplikovány také.

spectre-textSpectre Varianta 1

Situace s opravami je výrazně jednodušší v prvním případě. Varianta 1 je řešena čistě pomocí úprav v softwaru. A to jednak v operačním systému, ale současně i v aplikacích jakou jsou třeba webové prohlížeče a podobné aplikace, v nichž může běžet cizí kód (javascript). Patche pro Linux ještě nejsou hotové, ale uživatelé Windows mají zřejmě štěstí: touto první variantou Spectre jádro Windows údajně vůbec netrpí. Platforma Microsoftu nicméně může být napadena, pokud zranitelnost zanesou do systému nějaké ovladače třetích stran (například Nvidia vydávala opravené ovladače).

Co vám hrozí, pokud budete mít díru Spectre 1 nezalátanou? Škodlivý kód se může dostat k celé paměti běžícího procesu, tedy například aktivního procesu prohlížeče v případě browseru. Hrozí tedy ukradení/vyzrazení potenciálně citlivých dat.

Spectre Varianta 2

U druhé varianty Spectre je situace o dost komplikovanější. V pravé řadě, tato zranitelnost nebo útok ohrožuje jednak aplikace (škodlivý kód může šmírovat v paměti dalších aplikací/procesů – například tedy přečíst nějaké citlivé údaje), ale také operační systém, protože může dojít i k přečtení jeho citlivé paměti.

intel-kaby-lake-lga-1151Ochrany okolo nepřímého větvení

Obrana proti Spectre 2 obnáší také opravy aplikací a operačního systému, ale vedle toho i aktualizaci mikrokódu („firmware“) samotného procesoru, na jejíž dostupnosti záleží, jak dobře budete chráněni. Tyto aktualizace umožňují na procesoru použít dříve nedostupné funkce IBRS (indirect branch restricted speculation), IBPB (indirect branch restrictiom barrier) a STIBP (single-thread indirect branch predictors), a to nastavením příslušného MSR bitu. Zjednodušeně řečeno IBRS a IBPB slouží k tomu, že na požádání mohou „sanitizovat“ stav predikce větvení.

Útok Spectre 2 zneužívá prediktor větvení k tomu, že si ho ve svém procesu „předtrénuje“, aby poté skočil na zamýšlenou adresu v jaderném prostoru nebo v prostoru jiného procesu, což by škodlivý kód měl normálně zakázáno. Pokud se mu ale podaří vhodně „zmasírovat“ prediktor větvení, může se k nim dostat. Ony nové funkce mají takovou manipulaci překazit. IBPB resetuje stav prediktoru větvení (takže zahodí škodlivý „tréning“ útočníka). STIBP by mělo zamezit tomu, aby jedno vlákno procesoru s SMT nebo HT ovlivnilo predikci větvení pro druhé vlákno – což by otevíralo útočníkovi možnost natrénovat prediktor na jednom vlákně a zaútočit tím na kód běžící na druhém. IBRS má bránit tomu, aby se při systémovém volání a přesunu z programu do jaderného prostoru zmanipulovaný prediktor větvení choval podle škodlivého tréninku. Tyto funkce ale nefungují automaticky, operační systém je musí v potřebném momentu aktivovat, tedy například při systémovém volání.

Přehled variant Spectre a Meltdownu od Microsoftu
Přehled variant Spectre a Meltdownu od Microsoftu

Opravy ve Windows

Jak je tedy implementována ochrana? Ve Windows funguje na dvou úrovních. Pokud máte to štěstí, že se k vám dostala aktualizace mikrokódu vašeho CPU, která exponuje bity uvedených nových funkcích, pak je Windows může využít pro ochranu před Spectre 2. Pokud je toto váš případ, máte před chybou Spectre 2 (respektive jejím exploitem) chráněné jednotlivé aplikace i jádro operačního systému. Škodlivý kód se tedy nemůže podívat do jádra systému, ani do dalších programů, aby například ukradl hesla či bankovní údaje.

Bez aktualizace mikrokódu procesoru je ochrana proti Spectre jen částečná
Bez aktualizace mikrokódu procesoru je ochrana proti Spectre jen částečná

Tyto aktualizace mikrokódu Intel vydal nebo vydá minimálně pro procesory Coffee Lake, Kaby Lake, Skylake, Broadwell, Haswell a zdá se, že by mohlo dojít i na Ivy Bridge a Sandy Bridge (aktualizace: pro tyto dvě rodiny Intel aktualizovaný mikrokód nevydává, alespoň zatím). Pokryty by snad měly být také out-of-order Atomy. U AMD to vypadá, že budou vydány aktualizace pro procesory s jádry Zen (s funkcemi IBPB a STIBP, zatímco IBRS není třeba kvůli odlišné architektuře) a minimálně pro nějaká jádra odvozená od rodiny Bulldozer (tam to bude IBPB a IBRS). Problém bude ale s tím, že většina uživatelů mikrokód dostává od výrobce základní desky či PC/notebooku. Ti zřejmě nebudou moc ochotní aktualizovat BIOSy desek starších než dva-tři roky, takže přes ně asi často potřebnou aktualizaci nedostanete.

Oracle Sparc M8
Spectre není jen problém Intelu a AMD. V nějaké formě může postihnout všechny out-of-order procesory. Potvrzena je zranitelnost ARMu, Power a nyní již i Sparců

Obrana bez nového mikrokódu

Pokud aktualizaci mikrokódu nemáte, nebudete ještě úplně v příslovečném loji. Windows má implementovanou ještě sekundární ochranu. Ta spočívá ve vkládání serializačních instrukcí LFENCE. Tato metoda ale chrání jen operační systém před škodlivými uživatelskými programy. Neumí už před nimi ochránit další běžící aplikace. Individuální programy jako webové prohlížeče je možné „utěsnit“ čistě softwarovými úpravami, to ale vyžaduje minimálně jejich překompilování. Uživatelé bez nového mikrokódu nebo se starším CPU (zdá se, že u Intelu to budou třeba Core 2, možná i Nehalem/Westmere) tedy nebudou úplně nahraní, ale budou odkázáni na opravy a aktualizace programů.

AMD uvádí, že u jeho procesorů je obtížné Spectre 2 zneužít, takže v situaci bez aktualizace mikrokódu by na tom jejich uživatelé teoreticky mohli být lépe (firma dokonce aktualizace mikrokódu označuje jako volitelné, což ale pravda může být tak trošku marketingově podbarveno). Otázka však je, zda toto neplatí jen pro Ryzeny, pro které zrovna asi všechny desky nový BIOS dostanou. Ona nižší zranitelnost by totiž snad mohla spočívat v odlišné implementaci prediktoru větvení. Ryzeny údajně pracují s konkrétními adresami v paměti, nikoliv jen s relativními offsety, což je jinak normou (tak to alespoň vysvětluje web Ars Technica). Prediktor s touto vlastnosti je zřejmě podstatně těžší oblbnout, nicméně AMD ho nejspíš zavedlo až v Zenu.

Poznámka na okraj: Microsoft tyto bezpečnostní aktualizace vydává pro Windows 7, Windows 8.1 a Windows 10. Windows XP, Vista a 8.0 jsou už mimo podporu a patche proti Meltdownu ani Spectre neobdrží. Možná je také dobré připomenout, že Meltdown není opraven na 32bitových Windows a zatím se nezdá, že bude. Tato zranitelnost CPU Intel bohužel mimo 64bitové systémy přetrvává.

Linux a retpoline

Situace je mírně odlišná v Linuxu, pro který víme některé další podrobnosti. Také zde budou použity funkce IBPB/IBRS/STIBP poskytnuté aktualizovanými mikrokódy a operační systém je bude využije na ochranu jak paměti jádra, tak i aplikací. Podobně jako Windows je implementována drhá záložní ochrana pro případy, kdy mikrokód (nové funkce) přítomné nejsou. Na procesorech Intel bude Linux používat kód pojmenovaný retpoline („return trampoline“). Na procesorech AMD není retpoline potřeba a místo toho jsou používány instrukce LFENCE. Údajně by v tom měl být ten rozdíl, že LFENCE snad obnáší nižší výkonnostní postih (ztrátu) než retpoline.

Jak technika retpoline, tak použití LFENCE chrání jen jádro operačního systému, přičemž retpoline zřejmě také vyžaduje, aby byly aplikace rekompilovány. Kromě toho zřejmě retpoline není stoprocentně účinná na procesorech Skylake (podle některých zdrojů už Broadwell) a novějších, kde je prý možné ji obejít. U těchto čipů patrně bude zvlášť záhodno mít aktualizovaný mikrokód, a to dost možná i na Windows, které bez něj používají jen ochranu LFENCE (u níž by z politiky Linuxu vyplývalo, že pro Intely je slabší).

amd-ryzen-apu-mobilni-bga-fp5
Pro procesory AMD je na Linuxu údajně potřeba o něco méně náročná obrana, retpoline u nich nemá být použita

Dopady na výkon

Špatná zpráva je, že tato opatření přinášejí další zhoršení výkonu nad rámec toho, co zapříčinily opravy chyby Meltdown. Zatímco Meltdown postihuje jen Intel a tudíž by opravy neměly zpomalovat AMD, zde to kvůli univerzální aplikaci obrany před Spectre neplatí. Následky utěsňování díry Spectre 1 by prý mohly být víceméně zanedbatelné, ovšem Spectre 2 bude asi bolestivější. U retpoline například bývá uváděno 5–10% zpomalení serverových zátěží. To by ale asi mělo být naštěstí na běžných „klientských“ úlohách na osobních počítačích pociťováno spíše jen omezeně. Opět asi bude dopad hlavně u I/O (zpomalení výkonu rychlých NVMe disků). Každopádně bych spíše nedoporučoval se opravám kvůli hrozící ztrátě výkonu vyhýbat, jelikož jakmile jsou tyto chyby jednou odhaleny a popsány, bývají hackeři dosti zdatní v tvorbě exploitů na ně.

Propad výkonu by asi mohl být také u oné techniky využívající nové funkce procesorů pro omezení predikce větvení. Zdali bude více bit Intel, nebo AMD, případně zda to bude tak nějak nastejno, to těžko říci, bude asi třeba hodně benchmarků a postih se asi bude lišit architekturu od architektury.

Starší CPU a starší Windows utrpí víc

Poměrně zajímavé je to, co k výkonu po opravách říká Microsoft na základě vlastních měření. Podle této firmy nemá Meltdown a Spectre 1 až zas takový výkonnostní propad a považuje v tomto ohledu Spectre 2 za horší. Podle Microsoftu jsou ztráty nižší na procesorech Skylake, Kaby Lake a novějších (mluví se o jednociferných procentech). Na starších procesorech jako je Haswell nebo předchozí jsou projevy údajně horší (AMD v těchto výčtech není nikde zmíněno, takže těžko říct, jak do tohoto jeho CPU zapadají). Řeč je mimochodem jen o PC. Na margo serverů Microsoft píše, že serverové zátěže pocítí podstatně výraznější problémy na starších CPU i Skylaku a novějších, zejména při velké zátěži I/O.

Kromě toho Microsoft uvádí, že dopad je nižší na Windows 10 díky optimalizacím a různým změnám v tomto systému. Starší systémy Windows 7 a Windows 8 by opět měly mít propady výkonu výraznější. Důvodem je, že v nich dochází k většímu počtu přechodů mezi jaderným a uživatelským režimem, což je situace, do které výkonnostní dopady Spectre a Meltdownu promlouvají. Starší Windows například vykreslovaly písma v rámci jádra operačního systému, což už Windows 10 nečiní (zejména asi z bezpečnostních důvodů, nyní se to ale hodí i kvůli výkonu).

Jak ozkoušet stav vaší ochrany?

Zjistit, zda máte starý mikrokód a Windows vás kvůli tomu chrání méně efektivně, lze zjistit oficiálním nástrojem Microsoftu, který má formu skriptu pro PowerShell. Pohodlnější k použití je ovšem program SpecuCheck (spusťte z příkazového řádku) od Alexe Ionescua z Windows Internals. Pokud vám tyto utility řeknou, že „Branch Prediction Mitigations“ jsou „disabled“ „due to the lack of microcode update“, pak vám schází ona aktualizace mikrokódu. Windows by měly používat záložní částečnou obranu s LFENCE.

BTIDisabledByNoHardwareSupport znamená, že procesor nemá potřebnou aktualizaci mikrokódu (výstup z <a href="https://support.microsoft.com/en-hk/help/4073119/protect-against-speculative-execution-side-channel-vulnerabilities-in">diagnostického nástroje SpeculationControl od Microsoftu</a>). Na tomto počítači není opraven ani Meltdown (KVAShadowWindowsSupportEnabled=false), jelikož jde o 32bitové Windows, pro které oprava Meltdownu není
Výstup z diagnostického nástroje SpeculationControl od Microsoftu. BTIDisabledByNoHardwareSupport=True znamená, že procesor nemá potřebnou aktualizaci mikrokódu. Na tomto počítači není opraven ani Meltdown (KVAShadowWindowsSupportEnabled=False), jelikož jde o 32bitové Windows

windows-spectre-specucheck
Výstup programu SpecuCheck. Vizte řádek „Disabled due to Lack of Microcode Update: Yes“. Tento program ukazuje i zda Windows používá jednotlivé funkce nových mikrokódů (IBRS, STIPB, IBPB)

Dodatek: jak se dostat k aktualizaci mikrokódu, když na vás kašlou a nový BIOS nedostanete

Jak už bylo nadhozeno, výrobci desek, případně počítačů a notebooků, nemají obvykle mnoho ochoty aktualizovat starší počítače. Pravděpodobně nastane mnoho případů, kdy sice Intel nebo AMD vydají aktualizaci mikrokódu pro váš procesor, ale aktualizace BIOSu už s ní nevyjde. Tato situace má naštěstí řešení.

AMD a Intel naštěstí vydávají také samostatný mikrokód, který lze nahrát do procesoru při nabíhání operačního systému. Nejsnazší to mají uživatelé Linuxu, jelikož tyto aktualizace mívají obvykle distribuované jako balíček a mohou je dostat přímo od dodavatele OS. Stačí jim jen zkontrolovat, zda mají tyto aktualizace nainstalované a zde mají zapnuto, aby je systém také při náběhu nahrával do CPU (to je třeba dělat pokaždé, jelikož aktualizace je volatilní a při restartu nebo vypnutí se z CPU ztratí).

Záchrana Windowsáků od VMware

Na Windows to tak lehké není, Microsoft ve Windows Update málokdy mikrokódy distribuuje. Naštěstí existuje jedna málo známá alternativa. Jeden ze zaměstnanců VMware vyvinul jednoduchý ovladač, který umí mikrokód nahrát, a to i na nevirtualizovaném železe. Tento software naleznete zde. Samotné binárky mikrokódů neobsahuje, ty je třeba získat například z archivu Linuxu a nahrát je do jeho složky. Pro AMD je naleznete zde (ovšem zdá se, že tento zdroj ještě nemá nové aktualizované verze, ty zatím distribuují jen některé enterprise distribuce). Pro Intel lze stahovat přímo od zdroje.

Výstup ovladače pro aktualizaci mikrokódu ve Windows. Zde se aktuaalizace nezdařila, protože ve stažených binárkách není verze novější než to, co je již v CPU (AMD A10-6800K)
Výstup ovladače pro aktualizaci mikrokódu ve Windows. Zde se aktualizace nezdařila, protože ve stažených binárkách není verze novější než to, co je již v CPU (AMD A10-6800K)

Poté následujte instrukce v návodu pro ovladač (malá poznámka: Ryzen a Epyc potřebují soubor „microcode_amd_fam17h.bin“, který návod nezmiňuje). Zda se podařilo firmware nahrát, zjistíte z Prohlížeče událostí Windows, ovladač výsledek operace loguje do logu „Systém“ (hledejte jméno „cpumcupdate“). V logu se hláška objevuje jen při restartu nebo regulérním zapnutí PC (alespoň tedy u mě), ale podle autora by ovladač měl update nahrávat i při probouzení z hibernace či spánku.

Ohodnoťte tento článek!

27 KOMENTÁŘE

      • uživatelé Windows mají zřejmě štěstí
        Hrozí tedy ukradení/vyzrazení potenciálně citlivých dat.
        Pokud máte to štěstí
        aby například ukradl hesla či bankovní údaje
        nebudete ještě úplně v příslovečném loji
        bývají hackeři dosti zdatní v tvorbě exploitů na ně
        AMD a Intel naštěstí vydávají také samostatný mikrokód

        Myslim, ze jsem dal dostatek prikladu, kdy autor clanku zamerne plasi. Aby bylo jasno, nikde netvrdim, ze autor lze, vse co pise je pravda. Ovsem pravda je v clanku podavana zamerne stracicim plasanskym zpusobem tak, aby neznaly uzivatel byl vystrasen, jak mu zly hacker vybere ucet pres internet a co nejdrive aktualizoval.
        Opak je pravdou, chyby Melta a Spektra jsou tezko zneuzitelne a pri serfovani na internetu vas domaci uzivatele proti nim ochrani uz aktualizovany prohlizec. Nic vic pro domaciho uzivatele netreba. Pokud se budeme bavit o moznosti nejakeho zneuziti, tak minimalne musi domaci uzivatel chytit do pocitace nejakeho trojana jinou cestou. Z toho plyne, ze dobre zabezpecenemu domacimu pocitaci nic nehrozi.

        Ja nikde netvrdim, ze by se situace nemela do budoucna resit, ale je pro domaci uzivatele hloupe nechat si kvuli takove banalite snizovat vykon pocitace a predevsim instalovat vydanou opravu predcasne v dobe, kdy neni radne otestovana a muze zpusobit pad pocitace, bud po oprave nenabootujete vubec nebo „jen“ dochazi k samovolnym restartum.

        Autor popisuje chyby, ale nikde jiz prakticky nevysvetluje, jak by to mohlo byt zneuzito. To je logicke, protoze na domacim pocitaci samo o sobe nemohlo.

        Uvedomte si uz konecne, ze tyhle chyby se tykaji predevsim datacenter a virtualnich pocitacu, kdy mate napriklad na jednom serveru virtualizovano 1000 pocitacu a jedinny nakazeny virtualni pocitac muze ohrozit vsechny. Nevim, ale je mozne, ze se problem bude tykat i bezneho firemniho prostredi, protoze dnes se ve firmach minimalne na urovni sluzeb (aplikaci) hodne virtualizuje a jakmile se neco sdili, tak jeden asi muze ohrozit vsechny. Timto si nejsem uplne jist, mozna ted plasim taky, ale prave ze vysvetleni situace chybi.

        Nepopiram tedy, ze se jedna o problem masivniho charakteru, ale zcela odmitam podsouvane teorie o moznosti zneuziti pro domaci pocitace. Vysvetlim na zminovanem internet bankingu. Pokud si servery nezabezpeci banka, jste v prdeli a mohou vam vybilit ucty, at uz mate na domacim PC ochranu nebo ne. Pokud si domaci pocitac nezabezpecite proti Melte a Spektre vy, tak to domaciho uzivatele touto cestou neohrozi. Ohrozeni musi vzniknout jinak.

        • Aniz bych se chtel pridavat na stranu zbytecne plasicich, uplne zapominas na jeden klicovy faktor.
          A to ze uvedene zranitelnosti jsou plosne. Budou se tykat vsech nezaplatovanych PC a mobilnich zarizeni. To je nesmirne velke cislo. Pro hackery je neco podobneho svaty gral. I kdyz je efekt utoku na tyto zranitelnosti pouhy sber dat, globalni uspesnost i pres omezeny efekt bude mit velky potencial. Z toho plyne, ze do toho vsichni kyberneticti zlodeji naprou veskerou svoji silu. Takze hysterie neni namiste, ale v zadnem pripade neni namiste ani ignorace, coz je presne to co ty tlacis do lidi na vsech portalech, a s cim nelze souhlasit.

          • Naopak zcela opomijis, ze dopad oprav je neznatelny, a neni tak duvod se zaplatam branit. Jo, uz vsichni na ceskem internetu vime, ze tvymu kamosovi update sestrelil masinu. Ale majorita lidi problemy nema a pokud je treba na neco upozornit, tak specefikovat co nejlepe tu skupinu, kterym problemy hrozi, tedy zejmena nejake prehistoricke athlony, zeano.

          • No ale sam spravne zminujes, ze se to tyka vsech, ale vetsina lidi bude na svych smartphonech a tabletech zit s tema chybama nezaplatovanyma a smartphonu a tabletu je dneska na svete vic nez pocitacu.
            Google pristupuje k Androidu tak, ze dnes jiz nezaplatovane Androidy 5.1, 5 a 4 jsou na polovine vsech zarizeni a to nemluvim o tom, ze jsou nekteri lide i na starsich verzich. Ani na spoustu zarizeni s Androidem 6 se zaplaty nedostanou a mozna ani na vsechny stroje s Androidem 7. Je tady teda pomerne dobre odhadnutelny predpoklad, ze cca 3/4 vsech Androiodu nebudou zaplatovany. Vubec se nemluvi o tom, jak, zda vubec a na jake zarizeni budou updatovat mikrokod vyrobci procesoru jako je Qualcomm (Snapdragon), Samsung (Exynos), Huawei (Kirin) a Mediatek (Helio).
            Proc je teda neco na PC s Intel+AMD problem a na ostatnich platformach to same problem neni nebo se o tom vubec nepise?

            Neni pravda, ze se problemy tykaji jen Athlonu, problemy se tykaji vsech, ale na novych RyZenech, Kaby Lake a Coffee Lake je jich nejmene. Cim starsi PC, tim mene bych doporucil aktualizaci. Treba otec na notase s Kaby Lake aktualizoval, musel protoze Win10Home a jede mu to OK.

          • Jsem si vedom toho, ze se do intelu/MS kope jak na mistraku, za to ze ZAPLATUJI. Nejak moc se nepise o tom, ze kvuli neuveritelne mizernemu konceptu bezpecnosti androidu se zaplaty nikdy nerozsiri, a mediim to zjevne vubec nevadi. Ale okolo intelu a MS je hysterie.
            To ale nic nemeni na zavaznosti tech zranitelnosti.
            Prave o tech problemech se moc nepise. MS patchnul problem s archivnimi AMD. Intel zaznamenal problemy s firmwarem na starsich platformach, ale nebyly nijak zavazne, dokonce bylo doporuceno intelem pokracovat v zaplatovani.
            Ovsem to uz neni tak medialne treskute a malokdo z medii udrzuje aktualni stav afery, protoze uz je potreba najit nove krvaky.

          • Mě to štve, ale holt to není moje parketa.
            U Androidu jsou ty problémy ještě horší než kdyby to bylo tím operačním systémem (a systémem toho, jak se distribuuje skrz výrobce telefonů). Ten problém je už v celé platformě ARM, kde chybí standardizace. Každej SoC pomalu bootuje nějak jinak, v komponentech je chaos, takže výsledek je, že co zařízení/telefon/deska, to v podstatě fork celého operačního systému a dalších komponent, a co jiného se pak může stát, než že se na každej takovej fork po pár měsících přestanou back-portovat nové změny v upstreamu.

            Kéž by v mobilní oblasti fungovala platforma jako PC: standardizovaný hardware, a operační systémy jsou napsané tak, aby na ní jely. Vezmu OEM PC vyhozené z firmy vyrobené v roce 2008, a jdou na to nainstalovat nejnovější Windows a budou dostávat aktualizace, protože je centrálně posílá výrobce OS a pořád jsou kompatibilní.

            V mobilech je tohle asi bohužel sen a mám pocit, že by se musel stát zázrak, aby to takhle začalo fungovat. Místo toho máme stav, kdy zařízení je celek s planned obsolence tak na 1-2 roky, protože dýl software nikdo neudržuje. Světlá výjimka Apple. Ale není to proto, že by pro něj neplatil ten problém s hardwarovou džunglí v ARMu. Je to čistě proto, protože má těch telefonů dostatečně málo a přitom obrovský prodeje. Ale zase kdyby Apple měl být dominantní platforma, to by byl taky zlej sen.

          • ja ti ale nic nevycitam, tvoje clanky na toto tema patri ke spicce zdaleka nejen v cr. Mne prekvapuje, jak na to kaslou velky zvirata jako Anand, THW, Arst. Thw sice nedela hysterii, ale ani nic jinyho.

  1. Win7,64bit/i 7 2600/gtx 980ti. Po utěsnění „spectr“ paradoxně stoupl výkon ve Valley Benchmark z 3847 na 3928 bodů. Ale chápu že ta odchylka je tak malá že to s tím nemusí souviset. Přes to…

  2. Celé je to jedna hodně veliká kravina. Pokud se mi nějaký záškodník dostane tak hluboko do systému, aby mohl tímto způsobem čerpat údaje z paměti, tak už má dávno přečtený celý obsah mých úložišť a nějaké úseky paměti jej nebudou v žádném případě zajímat. I když mám úložiště šifrovaná, můj systém útočníkovi zpřístupní data mnohem jednodušším způsobem – tedy několika mnohem jednoduššími způsoby.

  3. Este teda kdyz jsme u toho plaseni, tak ja si teda zaplasim taky. 🙂

    Nejznamejsi soucasne strasidlo Spektra je ve skutecnosti pomstou Googlu, ktery se rozhodl vytahnout do boje proti Intelu a AMD a hlavne na techto platformach pouzivanemu konkurentovi Microsoftu. Vsichni tri ovsem navnadu zbastili i s navijakem.

    Pozor, pozor, je treba rychle aktualizovat Windows na pcotacich Intel+AMD, jinak vam zly hackeri vykradou ucet. Bla, bla, bla, bla, bla,bla, bla. Co na tom, ze Spektra je uplne stejne zneuzitelna na ARM, ze? 🙂
    Pritom dohledejte na ceskem internetu jedinej clanek, zda-li uz chybu opravil Qualcomm, Samsung, Huawei, Mediatek? Ti vsichni maji vyrazne procesorove zastoupeni na mobilech pres ktere vam chodi overovaci zpravy k vasemu internetovemu bankovnictvi. Jedinej kdo zpravu o „oprave“ vydal, je Apple a ten navic neupresnil, jak to ma ve zvyku, jestli „opravil“ iOS nebo mikrokod.
    A to nemluvim o tom, ze naprosta vetsina smartphonu s Androidem na svete nedostane zadny update firmwaru a teda zadnou opravu ani na urovni OS ani na urovni mikrokodu. Pokud zrovna nemate customROM typu LineageOS nebo jeden z mala pravidelne updatovanych spis novejsich telefonu, tak mate smolika.

    Vtipem je, ze nikdo tohle nenapise a vsichni jsou v naprostym klidu (opravnene). Ale pritom ti sami lide sedi u svych PC a zurive je aktualizuji. 😀

    • ano, souhlas a přitom si google taky nasral do vlastního, ale co je doma, to se počítá … chci od nějakého skutečného odborníka na tuhle problematiku slyšet, do jaké míry mohou být útoky přes tyto „díry“ cílené, nebo je to všechno jen o náhodě, co kdy právě přečte a co dostane … pak je to ale ohrožení v rovině „nechoď před dům, spadne na tebe meteorit, nebuď v domě, protože tomu meteoritu nějaká střecha nedělá problém“ …

      • Problem je, ze cele je to natolik slozite, ze nikdo nevi. Chyby byly sice obstojne popsany, ale protoze je to tak extremne slozite a nahodne, tak nikdo nepopsal prakticke zneuziti. Respektive bylo prakticke zneuziti dokumentovano na stroji s virtualnima OS, kdy jeden virtual muze cist data jineho virtuala jen proto, ze jsou na stejnem hardwaru. To ale neni pripad bezneho Franty, kteremu Microsoft vnutil (ale stejny problem byl i na Ubuntu) posranou aktualizaci. Neni tu popsan zadny priklad, kdy by mohlo nejake realne ohrozeni vzniknout na pocitaci pres internet. Cele je to v rovine spekulace, ze to, ze to nikdo nedokazal aplikovat v testu neznamena, ze to nikdo nedokaze nebo nedokazal tajne. A teto spekulace, at je sebevic nepravdepodobna se plasani drzi a neuhnou. :-/

        • Opravdu si myslíš, že si Intel dobrovolně degraduje výkon všech svých cpu, kdyby o nic nešlo? Fakt si myslíš, že by se jen tak pouštěl do takovýho průseru, že jeho šéf raději narychlo prodá své akcie? Fakt myslíš, že MS vydá narychlo špatně otestovaný patch jen tak pro srandu králíkům?
          Nenapadlo tě třeba, že ti výzkumníci zatím veřejnost jen upozornili na chybu, ale zatím drží pod pokličkou některé konkrétní způsoby aplikace, aby nenahráli hackerům a získal se čas navíc..?

          • „Nenapadlo tě třeba, že ti výzkumníci zatím veřejnost jen upozornili na chybu, ale zatím drží pod pokličkou některé konkrétní způsoby aplikace, aby nenahráli hackerům a získal se čas navíc..?“

            V poradku, nemam namitek. At Microsoft spolecne s Intelem a AMD poradne dodela opravy, aby to bylo stabilni, at to radne otestuje a nasledne uvolni jako update Windows a vyrobci jako update BIOSu a pak at reknou, jak je to ve skutecnosti nebezpecne a vysvetli to poradne a ja nasledne okamzite svuj OS updatuju.

            Proc bych neupdatoval Windows, kdyz mi ten update ten OS nezbori? Upravdu v tom pripade nemam duvod neupdatovat. Celou dobu presne tohle rikam, zbytecne neplasit a pockat si az se suituace vyjasni a vyrobci nabidnou stabilni update. 😉

    • Na Androidu Google impementoval kPTI proti Meltdownu (asi se týká nějakého Snapdragonu, jistě víme akorát o 845). Myslím, že budou mít i něco proti Spectre, minimálně retpoline. Problém je samozřejmě, jestli ty aktualizace poskytnou výrobci mobilů, kteří jsou ta žába na prameni, typicky, ne google.

      Co se týče té spousty mobilů, tak je tu takové štěstí v neštěstí. Hodně levnějších mobilů má jádra in-order typu. Cortex-A53, A7, A5 a tak dále. Ty jsou aspoň podle dosavadích informací imunní proti Spectre nebo je tam ta příležitost k zneužití tk minimální, že jsou prakticky nenapadnutelné.

      Jinak o těch mobilních platformách toho moct říct nemůžu, protože to moc nesleduju… U Apple nějaké obrany proti Spectre zdá se jsou: „To help defend against Spectre, Apple has released mitigations in iOS 11.2.2, the macOS High Sierra 10.13.2 Supplemental Update, and Safari 11.0.2 for macOS Sierra and OS X El Capitan. Apple Watch is not affected by either Meltdown or Spectre.“ (https://support.apple.com/en-us/HT208394)

    • Ne, největší problém je Meltdown, ten je celkem jednoduše použitelný a jeho výsledky jsou doslova drtivé. Čtení obsahu libovolné paměti je enormní průšvih, který umožní zjistit soukromé klíče, hesla, nebo z(a)jistit další vektory pro následný útok.

      Spectre je v tomto ohledu pro domácího usera typu Redmarx paradoxně ten méně problematický, neboť vyžaduje splnění mnoha podmínek a více se jedná o teoretický útok, než něco, co by reálně a efektivně fungovalo (byť poslední informace co jsem četl říkají, že i na tom už výzkumníci zapracovali) a spíše je to problém pro cloudové systémy

      Tak prosím, než napíšeš zase nějakou redmarxovinu, napřed si to nastuduj, jo?

  4. „Kromě toho Microsoft uvádí, že dopad je nižší na Windows 10 díky optimalizacím a různým změnám v tomto systému. Starší systémy Windows 7 a Windows 8 by opět měly mít propady výkonu výraznější.“

    Zajimave na te informaci je skutecnost, ze doted vsichni tvrdili pravy opak, totiz ze novejsi windows10 jsou postizeny daleko vice nez starsi systemy. Win7 udajne vubec…