Meltdown, Spectre e perché Microsoft mi ha convinto a desistere.

[borgata]

Ci sono anche aspetti molto negativi: un'enorme pubblicità negativa e esporsi al rischio di cause legali (già avviate diverse class action in USA). Siamo sicuri che il gioco valga la candela?

Tenendo poi conto che l'utente medio se potesse non aggiornerebbe il sistema operativo per non avere problemi, figurati quanti sentiranno l'esigenza di cambiare computer per questo.
Ovviamente rimane il settore Enterprise, ma anche io si rischia che questi si possano in qualche modo rivalere su Intel.

Tenendo poi conto che finora non esiste nulla che sia esente da queste vulnerabilità, ci sarebbe da aggiungere un pessimo tempismo.

[LoryOne]

Cambiare hw si o no ?
Ragioniamo un attimo: Qualunque malware deve essere progettato per il S.O in uso che dal canto suo deve poter colloquiare con l'hw sottostante, quindi l'hw senza il software è completamente inutile in quanto non pilotabile.
Il S.O. si frappone tra le varie componentistiche hw in modo da coordinarne le funzionalità, al fine di dar vita ad un'azione concreta ritenuta utile dall'utilizzatore; Il S.O., però, ha natura virtuale, cioè non modifica in alcun modo l'hw sottostante, tranne che questo non subisca danno per usura o per vizio di fabbrica. Le azioni compiute dalle varie componenti hw sono prese in carico dal S.O. e messe in condizioni operative pre e post elaborazione, secondo precise specifiche sulle quali è possibile agire con un'operazione chiamata configurazione.
Se ne deduce che più un S.O. è configurabile, più è possibile agire sulla "presa in carico" della gestione delle operazioni svolte dall'hw sottostante e pilotate dal software, purchè le opzioni imposte siano coerenti con la funzione che ci si aspetta di ottenere.
Questo è valido fino a quando la colpa di un eventuale malfunzionamento scevra da danno causato da usura/vizio è imputabile al solo software perchè malconfigurato o configurato bene, ma bacato.
Siccome un S.O. da solo, anche se perfettamente funzionante, è inutile se non supportato da ulteriori componenti che ne amplino la fruibilità lato utente, al S.O. si affiancano le così dette utilities che altro non sono se non un ulteriore layer (o strato) virtuale che si frappone tra il S.O. e l'hw sottostante.
Ora: Che in ambito software si tratti di S.O. (o firmware), di utilities, di files archiviabili o di malware (anch'essi ricadenti tra le utilities), tutte le tipologie di layer virtuale elencate vanno installate e se installate devono essere memorizzate affinchè sempre fruibili.
Se ne deduce che fino a quando l'hw preposto svolge funzioni che sono perfettamente gestibili dagli strati virtuali che lo coordinano, senza eccedere attraverso essi, cioè sconfinando in ulteriori azioni non previste ne gestibili attraverso apposita configurazione, il connubio hw<->sw può considerarsi sicuro.
Questo è il punto fondamentale che fa della sicurezza nell'uso quotidiano dell'hw una professione, sia per quanto riguarda il produttore di software, sia per quanto riguarda l'utilizzatore; Ad entrambi è demandata la configurazione ed il controllo costanti degli apparati hw in uso o predisposti all'uso.
Ergo, si deve tenere costantemente aggiornati i software, verificarne la funzionalità e riconfigurarli se necessario, fornendo a monte nuove opzioni per la gestione ed il controllo fruibili a valle.
E' un obbligo, non una scelta.
Vero, verissimo, ma non troppo.
Fino a poco tempo fa (forse si o forse no), si è sempre imputata la colpa di un malfunzionamento (includendo anche la compromissione del sistema tra gli esiti) al software o alla configurazione dello stesso, ma laddove non sia possibile agire sull'hw perchè del tutto autonomo essendo slegato dal software installabile, configurabile, utilizzabile e controllabile, entra in gioco un altro attore: il produttore hw; Anch'egli è un professionista, altrochè se lo è.
Nel rimpallo di responsabilità alle quali ognuno degli attori coinvolti adduce scuse, giustificazioni più o meno plausibili a sua discolpa e nel mentre trova soluzioni per mettersi al riparo da danni post-rivelazione, trova posto l'hacker...un ulteriore professionista che sfrutta i punti deboli degli altri attori in gioco per metterli alla prova ed evidenziarne le carenze progettuali/funzionali.
L'operato di un hacker è un danno o un apporto benefico alla comunità dell I.T. ?
Si badi bene al fatto che un hacker opera in modi del tutto indipendenti dalla consapevolezza o meno nell'agire di chi costituisce il suo bersaglio, quindi possono verificarsi casi in cui è la sola distrazione di quest ultimo a vanificarne ogni sforzo posto in essere nell'assicurare il funzionamento regolare dell'apparato che amministra con professionalità e competenza, sia esso un semplice utente casalingo un sysadmin, un webmaster, un netadmin, ecc.
Perchè, dunque, essere costretti a cambiare hw la dove un pizzico di attenzione in più a tutti i livelli basterebbe a scongiurare l'attacco ?
Tirando le somme:
- Tieniti sempre aggiornato
- Fai attenzione a come usi l'apparato e come lo configuri per l'uso altrui
- Non è necessario, anche se consigliato cambiare l'hw.

[retalv]

Inviato da borgata

Ci sono anche aspetti molto negativi: un'enorme pubblicità negativa e esporsi al rischio di cause legali (già avviate diverse class action in USA). Siamo sicuri che il gioco valga la candela.

Intel assicura i propri prodotti come error-free?
Intel ha venduto silicio con pregiudizi di funzionamento?
Con tutto il rispetto per chiunque legga, ci riteniamo esperti di marketing?
Abbiamo notizie che Intel non abbia partecipazioni incrociate con AMD?
In questa ottica (pensaci bene prima di rispondere) sei sicuro che esista un perdente e un vincitore in questa guerra?

[borgata]

Sicuri al 100% no, ma se le avesse diventerebbe una questione da AntiTrust, che in USA è piuttosto agguerrita. Per cui ne dubito.
Al più si potrebbe dire che Intel possa avere interesse a mantenere a galla AMD per non incorrere nelle ire dell'antitrust, ma visto che AMD è in netta ascesa grazie ai nuovi processori, beh, direi che non è questo il caso.

I bug ovviamente esistono e ne saltano fuori di continuo, ma qualcosa di questa portata è anomalo e mette seriamente a rischio la sicurezza dei propri clienti.
Inoltre le patch possono incidere in maniera così pesante sulle prestazioni che ci sono tutte le premesse per far causa ad Intel (del resto io compro un hardware per avere certe prestazioni, se di colpo mi si dimezzano per un errore del produttore, indovina con chi me la prendo? )

[retalv]

La scorsa notte, Microsoft ha rilasciato KB407813040 , che è stato specificamente progettato per disattivare il codice bacato identificato da Intel nelle patch Meltdown/Spectre.

Microsoft dice:

'Intel ha segnalato problemi con il microcodice rilasciato di recente inteso per indirizzare la variante Spectore 2 (CVE 2017-5715 Branch Target Injection) - in particolare Intel ha osservato che questo microcodice può causare "riavvii più elevati del previsto e altri comportamenti imprevedibili del sistema" e poi ha notato che situazioni come questo potrebbe causare "perdita o corruzione dei dati". La nostra esperienza è che l'instabilità del sistema può in alcune circostanze causare la perdita o la corruzione dei dati.

Mentre Intel verifica, aggiorna e distribuisce il nuovo microcodice, stiamo rendendo disponibile un aggiornamento fuori banda oggi, KB4078130, che disabilita specificamente solo la mitigazione rispetto a CVE-2017-5715 - "Vulnerabilità di iniezione di destinazione filiale". Nei nostri test questo aggiornamento è stato trovato per prevenire il comportamento descritto.

La patch è disponibile solo dal catalogo di aggiornamento ed è la stessa patch per tutte le versioni di Windows.

Leggere la relativa pagina del supporto tecnico...

Hanno dato un'occhiata alla patch e...

Questo aggiornamento imposta i valori del Registro di sistema ... documentati settimane fa per disabilitare la mitigazione CVE 2017-5715 in Windows. Questo aggiornamento non viene visualizzato nell'elenco degli aggiornamenti installati. Questo aggiornamento richiede i privilegi di amministratore.

Se hai evitato le patch Meltdown/Spectre di questo mese, non devi fare nulla. D'altra parte, se salti in trincea, questo potrebbe impedirti di perdere alcuni dati.

Microsoft continua a dire:

A partire dal 25 gennaio, non ci sono rapporti noti che indicano che questa variante Spettro 2 (CVE 2017-5715) è stata utilizzata per attaccare i clienti. Raccomandiamo ai clienti Windows, laddove appropriato, di riabilitare la mitigazione rispetto a CVE-2017-5715 quando Intel riporta che questo comportamento imprevedibile del sistema è stato risolto per il proprio dispositivo.

È molto probabile che quando Intel fornirà il clear per Spectre variant 2, farà parte di un'altra patch.

Morale della storia: aspettate e (parere personale) se avete Win7 smettete di aggiornare.

[borgata]

Giusto un chiarimento: le correzioni al microcodice fornite da Intel per per impedire(mitigare) Spectre2 non è fornito via patch del sistema operativo, ma tramite aggiornamento bios.
Chi ha sistemi più vecchi di qualche anno fa, probabilmente non se ne deve neppure preoccupare al momento!

[cippico]

purtroppo mi sono perso in questa vicenda,nel senso che non ho potuto seguire bene...
io che ho un processore amd athlon 2 x4 630 che rischio corro in caso di NON installazione patch...capendo chiaramente quali sono quelle proposte scaricabili da winupd...

grazie

[borgata]

L'entità del rischioè difficile da prevedere, sicuramente avresti un sistema vulnerabile se non prendessi i dovuti provvedimenti.
Trattandosi di un processore AMD, sei sicuramente al riparo dalla terza variante (Meltdown), ma vulnerabile a Spectre.
La prima variante di Spectre dovresti poterla arginare con un aggirnamento del sistema operativo e senza significativi impatti prestazionali.
Per la seconda variante temo rimarrai vulnerabile, perchè, oltre la patch per il sistema operativo, occorre un aggiornamento del microcodice che al momento viene distribuito tramite un aggiornamento del bios, che per un sistema così vecchio non arriverà mai.
La buona notizia è che secondo AMD le possibilità di sfruttare la seconda variante di Spectre sui propri processori è assai remota.
Esiste poi una soluzione software per Spectre 2 resa nota da google, Reptoline, che pare possa risolvere il problema di Spectre2 con un impatto sulle prestazioni molto limitato. Da vedere se e quando verrà implementata su Windows.

Ad ogni modo ciò che emerge dalla situazione attuale è che siamo in pieno fermento, con tappabuchi temporanei che creano grossi problemi e sono poco precisi, causando problemi prestazionali maggiori di quanto dovrebbero.
Probabilmente, se non si ha motivo di pensare di essere in immediato pericolo, conviene aspettare che soluzioni migliori siano messe a punto.

[cippico]

ti ringrazio molto per ottima spiegazione...

per ora quindi meglio non pasticciare con le patch...certo...potendole riconoscere...
solitamente le installo singolarmente,solo quelle relative alla sicurezza e non tutto il pacchetto mensile...
poi faccio winupd e controllo eventuali mancanze...l'importante e' poter vedere cio' che ogni patch va a riparare...spero sia segnalato nelle delucidazioni di ogni patch da scaricare guardando il sito microsoft...
non vorrei toppare e installare mettendo a rischio rallentamento l'intero pc

sempre grazie a tutti e ciaooo

[retalv]

Inviato da cippico

purtroppo mi sono perso in questa vicenda,nel senso che non ho potuto seguire bene...

Ciao @cippico, cerco di farti un quadro in termini semplici della situazione su come la vedo io...

Meltdown, Spectre e tutto il cucuzzaro sono fragilità nelle architetture delle moderne CPU (per Intel parliamo degli ultimi 20 anni di produzione, AMD non so...).

Le vulnerabilità riguardano la "possibilità" di leggere (in maniera più o meno semplice) aree della memoria cache (interna al processore) della CPU che non dovrebbe essere possibile leggere da un processo estraneo al processo a cui la cache mantiene i dati. I motivi per cui è possibile la lettura esulano questa nota.

Per effettuare la lettura della cache e carpire dati interessanti (parliamo di PW et similia) bisogna operare in locale: questo non significa che devo avere accesso alla tastiera della macchina, ma semplicemente che il reader-transmitter deve risiedere sulla macchina o nella memoria gestita dal browser, alla stregua dei vari "virus moderni" che abbiamo col tempo imparato a conoscere, ma con l'aggiunta (pare) di varie altre cosette (javascript?) attive sulla macchina o nel software di comunicazione.

Già questo basterebbe per comprendere il reale impatto delle vulnerabilità su un desktop allestito con un minimo di granu-salis (altra storia sono i WEB server, i server con accesso a internet e il cloud): aggiungo anche che non è noto un uso di queste vulnerabilità negli ultimi 20 anni.

Come al solito il modo di veicolare e sfruttare le suddette vulnerabilità è l'uso di browser che ne permettano lo sfruttamento: ormai quasi tutti i browser sono stati aggiornati e alcuni (leggi Pale Moon) lo erano da tempo (a volte "vecchio è bello").

Moonchild Productions sull'argomento dichiarava...
"Pale Moon ha già impostato la granularità per i timer delle prestazioni in modo sufficientemente approssimativo nell'ottobre 2016, quando è diventato chiaro che questo potrebbe essere utilizzato per eseguire attacchi basati su temporizzazione hardware e fingerprinting. Pale Moon inoltre, in base alla progettazione, non consente la condivisione della memoria buffer tra i thread in JavaScript, quindi l'attacco "SharedArrayBuffer" non è possibile.
Anche così, aggiungeremo alcune modifiche aggiuntive alla difesa alla prossima versione 27.7 per essere assolutamente sicuri che non ci sia spazio per nessuno di questi tipi di attacchi basati sulla temporizzazione hardware in futuro."

La versione attuale di Pale Moon è la 27.7.1.

Per valutare il reale impatto di queste vulnerabilità basta fare alcune semplici considerazioni: una workstation/desktop/laptop usa saltuariamente nella vita reale di tutti i giorni alcune passwords e di queste solo pochissime (se compromesse) possono creare un reale problema all'utente. In altre parole sono veramente poche le situazioni in cui un attaccante abbia un reale impatto nella vita reale di un client (a meno che per "impatto" non si intenda la compromissione della password di YouPorn o WinTricKs): quelle poche che le avrebbero (es: HomeBanking, pw aziendali) hanno da tempo o la doppia chiave (usa e getta) per le operazioni dispositive o l'obbligo di un cambio pw in tempi ridotti.

A mio parere ci vuole comunque un disadattato a cercare quel tipo di informazioni in un PC di casa/ufficio, a meno si abbia a che fare con spionaggio industriale, controspionaggio, antimafia e via discorrendo...

Poi certo... tutto può succedere... come per esempio che mi cada il soffitto in testa mentre scrivo questo post...

...
...

... ma fortunosamente sono ancora vivo e continuerò a vivere decentemente anche senza avere la possibilità reale di "mitigare" queste vulnerabilità, con un sonoro pernacchio al novello re Sole che ha trovato il modo di far aggiornare le macchine più vecchie di 2 anni! Capisci a mè!

Malgrado le imprecisioni che avrò sicuramente scritto, spero di averti dato una visione più chiara e non catastrofistica sull'argomento.

NOTA: Luigi XIV detto il re Sole.
Luigi XIV obbligò la nobiltà francese a trasferirsi a Versailles e a seguire la moda estremamente sfarzosa, costosa e volubile da lui imposta con lo scopo di affossare l'economia dei feudatari rendendoli inermi, costantemente sotto controllo e impossibilitati ad uno scontro di forza col sovrano e a manovre eversive di reale impatto.

[retalv]

Inviato da borgata

Sicuri al 100% no, ma se le avesse diventerebbe una questione da AntiTrust, che in USA è piuttosto agguerrita. Per cui ne dubito.
Al più si potrebbe dire che Intel possa avere interesse a mantenere a galla AMD per non incorrere nelle ire dell'antitrust, ma visto che AMD è in netta ascesa grazie ai nuovi processori, beh, direi che non è questo il caso.

I bug ovviamente esistono e ne saltano fuori di continuo, ma qualcosa di questa portata è anomalo e mette seriamente a rischio la sicurezza dei propri clienti.
Inoltre le patch possono incidere in maniera così pesante sulle prestazioni che ci sono tutte le premesse per far causa ad Intel (del resto io compro un hardware per avere certe prestazioni, se di colpo mi si dimezzano per un errore del produttore, indovina con chi me la prendo? )

Sorry, questa me l'ero persa/dimenticata ...

L'antitrust centra con le partecipazioni incrociate quanto un Ferrari con un Kg di pere: chiunque è libero di acquistare azioni di una ditta senza per questo fare cartello con quella ditta. Le motivazioni delle partecipazioni incrociate sono diverse e riguardano la diversificazione, la diminuzione dei rischi, il peso decisionale nell'azienda, la raccolta di informazioni (disponibili al solo azionariato) ecc. ecc.. Se segui un poco il mercato finanziario anche solo di casa nostra ti accordi che il filo di Arianna con cui sono legate le aziende è molto lungo, frastagliato e apparentemente incongruente... ma solo apparentemente.

Ripeto, il bug esisteva "a loro insaputa", quindi che piaccia o no e fino a che non potrà essere dimostrato che sapevano ma hanno ignorato il problema...

Le CPU hanno funzionato normalmente fino a dicembre? Si. - Tutto il resto è noia...
Il S.O. e/o la patch rallentano la macchina? Aggiorna con una CPU più veloce e spera che il BIOS/UEFI della MB venga aggiornato con il microcode che sforno. - Tutto il resto è noia...

Vuoi "sparare" la CPU con un obice, e questa "carogna" smette di funzionare? Hai sbagliato acquisto. - Tutto il resto è noia...


Posso continuare, ma il finale sarà sempre quello.

Ma a parte tutto questo, non ti sembra strano che i bug dei vari sistemi operativi non vengano resi noti per difendere le macchine fino all'aggiornamento successivo e salti fuori dopo 20 anni un bug hardware e Intel (che a quanto ricordo è stata informata 20gg prima) non chieda a chi lo ha scoperto di non divulgarlo fino all'attuazione delle opportune contromisure? Ti sembra logico tutto questo?

[cippico]

infatti...
piu' che altro mi interessava riconoscere e non installare aggiornamenti deleteri...

ciaooo a tutti

[borgata]

Avevo scritto un lungo post prima che il forum me lo mangiasse... pazienza.

A mio parere retalv stai ampiamente sottovalutando le possibilità di sfruttamento di queste vulnerabilità (che non sono bug: i processori operano come previsto, il problema è che non si era tenuto conto che in questo modo era possibile violarne la sicurezza). Quello che rimarrà sarà un bacino enorme di macchine che nonostante tutto questo patchare rimarranno vulnerabili e saranno preda dei vari kit di maleware creati per gli attacchi di massa.

Per quanto riguarda l'idea che questa possa essere una macchinazione di Intel per rendere obsoleti i vecchi processori e così venderne nuovi, a mio parere non ce ne sono proprio le premesse: Intel si è pesantemente esposta sia sul lato dell'immagine che giuridico, perchè quando ci sono in ballo tanti soldi, stai sicuro che le motivazioni per trascinarli in tribunale si trovano (e difatti sono da subito partite diverse class action).

[LoryOne]

Inviato da cippico

infatti...
piu' che altro mi interessava riconoscere e non installare aggiornamenti deleteri...

ciaooo a tutti

Quando si parla di Meltdown e Spectre, bisogna fare un distinguo tra quelle che sono le potenzialita' dannose di un malware che le sfrutti e quelle reali e tangibili.
La prima e' un dato di fatto, la seconda necessita che il malware sia installato o che agisca comunqe in locale.
L'attivita' di prevenzione si basa sullo scongiurare le potenzialita' con o senza risultati tangibili d'infezione.
E' cosa risaputa che la colpa di un eventuale danno possa essere imputata sia a chi fornisce un servizio infetto (Cloud, websites, webapps,ecc) sia a chi mette a rischio la propria sicurezza in maniera del tutto autonoma (mail infetta), ma in quale percentuale imputabile all'una o all'altra parte, e' tutto da dimostrare caso per caso.
Se e' vero com' e' vero che non tutti i processori di differenti produttori sono sfruttabili con risultati differenti in base alle differenti varianti del malware, e' altrettanto vero che, indipendentemente dal S.O. installato e dal malware che agisce nel suo contesto, Intel sia il produttore che ha venduto la maggior parte di processori operanti sia su server, sia su client.
Conoscendo le potenzialita' del danno a monte dell'infezione, si deve ponderare in quale ambito il processore incriminato operi e quale sia il carico di lavoro che svolge in quell'ambito, poiche' il calo prestazionale se patchato via software e' un dato di fatto: Se a cio si aggiunge che su quel server e' possibile ospitare il malware e che da quel server puo' essere trasmesso, le criticita' aumentano.
Quindi cippico, tutto dipende da alcuni fattori:
- Che uso ne fai del PC
- Quali conoscenze hai in materia di propagazione dell'infezione e metodologie per scongiurarla
Se lo usi per navigare sul web, o per giocare in rete, o per scrivere lettere/fogli di calcolo e' difficile che noti il rallentamento, ma se lo usassi per attivita' in cui la lettura/scrittura sul disco avvenisse in maniera pesante, allora noteresti il calo prestazionale.
Per quanto attiene le potenzialita' d'infezione, quelle ci sono, ma sono le stesse attribuibili ad un qualsiasi altro malware; Cio che cambia e' il danno

[retalv]

Inviato da borgata

... che non sono bug: i processori operano come previsto, il problema è che non si era tenuto conto che in questo modo era possibile violarne la sicurezza...

Vuoi farmi "coglionella"?

Vulnerabilità è ovunque ci sia un difetto di progettazione con mancanza di controlli di sistema, il bug è la stessa cosa a livello software. Vogliamo fare i sofisti?

Hanno fatto in modo che venisse generata una eccezione in modo da bloccare l'accesso alle aree di memoria di un processo da parte di un altro processo e poi permettono il pre caricamento delle aree di memorie in cache prima dei controlli di sicurezza e senza considerare l'applicazione di un modello statistico sulla velocità di lettura dei dati in cache tramite l'indirizzamento indiretto.

E' come far usare il denaturante generale dello stato senza Bitrex (componente chimico brevettato dal gusto quasi identico al fiele) e meravigliarsi poi se i bambini che lo hanno bevuto sono diventati ciechi per colpa del metanolo in esso contenuto...

Inviato da borgata

Per quanto riguarda l'idea che questa possa essere una macchinazione di Intel per rendere obsoleti i vecchi processori e così venderne nuovi, a mio parere non ce ne sono proprio le premesse: Intel si è pesantemente esposta sia sul lato dell'immagine che giuridico, perchè quando ci sono in ballo tanti soldi, stai sicuro che le motivazioni per trascinarli in tribunale si trovano (e difatti sono da subito partite diverse class action).

Assolutamente senza volerti offendere, ma lasciamelo dire in modo bonario ...
"Anima candida..!"

Infatti... pare che il CEO, Brian Krzanich, durante un incontro con gli analisti per l’annuncio dell’ultima trimestrale del 2017: “Attueremo dei cambiamenti a livello hardware che risolveranno i rischi di Spectre e Meltdown su prodotti futuri in arrivo più avanti quest’anno”

Tradotto: entro il 2018 modificheranno l'architettura delle nuove CPU per annullare i rischi, il che porterà ad avere nuove matherboard che possano ospitarli entro i primi 6 mesi del 2019...

In questa ottica, tu, io e chiunque abbia una CPU più vecchia di 5 anni non ce lo faremmo un pensierino per toglierci il problema considerando che alla fine il costo dell'operazione non sarà poi così esorbitante..? O ci imbarchiamo in una class action?

Riguardo le class action non basta farle partire... bisogna anche vincerle...

Inviato da LoryOne

Per quanto attiene le potenzialita' d'infezione, quelle ci sono, ma sono le stesse attribuibili ad un qualsiasi altro malware; Cio che cambia e' il danno

Ecco... questo riguarda il grano salis a cui facevo riferimento prima... potremmo definirlo un moderno Keylogger, ma di sistema.