Meltdown, Spectre e perché Microsoft mi ha convinto a desistere.

[retalv]

Come tutti ormai dovrebbero già sapere, il Google's Project Zero security team ha scoperto e pubblicato alcuni bugs presenti in praticamente tutte le CPU Intel prodotte dal 1995 ad oggi (seguite parzialmente anche da AMD) e nell'ultimo mese sia i produttori di sistemi operativi (Windows, Linux e Apple) sia i produttori di browser, sistemi virtuali come VMware (Oracle Virtualbox non pervenuta... hanno scoperto il cloud prima di fallire) e hardware si stanno prodigando per "mitigare" il problema in vari modi sia sui sistemi operativi sia su software (browser) e drivers per i propri hardware (vedi NVIDIA) che malgrado le relative CPU interne non siano affette da quei problemi, entrano pesantemente e direttamente in contatto con CPU e kernel delle nostre macchine.

Escludendo NVIDIA che vuole semplicemente mettersi al riparo da eventuali azioni legali visto il pesante e continuo colloquio tra la "nostre" macchine e i loro server (si risolve comunque disabilitando il domine-deus dei pacchetti di aggiornamento-statistiche-e-qualt'altro dal pacchettone dei drivers rinunciando a un piccolo automatismo di aggiornamento a favore della sicurezza ... ed altro...) tutti gli altri cercano di "mitigare" il problema con patch al sistema operativo (utilizzando sistemi più o meno incisivi), ma si guardano dal dare risalto al fatto che tutte le loro mitigazioni non servono praticamente a NULLA senza un aggiornamento del BIOS da parte dei produttori di harware delle nostre matherboard: lo dicono, ma mantenendo sempre un basso profilo in modo che il clamore resti confinato e risulti "gestibile". L'unico che forse ha qualche possibilità è Linux con le modifiche al kernel (ancora però da venire visti gli intoppi con AMD) e il firmware aggiuntivo applicato ad ogni avvio.

Per fare un piccolo esempio, la mia ormai più che vetusta materboard ASUS ha ricevuto il primo aggiormanento BIOS nel dicembre 2010 e l'ultimo nel novembre 2012 e causa obsolescenza mai più ne riceverà, ovviamente...

Malgrado il clamore sensazionalistico a cui siamo abituati su TUTTI i media di informazione (sparala grossa ma cerca di essere il primo anche se racconti balle) questa sarebbe, ed è, una grossa falla che interessa principamente il mondo server, dove la mamma degli utenti imbecilli è perennemente incinta e non vede l'ora di farsi notare su sistemi informatici server spesso non presidiati.

Intendiamoci... anche un utente Desktop se è un tantinello sprovveduto può incappare in un incidente di percorso, ma considerando che gli attacchi possono essere eseguiti solo in locale o solo se il sistema è già compromesso da altri fattori che permettano l'accesso remoto, prima che a tutti noi succeda di farsi leggere dalla memoria la password di accesso all'home banking attendiamo veramente il prossimo allineamento dei pianeti (ho letto anche chi consiglia l'uso dell'autenticazione a due fattori "alla Gmail" o come spesso si usa in home banking già da anni... ).

Il vero problema è che malgrado l'utente comune non si accorga praticamente di nulla, la CPU di un sistema Windows 10 con CPU abbastanza recente a cui è stata applicata la pezza (per Win 7 kb4056894) perde alcuni punti percentuali e ancora peggio per Win8 o Win7 con CPU vecchiotte, con più di una decina in termini di velocità di calcolo.

Da un paio di mesi avevo ricominciato ad aggiornare Windows 7 sul desktop (Windows 10 è solo sul portatile e visto come lo uso poco mi importa se perdo in velocità) ma visti gli sviluppi ho deciso nuovamente di interrompere gli aggiornamenti su una macchina che per il mio uso va ancora bene (i5 2500K) ma della quale non permetto a Microsoft di lasciar mangiare Mhz senza una motivazione logica se non un poco discreto lavaggio di coscienza.

Spero che quanto scritto possa essere utile per farsi una idea sui fatti. Se siete di parere avverso... il forum servirebbe proprio a questo...

[Morpheus-89]

Io più che per i computer personali ho appunto qualche piccola apprensione per i server, ho diverse macchine virtuali in hosting, e non so se il fornitore (spero di si) abbia provveduto ad aggiornare il tutto per cercare di porre rimedio a Meltdown

[borgata]

@retalv
Gli aggiornamenti del sistema operativo sono sufficienti ad isolare da meltdown, che è forse la vulnerabilità più pericolosa per facilità di sfruttamento. Quindi sono decisamente consigliati.
L'impatto sulle prestazioni c'è ma solo in determinati contesti e tutto sommato non pesante come quello relativo all'isolamento completo. Per un utente consumer con tutta probabilità è abbastanza trascurabile nell'uso quotidiano.

La falla può essere sfruttata non solo in locale ma anche tramite browser (o altri software con accesso in rete), motivo per il quale sono uscite rapidamente delle patch anche per questi, che però sono solo in grado di mitigare il problema (ossia rendere più difficile l'exploit).

Queste sono delle falle molto gravi e purtroppo, su processori Intel, non troppo difficili da sfruttare. Io non prenderei la cosa alla leggera.
Certo che Intel, dopo il problema dell'ME/TXE, non ci sta facendo una gran bella figura ultimamente.

[LoryOne]

Ottimo articolo che consiglio di leggere: https://www.extremetech.com/computin...tive-execution
Siccome il contenuto è molto tecnico e rivolto ad un pubblico specializzato, vediamo "grosso modo" di aggiungere qualche info perchè l'articolo risulti più comprensibile a tutti.
1 - Un processore esegue una istruzione per volta e non esegue la prossima fino a che non è completata la prima, quindi più istruzioni ci sono da elaborare, più il processore deve funzionare velocemente: l'aumento della frequenza di clock era la soluzione più evidente, ma non la più performante a scapito di altre problematiche legate al surriscaldamento della componentistica interna.
2 - La potenza termica dissipata è nemica dei componenti elettronici, quindi quale soluzione adottare ?
Rivedere l'architettura per mantenere la frequenza di clock entro certi limiti ed aumentare la potenza elaborativa.
3 - Suddividere l'elaborazione di più istruzioni in un modulo a più stadi (le pipeline) sfruttando il più possibile i cicli di clock singolarmente
E veniamo al diagramma indicato:
4 - Le pipeline devono passare per forza di cose attraverso 4 stadi indicati che ricalcano il modo di operare del processore per quanto attiene l'acquisizione del dato, l'operazione da eseguire su di esso, la memorizzazione del suo stato e la prossima operazione da eseguire.
Nel grafico abbiamo 4 istruzioni che attraverso la pipeline giungono allo stato finale di elaborazione con un numero di cicli di clock ridotti rispetto a quelli necessari se privati delle pipeline.
Il processore, nell'unità di tempo, avrà sempre istruzioni e dati differenti da scomporre ed eseguire ed identificando quelle istruzioni che maggiormente vengono eseguite a scapito di altre, potrebbe risultare più veloce per certe operazioni che si presentano con maggiore frequenza.
Cosa mettere in esecuzione per prima nella pipeline è costituito dal branch prediction: L'esecuzione "azzeccata" in seguito al branch risulta speculativa, cioè non è detto sia sempre la scelta migliore.
L'articolo riporta un accuratezza del branch prediction pari al 95%, quindi quasi sempre.
Fin qui tutto bene, ma...come agisce internamente il processore in modo del tutto autonomo secondo specifiche architetturali ?
"The reason Meltdown causes such unique headaches for Intel is because Intel allows speculative execution to access privileged memory a user-space application would never be allowed to touch."
La ragione per cui Meltdown causa così tanti malditesta ad Intel è perchè consente l'esecuzione speculativa per consentire ad un applicazione in user-space di accedere a locazioni di memoria privilegiate, cosa che non normalmente non dovrebbe avvenire.
Come sarebbe a dire ? Non basta il S.O. che identifica privilegi utente e conseguenti accessi privilegiati a funzionalità precluse all'utente ma non al sistema, qualsiasi S.O. si tratti ?
Evidentemente no.
Si legge:
"Code that’s running under speculative execution doesn’t do the check whether or not memory accesses from cache are accessing privileged memory. It starts running the instructions without the privilege check, and when it’s time to commit to whether or not the speculative execution should be continued, the check will occur. But during that window, you’ve got the opportunity to run a batch of instructions against the cache without privilege checks. So you can write code with the right sequence of branch instructions to get branch prediction to work the way you want it to; and then you can use that to read memory that you shouldn’t be able to read."
Le operazioni che avvengono internamente ai processori Intel in materia di speculative execution, non eseguono il controllo sulla tipologia di informazioni presenti in cache, poichè non effettuano il distinguo tra memoria privilegiata e non nel lasso di tempo che intercorre tra il commit (quindi l'ultimo step) e l'inizio della nuova trafila. Pertanto è possibile scrivere codice che renda possibile accedere ad informazioni in memoria che non dovrebbero essere leggibili.
e poi ancora:
"The speculative prediction implementations of other CPU vendors don’t allow user-space applications to probe the contents of kernel space memory at any point"
L'implementazione della speculative execution da parte di altri produttori non consentono ad applicazioni in user-space di accedere ai contenuti della memoria protetta in nessuno punto, aggiungo quindi in nessuno step della trafila necessaria al completamento branch-prediction->speculative execution.

[retalv]

Stiamo andando troppo sul tecnico alla "Dott. Balanzone" ... trovo molto più interessante lo strato più alto con cui si esprime Microsoft...

https://cloudblogs.microsoft.com/mic...ndows-systems/

...da cui ...

https://support.microsoft.com/en-us/...ectre-meltdown

... da cui ...

https://www.asus.com/News/YQ3Cr4OYKdZTwnQK

... ed è la stessa Asus a dire che per i suoi sistemi serve un aggiornamento BIOS per applicare il microcode al "silicio" ad ogni avvio. Peccato che per i vecchi sistemi/materboard non ci sarà alcun aggiornamento.

Capisco che ormai i browser che contano sono pochi, ma che debba scegliere forzatamente quelli canonici per tentare di arginare una falla della CPU ci riporta veramente ai minimi... rimane comunque una falla a livello locale che è attivabile da remoto previa vulnerabilità pregressa. Se sapete schivare le "cacche" del WEB schiverete anche questa...

Forse (ci credo poco) ora che è pubblica proveranno ad usarla, ma francamente sembra più una trovata commerciale di qualche tipo... in 20 anni non è stata mai usata e figuriamoci se dovevano aspettare Google's Project Zero per scoprirla e usarla...

[RunDLL]

La preoccupazione più grossa riguardo ai server è se questi andranno incontro a notevoli rallentamenti, una volta fatti i dovuti aggiornamenti che siano a livello di sistema operativo o bios, di cui si parla tanto, dove tanto per cambiare ci sono opinioni opposte e discordanti.

[LoryOne]

Il calo prestazionale sui server sicuramente ci sara', ma in maniera proporzionale al carico di lavoro (presumo soprattutto CGI, SQL e TLS/SSL) ed al content switching che il processore sara' costretto a subire in ragione delle patches adottate, leggasi KAISER https://spectreattack.com/

Sicuramente, prima di ottenere il risultato sperato, il malware dovra' essere eseguito piu' volte perche' non esiste il colpo sicuro. Chiaramente, sara' piu' facile identificarne l'opera su un pc che non funga da server, piuttosto che uno che faccia parte di un cloud o un web server o un game server,ecc.

Infettare un pc con una classica mail, un utility in p2p, o attraverso una pagina web compromessa, resteranno metodologie efficaci come lo sono state fin'ora, cosi' come scalare i privilegi su un server mal configurato e/o non patchato con questa e con le precedenti patches: Quello che cambia in peggio e' la pericolosita' della minaccia che può mettere a nudo dati sensibili in una maniera del tutto nuova su hardware nuovo ma di "vecchia concezione", non certo da sottovalutare.
il dubbio più grande è: Davvero nessuno ha mai sfruttato tale possibilità, visto che è difficoltoso per un antivirus tenerne traccia ed impossibile farlo attraverso i log di sistema ?

Fossi Intel, rivedrei in parte il progetto architetturale visto che è proprio un problema hardware e nel mentre mi farebbe certo comodo che venissero adottate patches software per salvaguardare la linea produttiva ormai avviata e che sarebbe controproducente interrompere prima della revisione.
Una volta messo al corrente il produttore, poi dipende da lui non sottovalutare il problema

[borgata]

Io stavo leggendo l'articolo di arstechnica, che pare faccia ottimamente il punto della situazione.

Nel frattempo Google ha annunciato pubblicamente una patch per la seconda variante di Spectre che pare non porti a cali evidenti di prestazioni.

[retalv]

Al termine dell'articolo ventilano quanto predetto.

Fanno tutti dei bellissimi test sulle macchine più spinte impippandosene di quelle più vecchie di 2 anni e se le pezze non sceglieranno strade diverse che non rallentino le macchine, gli utenti datati saranno forse allettati a fregarsene e rimanere scoperti.

Metteteci che anche Microsoft delega i microcode agli OEM e il minestrone è completo.

Vedremo... ma a me sembra sempre più un bel modo per vendere nuovo hardware. Scommettiamo che tempo 4-6 mesi Intel uscirà con processori Meltdown-Spectre free?

[borgata]

Beh, lo saranno di sicuro, dato che le piattaforme che verranno vendute saranno sicuramente già patchate, a discapito magari delle prestazioni. Ma prima che escano dei processori Intel immuni a queste vulnerabilità by design, ho idea che potrebbero passare diversi anni.

Nel frattempo AMD potrebbe avere una bella occasione per riguadagnare market share, dato che i loro processori sono interessati solo marginalmente dal problema.

[retalv]

Staremo a vedere, sarà il tempo a decretare cosa succederà realmente ...

... ma ricordo a me stesso l'episodio di quando Philips mise in commercio il primo LETTORE CD a 2.300.000,00£ c.a. nei negozi e poco dopo imparammo che il progetto FINITO era stato congelato (tenuto nel cassetto) nei 20 (venti) anni precedenti aspettando il momento propizio di calo delle vendite per il lancio sul mercato, come fanno da sempre le grosse aziende dei più disparati settori... strana coincidenza vero?

[borgata]

Nel campo dei computer questo genere di pratiche sono molto, molto difficili da applicare.

La concorrenza, soprattutto oggi, c'è ed è agguerrita. Il mercato e le tecnologie si muovono molto velocemente. Avere un vantaggio e non usarlo significa rischiare di farsi raggiungere e perdere la propria posizione di vantaggio.
Le decisioni in questo campo vengono prese a lungo termine, occorrono in media cinque anni per progettare una nuova architettura e non si può rischiare di rimanere indietro, non può soprattutto un colosso come Intel che deve continuare a muovere enormi somme di denaro per andare avanti.

[retalv]

L'arte della guerra

http://www.sunzi.it/Sun%20Tzu%20(Sun...a%20guerra.pdf

"16. Dopo aver analizzato le situazione per rilevarne i vantaggi, il generale
deve creare le circostanze che contribuiscano a realizzare i suoi obiettivi,
schierando le truppe nel modo più opportuno.
17. Con l’espressione creare le circostanze, intendo che deve agire
rapidamente secondo ciò che è vantaggioso e assumere il controllo
dell’operazione militare nel suo insieme, organizzando le giuste mosse
tattiche.
18. Fondamentale in tutte le guerre è lo stratagemma."

Oggi parleremmo di keiretsu.

[LoryOne]

Se non ho capito un katsu correggimi: Quindi dici che è tutto pianificato con largo anticipo ?
L'arte delle guerra è essenzialmente pianificazione...
Magari ShadowBroker aveva avvertito senza rivelare nulla se non dietro corrispettivo: "sarà puro terrore" asserivano.

[retalv]

Non voglio per forza trovarci un complotto, ma la tempesta sembra proprio perfetta...

Non sono a conoscenza dello stato delle vendite sia lato consumer sia sul versante professionale/server ma a quello che ricordo (e credo di aver capito) negli ultimi 48-36 mesi i tempi di upgrade dell'hardware in generale si dovrebbero essere dilatati in modo sensibile. Se anche questo non fosse, quale modo migliore per incrementare le vendite è creare un bisogno, un'esigenza?

Quale modo migliore obbligare all'uppgrade miliardi di macchine per bugs più o meno difficilmente arginabili via software?
Se sono un datacenter, una banca o una semplice ditta con sever aperti verso l'esterno, il costo maggiore è aggiornare le macchine o il seppur remoto costo di una azione legale o perdita di guadagno per danni causa furto dati?

Ma non c'è poi bisogno di tralasciare il mondo consumer: preferiresti essere oppresso dal dubbio di lasciar leggere le tue PW del conto corrente ad un potenziale malintenzionato, scegli la strada di smettere di visitare i soliti siti porno e quelli non conosciuti per salvaguardare la sicurezza della macchina, o cerchi di cambiare macchina per continuare come sempre hai fatto?

Volendo raccontare una possibile evoluzione della faccenda... da quello che ho potuto capire il produttore è da c.a. 20 anni che "sforna" CPU contenenti un errore concettuale di architettura relativo alla previsione non lineare delle operazioni di pipe (non sono un tecnico, quindi probabilmente mi esprimo ad capocchiam).

Ipotizziamo che nel 2008 si siano accorti dell'errore e siano corsi ai ripari avviando la riprogettazione dell'architettura della CPU: 9-10 anni sono sufficienti per farlo? Sei-dodici mesi sono sufficienti per riadattare le linee di produzione?

Oggi hanno bisogno di incrementare le vendite: fanno "trapelare" il problema alla più grossa impresa di comunicazione mondiale: dopo che è stato reso pubblico con plauso del mondo a chi lo ha rivelato, possono affermare in tutta tranquillità di non averne saputo nulla fino a quel momento lasciando l'utente finale con una mano davanti e una dietro . Aggiungi a questo il blando interesse dei produttori di sistemi operativi e OEM e il gioco è fatto.

Le macchine "fresche" risultano quantomeno "pachabili" per quanto abbiamo avuto modo di leggere in varie parti, ma quelle destinate all'obsolescenza con buon tornaconto per il produttore di CPU, i produttori di matherboard, i produttori di chipset, i produttori di memorie RAM ecc. ecc. dovranno essere sostituite, se non altro per poter dire in sede legale di aver fatto tutto il possibile per arginare il problema e far dormire un poco più tranquillo il mondo consumer.

"Come ... fa scoprire ad altri un problema che potrebbe affossarla aiutando il concorrente diretto?"

Non rimarresti fedele a una azienda multinazionale che dopo sei mesi dalla scoperta di un problema "reagisce" mettendo a disposizione dei propri clienti un nuovo prodotto (magari a prezzo maggiorato, vista l'urgenza) che risolve il problema e magari ha "qualcosa in più"?

Ovviamente tutto questo riguarda una ipotesi, possibile, ma sempre di ipotesi si tratta.

Ai posteri...