Haha arvatavasti jah. Selle aasta alguses v eelmine aasta oli ju võimalus mingi 10 euri saada kui pentium 4 olid ostnud kunagi, class action lawsuit tõttu mille intel kaotas, täpselt sama teema, et perf oli reklaamitust väiksem. Äkki nüüd sama teema, nii umbes 15 aasta pärast?
Esiteks: Kernelile ligipääsemiseks prose tasandil peab arvutisse sisse häkkima emaplaadi tasandil.
Kui arvuti opsüsteem töötab, on kernel juba hõivatud.
Proovige kasvõi BIOSis teha muudatusi laivis- Te ei saa. Isegi Biosi uuendamise utiliit nõuab pärast Biosi ülekirjutamist restarti.
Jah teoreetiliselt on võimalik kirjutada mingi vigane ussviiruse põhimõttel uuendaja, aga selleks peab seda tegema igale chipsetile eraldi.
Sama mis klassikalise viiruse korral, ära ava tundamuid
rakendusi, kui sa ei taha saada ussi, mis pärast restarti ketta ära vormindab või muud pahandust teeb.
Teiseks: Et veebirakendus seda auku ära kasutaks- Siis peab kõigile ette söötma seda linki-
ainuke potentsiaalne koht oleks pornosaidid ja libasaidid. Jällegi, kasutaja asi
jälgida kuhu sisse ronib. Linuxi kasutajad üldse reeglina arvutis tavaõigustes ja mingeid eriõigusi süsteemis
muudatuste tegemisteks ei oma.
Tõenäosus et hästi turvatud avalik teenus https:// peal seda vigast auku omaks, ei tea.
OK Javascript võib-olla auke täis, aga samamoodio saab auke täis olla siis
ükskõik milline plugin. Flash playerid, flw playerid jne jne. Siin on pall pigem nende väravas, kes neid pluginaid kirjutavad-
Iseäranis on suurim oht veebibrauser ise.
Kasutaja ei saa midagi teha kui tarkvara/riistvara on vigane.
3. Kernelit ei saa ära lõigata nagu kirjutab Delfi- riistvarakomponendid mis suhtlevad kernelisse
implementeeritud tarkvaralise mooduliga on sillatud.
KUi ära lõigata, siis arvuti lihtsalt ei tööta või ei tööta halvatud/ilma toeta riistvaramoodulid.
Kõige lihtsam näide on see, kui mingi vanema chipseti ja prosega
arvutile ajada selga uuema kerneliversiooniga linux. Kui Uuel kernelil pole vanema riistvara tuge, too tööle ei hakka.
Mulle tundub et küsimus on selles, et arvutite ja prosede turg on alla käimas.
Et müüki elavdada, on vaja tekitada paanikat ja mõelda välja
pseudoprobleem, mille hirmus inimesed uusimaid arvuteid koos veaparandusega prosesid ostaksid.
Delfi kommentaariumis liigub vandenõuteeoriaid. Kui neist kasvõi 10% tõsi oleks, siis pole ühestki turvapaigast kasu-
kui eri riikidel on vaja luurata siis tingimata ei usu mina et lastakse asi ära lappida nii, et enam luurata ei saaks.
ikka saab. keevitatakse uus tagauks ja valmis.
kui vaadata seda kui palju, lausa sadades ja tuhandetes erinevaid turvapaiku anti ja antakse edaspidigi pisipehme
toodetele, siis on see ju veel hullem kui mädaõun.
lühidalt, keda on vaja luurata, seda luuratakse nagunii.
viimati muutis ab79 03.01.2018 22:26:16, muudetud 2 korda
ab79, sa vist ei ole lugenud uudist? Kogu asja tuum ongi selles, et kerneli ressurssidele saab ligi igaüks! _________________ There is no place like 127.0.0.1
Esiteks: Kernelile ligipääsemiseks prose tasandil peab arvutisse sisse häkkima emaplaadi tasandil.
Kui arvuti opsüsteem töötab, on kernel juba hõivatud.
Proovige kasvõi BIOSis teha muudatusi laivis- Te ei saa. Isegi Biosi uuendamise utiliit teeb pärast Biosi ülekirjutamist restarti.
Jah teoreetiliselt on võimalik kirjutada mingi vigane ussviiruse põhimõttel uuendaja, aga selleks peab seda tegema igale chipsetile eraldi.
Sama mis klassikalise viiruse korral, ära ava tundamuid
rakendusi, kui sa ei taha saada ussi, mis pärast restarti ketta ära vormindab või muud pahandust teeb
Teiseks: Et veebirakendus seda auku ära kasutaks- Siis peab kõigile ette söötma seda linki-
ainuke potentsiaalne koht oleks pornosaidid ja libasaidid. Jällegi, kasutaja asi
jälgida kuhu sisse ronib. Linuxi kasutajad üldse reeglina arvutis tavaõigustes ja mingeid eriõigusi süsteemis
muudatuste tegemisteks ei oma.
Tõenäosus et hästi turvatud avalik teenus https:// peal seda vigast auku omaks, ei tea.
OK Javascript võib-olla auke täis, aga samamoodio saab auke täis olla siis
ükskõik milline plugin. Flash playerid, flw playerid jne jne. Siin on pall pigem nende väravas, kes neid pluginaid kirjutavad-
Iseäranis on suurim oht veebibrauser ise.
Kasutaja ei saa midagi teha kui tarkvara/riistvara on vigane.
3. Kernelit ei saa ära lõigata nagu kirjutab Delfi- riistvarakomponendid mis suhtlevad kernelisse
implementeeritud tarkvaralise mooduliga on sillatud.
KUi ära lõigata, siis arvuti lihtsalt ei tööta või ei tööta halvatud/ilma toeta riistvaramoodulid.
Kõige lihtsam näide on see, kui mingi vanema chipseti ja prosega
arvutile ajada selga uuema kerneliversiooniga linux. Kui Uuel kernelil pole vanema riistvara tuge, too tööle ei hakka.
Mulle tundub et küsimus on selles, et arvutite ja prosede turg on alla käimas.
Et müüki elavdada, on vaja tekitada paanikat ja mõelda välja
pseudoprobleem, mille hirmus inimesed uusimaid arvuteid koos veaparandusega prosesid ostaksid.
BIOS vist nagu ei puutu enam üldse moodsamate OS teemasse kui just 16bit os ei kasutad...
Teiseks: pole see web kaudu ründamine midagi nii keeruline, et vaja konkreetsele lehele sattuda,
mündikaevandus pidavat käima mitte nii kahtlastel lehtedel kui mainitid...
3. probleem on mujal kui raali laienduskaartides... (PS ei tea mida delfi lõigata soovitab linuxis...)
PS. linux==ongi kernel aka operatsioonisüsteemi tuum (mälu ja resursside haldur jne).
Lihtsalt probleem on selles, et su veebisirvija ei peaks saama kuidagi os tuuma teatuid mälupiirkondi lugeda/kirjutada jne.
Võibolla ajasid segi Inteli ME probleemiga antud teema.
Olen ka antud teemasse suht pinnapealselt süvenenud seega mõnes osas võib olla info väär.
Igatahes järgurlapid 4.4.x ja 4.9.x pole veel päral seega ise ei tea kui suure -% saab kvm rakendus muud rakendused nn. userlandis ei ole mõjutatud või mõju alla %.
ma pole muidugi väga pädev vaidlema, aga ma arvan, et sellisel juhul kui üle veebi ründamine nii lihtne on,
siis miks seda siiani tehtud pole? Enamik riistvaratootjaid kasutab tänapäeval kasutajatoe pakkumiseks softi ja
diagnostika jaoks sillatud ühendust utilitidega, mille kasutaja alla laeb, riistvara diagnostika käivitab ja siis
raporti alusel tootja pakub uuendusi või veatõrkele lahendust. kui nii võtta, on ligipääs riistvarale juba ammu olemas.
lihtsalt tee mingi riistvaratootja veebisaidi libakoopia ja valmis.
mälupiirkondade lugemine, mis see annab? miks peab karupe..se kaudu kirjutama keyloggeri või
lutika, kui saab palju lihtsalt teha seda käivitatava rakendusena, mille kasutajale saab alla laadida kasvõi temp kausta.
palju lihtsam on kirjutada mingi üle veebi töötava draiveri, mis näiteks küsib luba sinu veebikaamera kasutamiseks,
nii nagu suhtlustarkvaras juba on. sa lihtsalt ei luba ja kõik.
seepärast enamik paranoilisi inimesi teibib tänapäeval isegi oma kaamera kinni.
ma pole muidugi väga pädev vaidlema, aga ma arvan, et sellisel juhul kui üle veebi ründamine nii lihtne on,
siis miks seda siiani tehtud pole? Enamik riistvaratootjaid kasutab tänapäeval kasutajatoe pakkumiseks softi ja
diagnostika jaoks sillatud ühendust utilitidega, mille kasutaja alla laeb, riistvara diagnostika käivitab ja siis
raporti alusel tootja pakub uuendusi või veatõrkele lahendust. kui nii võtta, on ligipääs riistvarale juba ammu olemas.
lihtsalt tee mingi riistvaratootja veebisaidi libakoopia ja valmis.
mälupiirkondade lugemine, mis see annab? miks peab karupe..se kaudu kirjutama keyloggeri või
lutika, kui saab palju lihtsalt teha seda käivitatava rakendusena, mille kasutajale saab alla laadida kasvõi temp kausta.
palju lihtsam on kirjutada mingi üle veebi töötava draiveri, mis näiteks küsib luba sinu veebikaamera kasutamiseks,
nii nagu suhtlustarkvaras juba on. sa lihtsalt ei luba ja kõik.
seepärast enamik paranoilisi inimesi teibib tänapäeval isegi oma kaamera kinni.
Tavalise kodukasutaja puhul pole jah asi nii hull, aga mõtle nüüd cloud service pakkujatele, kus ühte protsessorit võib kasutada väga mitu erinevat end-userile teenuse pakkujat. Põhimõtteliselt on kõik pilveteenuste pakkujate andmed ohus. Piisab kui mõni pahalane laseb kõige odavama virtual serveri näiteks AWS'is püsti ja hakkab siis aga selle mälus ringi laskma saades ligipääsu kõikidele andmetele, mis seda konkreetset resursssi jagavad. Varastada saab kõikvõimalikke pääsukoode andmebaasidesse, arvutitesse, programmide lähtekoode jne jne.
mannatera, hetkel mulle tundub et raudvaraline virtualiseerimine ei ole rünnatav. Xeni paravirtual samas on.
Hetke reaalsed rünnakustsenaariumid kõhutunde pealt
* brauseris JavaScripti vms ringi ajamine
* webhostingud jms pilveteenused, kuhu saad oma koodi üles laadida, mis jookseb mingi jagatud operatsioonisüsteemi peal.
bloodraven, miks? Misajast CPU sul pilti renderdab? VR puhul Inteli integreeritud graafikat ei kasuta ometi _________________ There is no place like 127.0.0.1
ma pole muidugi väga pädev vaidlema, aga ma arvan, et sellisel juhul kui üle veebi ründamine nii lihtne on,
siis miks seda siiani tehtud pole? Enamik riistvaratootjaid kasutab tänapäeval kasutajatoe pakkumiseks softi ja
diagnostika jaoks sillatud ühendust utilitidega, mille kasutaja alla laeb, riistvara diagnostika käivitab ja siis
raporti alusel tootja pakub uuendusi või veatõrkele lahendust. kui nii võtta, on ligipääs riistvarale juba ammu olemas.
lihtsalt tee mingi riistvaratootja veebisaidi libakoopia ja valmis.
mälupiirkondade lugemine, mis see annab? miks peab karupe..se kaudu kirjutama keyloggeri või
lutika, kui saab palju lihtsalt teha seda käivitatava rakendusena, mille kasutajale saab alla laadida kasvõi temp kausta.
palju lihtsam on kirjutada mingi üle veebi töötava draiveri, mis näiteks küsib luba sinu veebikaamera kasutamiseks,
nii nagu suhtlustarkvaras juba on. sa lihtsalt ei luba ja kõik.
seepärast enamik paranoilisi inimesi teibib tänapäeval isegi oma kaamera kinni.
Tavalise kodukasutaja puhul pole jah asi nii hull, aga mõtle nüüd cloud service pakkujatele, kus ühte protsessorit võib kasutada väga mitu erinevat end-userile teenuse pakkujat. Põhimõtteliselt on kõik pilveteenuste pakkujate andmed ohus. Piisab kui mõni pahalane laseb kõige odavama virtual serveri näiteks AWS'is püsti ja hakkab siis aga selle mälus ringi laskma saades ligipääsu kõikidele andmetele, mis seda konkreetset resursssi jagavad. Varastada saab kõikvõimalikke pääsukoode andmebaasidesse, arvutitesse, programmide lähtekoode jne jne.
sellise stsenaariumi puhul tuleb põhimõtteliselt uue, teistsuguse algoritmiga prose arhitetkuur projekteerida. aga lihtne ei saa see olema, sest uus arhitektuur tähendab uut algkoodi, uut opsüsteemi, uut riistvaralist adresseerimist jne kuni infrani välja. ketta backup on üks asi, aga kui on vaja panna masinad n.ö nullist omavahel suhtlema siis sisuliselt tähendab see ajutiselt tagasi minevikku minemist- selles mõttes et uue masin-masin maailma ülesehitamine võtab aega. backport praeguste süsteemidega saab olema raskem, sest pole silda. võib teha mingeid vahesüsteeme, mis andmeid ja suhtlust mingil määral teisele kujule teisendavad, kuid ikkagi, mida rohkem on lülisid, seda aeglasem on side.
aga mis andmeleket puudutab, siis minu kõhutunne on vist mind õigesti hoiatanud- ma ei ole kunagi usaldanud isiklikke andmeid kusagile dropboxi. isegi google draivis hoian vähemtähtsaid andmeid. tundub et kõige mõistlikum taktika on pangakaardi pin-koodi taktika- kui pin tuleb õppida pähe, siis tuleks samamoodi pähe õppida ka erinevad pääsukoodid. niipalju kui suudad. ja ei salvesta brauseri paroolihoidlasse. lehtedel, kus tahad privaatsust, käid privaatsessiooniga- mitte nuhkimise pärast vaid põhimõtte pärast pole vaja neid vaikimisi pluginaid aktiveerida nagu javascripte, küpsiseid jne.
Mul on Intel I7-2700K protsessor.Kuidas ma peaks oma edaspidist elu sättima?
variandid
1. Protsessor minema visata. Soovitan pahanduste vältimiseks ja jahutuse parandamiseks 10-se puuriga prose keskele auk puurida.
Kui prostessorist kahju siis:
2. Statoili stardikomplekt (või mis selle firma nimi nüüd oligi)
3. Koduekstrast või mõnest hästivarustatud ehituspoest jupp nööri ning seepi. Puid meil Eestis on. Steppe pole.
Pakun välja veel ühe variandi, pane ÄA foorumisse - ma vabastan sind sellest taagast _________________ Lexuse summutist tuleb vaid lilleõisi ja ükssarvepeeru - HV foorum M: E36 varuosad
2018-01-04 The Register ülevaade Inteli pressiteatest We translated Intel's crap attempt to spin its way out of CPU security bug PR nightmare
Päris hea _________________ This message was sent from space using stargate
Inimene on troopiline AHV Aga kes on naine? Valge on ka inimene !
"Vaese inimese juttu räägid. Kui tundub kallis, siis on see kellelegi teisele mõeldud"
2018-01-04 The Register ülevaade Inteli pressiteatest We translated Intel's crap attempt to spin its way out of CPU security bug PR nightmare
Päris hea
Neid "nalju" on tänaseks palju rohkem olemas.
Kõige huvitavam "nali" - on hetkel vist küll see, et Microsoft lappis igaks juhuks ette ära ka AMD ning ARM Chipsettide turvaaugud.
Microsoft Releases Emergency Windows Update to Fix Intel, AMD, ARM Chip Bug All Windows versions provided with critical fix
Microsoft has just released an emergency Windows update to address a vulnerability in Intel, AMD, and ARM chipsets that would allow attackers to bypass kernel access protections and take control of systems.
The security flaw, which was first believed to exist only in Intel processors, but which was then confirmed to also affect other chips, exposes kernel memory areas in a way that allows all apps to read protected content, thus exposing the data to unauthorized access.
Microsoft responded fast with today’s update, shipping it to all versions of Windows. What’s important to know, however, is that only Windows 10 is getting the update automatically today, while Windows 7 and Windows 8.1 will be offered the update on Patch Tuesday next week. Users can, however, install it manually already via the Microsoft Update Catalog.
Systems enrolled in the Windows Insider program in the Fast ring received the patch before the end of 2017 and no further action is required.
Ega jah sellest oli kohe mainitud, et microsoft nn fixib ka AMD seda viga mida neil pole.Mis tähendab et amd võib ka nüüd windowsis mingi aeg raskeks minna kunu saab selgust, linuksis saab seda välja lülitada aga windowsis vast mitte.
Ega jah sellest oli kohe mainitud, et microsoft nn fixib ka AMD seda viga mida neil pole.Mis tähendab et amd võib ka nüüd windowsis mingi aeg raskeks minna kunu saab selgust, linuksis saab seda välja lülitada aga windowsis vast mitte.
Spectre on ka AMD prosedel auguks, aga selle vastu nagu ma aru saan rohtu polegi peale prose arhitektuuri muutuse.
Intel CEO to employees: 'We are going to take more risks'
Intel's Brian Krzanich wrote in a memo to employees on Tuesday that the company faces "an exciting challenge" in areas where it's an underdog.
The company's growth strategy is ultimately about data, he wrote.
põnevad katsumused tõesti
ja sama aeg müüs oma inteli osakuid... ju siis oli teada, et kuskilt midagi hakkab lekkima..
Kes ei hooma, siis Intel ei tee ainult CPUsid. Ehk ei ole vaja karta, et nad turul kohe nii kukuvad. Allikas
Aga jah, Inteli serveri CPUde müügile pani põntsu AMD oma Threadripperiga ja nüüd siis see turvaaugu krahh. _________________ Tähenärimine on hammastele kahjulik!
sorry aga pooled postid siin teemas ajavad aju lihtsalt valutama.
me teema on nii 2017 nagu keegi juba ütles.
opsüsteem puutub inteli vea puhul (meltdown) võrdlemisi vähe asjasse, tehtav on see kõigi all ja lahendus (mitte täielik lahendus vaid vähendab haavatavust oluliselt) praeguseks on kaiser patchid, mis kõigil kolmel suuremal opsüsteemil tulemas või olemas.
spectre on keerulisem ja haavatavad on kõik out-of-order prosed (ehk siis pea kõik tänapäevased laiatarbe prosed, kaasa arvatud arm). üht-teist annab teha softis haavatavuse vähendamiseks aga lõplikku lahendust ei ole.
edit:
muide, see jutt, et amd saab paigad ja neid pole vaja on lihtsalt rumal. andke andeks aga turva alal need asjad lihtsalt ei käi nii.
tegemist on avastatud ründe tüübiga, millele ka amd (ja ka arm) on potentsiaalselt haavatavad. ründe mõju vähendavad paigad lajatatakse peale kõigele ja siis hakatakse maha korjama kui on selgunud, et antud juhul kindlad protsessorid ei ole haavatavad. lisaks tasub lugeda ka meltdowni uurimustööd. uurijad märgivad seal muude protsessorite kohta nii:
tsitaat:
We also tried to reproduce the Meltdown bug on several ARM and AMD CPUs. However, we did not manage to successfully leak kernel memory with the attack described in Section 5, neither on ARM nor on AMD. The reasons for this can be manifold. First of all, our implementation might simply be too slow and a more optimized version might succeed. For instance, a more shallow out-of-order execution pipeline could tip the race condition towards against the data leakage. Similarly, if the processor lacks certain features, e.g., no re-order buffer, our current implementation might not be able to leak data. However, for both ARM and AMD, the toy example as described in Section 3 works reliably, indicating that out-of-order execution generally occurs and instructions past illegal memory accesses are also performed.
_________________ - londiste
...aga mina ei saa kunagi suureks!
viimati muutis londiste 04.01.2018 11:49:02, muudetud 2 korda
sorry aga pooled postid siin teemas ajavad aju lihtsalt valutama.
me teema on nii 2017 nagu keegi juba ütles.
opsüsteem puutub inteli vea puhul (meltdown) võrdlemisi vähe asjasse, tehtav on see kõigi all ja lahendus praeguseks on kaiser patchid, mis kõigil kolmel suuremal opsüsteemil tulemas või olemas.
spectre on keerulisem ja haavatavad on kõik out-of-order prosed (ehk siis pea kõik tänapäevased laiatarbe prosed, kaasa arvatud arm). üht-teist annab teha softis haavatavuse vähendamiseks aga lõplikku lahendust ei ole.
RedHat-i John Terrill ütleb üheselt, et Mõlema Probleemiga / keissiga tegeldakse praegu ühekorraga.
- nii, et "ära sae tükkideks" probleeme mida on mõistlik ühtse tervikuna lahendada.
Red Hat's John Terrill informs Softpedia today that Red Hat is aware of the two hardware bugs (Meltdown and Spectre) affecting most modern microprocessors and they're working on security updates to mitigate them on their supported operating systems.
Lugu ise: Red Hat Says Security Updates for Meltdown & Spectre Bugs May Affect Performance
Gives users the ability to enable the updates selectively to better understand their impact on sensitive workloads
Lisame veel otsapidi MediaTek, nVidia, Qualcomm...
NB! Et mitte ennatlikke arvamusi tekitada - näiteks "nVdia" nime mainimine ei tähenda, et nüüd on kohe kõik nVidia GPU'd puudutatud. Pigem on antud juhul juttu osadest kiipidest, mida Androidi telefonides on.
There are 3 known CVEs related to this issue in combination with Intel, AMD, and ARM architectures. Additional exploits for other architectures are also known to exist. These include IBM System Z, POWER8 (Big Endian and Little Endian), and POWER9 (Little Endian).
Lisaks Intel, AMD, ARM protsessoritele on probleemid ka IBM protsessoritega.
pigem siis juba terve x86(-64) fundamentaalselt auklik, mitte ainult kernelid, nendele ehitatud o/s'de haavatavusi pole mõtet mainidagi.
Keegi polegi rääkinud, et OS kernelid auklikud oleks. Inteli x86-64 on auklik. Ja võibolla ka AMD, ARM arhitektuur - see vajab veel kinnitust. _________________ There is no place like 127.0.0.1
londiste, ei arva ju? Ainus mis ma välja suutsin lugeda on, et Kerneli uuendused aitavad probleemi patchida. Nagu seda ka Inteli puhul. Sest no riistvara on võimatu patchida.
Uued prosed/mudelid on ARM sõnul veast priid riistvara tasemel või siis omavad kerneli patchi. ("All future Arm Cortex processors will be resilient to this style of attack or allow mitigation through kernel patches.").
Muidugi huvitaval kombel on kasutatud sõna mitigation - mitte fix vmt samal tasemel väidet.
tsitaat:
mitigation - the action of reducing the severity, seriousness, or painfulness of something.
_________________ There is no place like 127.0.0.1
viimati muutis Renka 04.01.2018 14:48:04, muudetud 1 kord
londiste, ei arva ju? Ainus mis ma välja suutsin lugeda on, et Kerneli uuendused aitavad probleemi patchida. Nagu seda ka Inteli puhul. Sest no riistvara on võimatu patchida.
Uued prosed/mudelid on ARM sõnul veast priid riistvara tasemel või siis omavad kerneli patchi. ("All future Arm Cortex processors will be resilient to this style of attack or allow mitigation through kernel patches.").
See on pigem lubadus, et me tulevikus (tõenäoliselt) fiksime selle probleemi ära.
sa ei või postitada uusi teemasid siia foorumisse sa ei või vastata selle foorumi teemadele sa ei või muuta oma postitusi selles foorumis sa ei või kustutada oma postitusi selles foorumis sa ei või vastata küsitlustele selles foorumis sa ei saa lisada manuseid selles foorumis sa võid manuseid alla laadida selles foorumis
Hinnavaatlus ei vastuta foorumis tehtud postituste eest.
:: KKK
:: otsing 
:: statistika
:: kasutajate nimekiri
:: kasutajate grupid
:: registreeri
teata moderaatorile
arvatavasti jah. Selle aasta alguses v eelmine aasta oli ju võimalus mingi 10 euri saada kui pentium 4 olid ostnud kunagi, class action lawsuit tõttu mille intel kaotas, täpselt sama teema, et perf oli reklaamitust väiksem. Äkki nüüd sama teema, nii umbes 15 aasta pärast?
Aga kes on naine? Valge on ka inimene !
