Daniel Gruss no durmió mucho la noche en la que pirateó su propio ordenador y expuso un defecto en la mayoría de los procesadores fabricados en las últimas dos décadas.
#1:
"Jann Horn desarrolló todo esto de manera independiente; eso es increíblemente impresionante", dijo. "Desarrollamos ataques muy similares, pero éramos un equipo de 10 investigadores".
#7:
#6 Intel ha sacado una actualización de firmware.
Para los navegador: @2947900
#22:
#21 Desde luego, y de hecho no ha fallado ninguna característica por separado. Al igual que un mentos no hace nada, una coca-cola no hace nada, y mezclarlos provoca un géiser.
El problema está en la interacción de los componentes. Y todas las interacciones posibles entre todos los componentes del procesador no las vas a poder probar, sólo vas a poder comprobar las que se te ocurran que tienen interés.
Teniendo en cuenta lo enrevesado del mecanismo de Meltdown, me creo perfectamente que no se le haya ocurrido a nadie hasta ahora. Porque los ingenieros de Intel son listos, pero los investigadores externos también, y tampoco lo habían encontrado hasta ahora.
"Jann Horn desarrolló todo esto de manera independiente; eso es increíblemente impresionante", dijo. "Desarrollamos ataques muy similares, pero éramos un equipo de 10 investigadores".
#9 Supuestamente, el chanchullo se destapó antes de tiempo por gente que leyó los comentarios del código del kernel y las conversaciones de los desarrolladores de éste, donde hablaban de la mejor forma de hacerlo. Así que tengo la duda de si en realidad ya viene parcheado en los últimos kernels desde hace algún tiempo. o hay que esperara que salga uno nuevo.
#21 Desde luego, y de hecho no ha fallado ninguna característica por separado. Al igual que un mentos no hace nada, una coca-cola no hace nada, y mezclarlos provoca un géiser.
El problema está en la interacción de los componentes. Y todas las interacciones posibles entre todos los componentes del procesador no las vas a poder probar, sólo vas a poder comprobar las que se te ocurran que tienen interés.
Teniendo en cuenta lo enrevesado del mecanismo de Meltdown, me creo perfectamente que no se le haya ocurrido a nadie hasta ahora. Porque los ingenieros de Intel son listos, pero los investigadores externos también, y tampoco lo habían encontrado hasta ahora.
#21 Para encontrar estas cosas se ponen equipos especializados en QA que revisan todo lo que se les ocurre, y en 20 años no se les ha pasado por la cabeza esa posibilidad, ni a ellos ni como dice #22 a ninguno de los miles de catedráticos, piratas, investigadores y demás que se han dedicado a intentar encontrar fallos a los procesadores. Además puede pasar que siendo algo tan estándar se diera por super probado en anteriores versiones y a no mucha gente le diera por revisar si 1 + 1 seguían siendo 2 .
#18"porque nadie se arriesga a sacar procesadores a la venta sin haberlos probado".
Una cosa es probar los procesadores y otra probar a ver si puedes tomar tiempos para deducir qué dirección está en la cache para saber qué offset se ha usado en un acceso a memoria indirecto que usa una dirección privilegiada, para así conocer su valor. No es como probar a ver si 1+1 da 2, desde luego.
#20 No, pero si implementas una característica en tus diseños se supone que sabes cómo funciona y cómo va a comportarse. Digo yo que en Intel no contratan a monos para hacer los diseños, vamos, doy por sentado que son ingenieros que se cuentan entre los mejores del mundo en la materia que les corresponde.
#14#15 Es literalmente imposible que una empresa como Intel desconociese este problema, porque nadie se arriesga a sacar procesadores a la venta sin haberlos probado, "a ver qué sale". Esto constituye uno de los delitos de estafa internacionales más gordos de la historia, y en una sociedad mínimamente decente los responsables pasarían al menos diez añitos en prisión y se les aplicaría pena accesoria de inhabilitación para cargo relacionado con la industria informática y electrónica de 20 años.
#14 Es un ataque gravísimo, si quisieran dejar un backdoor, lo harían como lo hacen otras empresas tramposas, pero este error es otra cosa. No te creas que cualquiera informático puede tan si quiera comprenderlo es complejísimo.
Mozilla me dio un aviso para actualizar algo por seguridad pero ya no me fío de nada. Alguien sabe si los navegadores también están actualizandose para esto?
En fedora las actualizaciones para meltdown están disponibles desde el viernes
En cuanto a si se aprecia disminución de rendimiento, mi experiencia es que en equipos de uso mixto Workstation/server solo he notado bajada de rendimiento en las máquinas virtuales que tengo con virtualbox
Comentarios
"Jann Horn desarrolló todo esto de manera independiente; eso es increíblemente impresionante", dijo. "Desarrollamos ataques muy similares, pero éramos un equipo de 10 investigadores".
Gracias@personare.
#rel:
La fundación RISC-V da importancia a las ISA de código abierto tras el descubrimiento de «Meltdown» y «Spectre» [ING]
La fundación RISC-V da importancia a las ISA de có...
tomshardware.comIntel lanzó su generación Coffee Lake sabiendo que los procesadores eran vulnerables a Meltdown y Spectre
Intel lanzó su generación Coffee Lake sabiendo que...
elchapuzasinformatico.comhttps://www.meneame.net/story/intel-lanzo-generacion-coffee-lake-sabiendo-procesadores-eran
Tu microprocesador Intel es inseguro desde 1995
Tu microprocesador Intel es inseguro desde 1995
francis.naukas.comPublicados los detalles de las vulnerabilidades Meltdown y Spectre que afectan a la mayoría de procesadores en uso (ING)
Publicados los detalles de las vulnerabilidades Me...
meltdownattack.com#8 Yo uso Mac, y ya está actualizado
#9 Supuestamente, el chanchullo se destapó antes de tiempo por gente que leyó los comentarios del código del kernel y las conversaciones de los desarrolladores de éste, donde hablaban de la mejor forma de hacerlo. Así que tengo la duda de si en realidad ya viene parcheado en los últimos kernels desde hace algún tiempo. o hay que esperara que salga uno nuevo.
#9 para los intel de Mac has encontrado comparativas o info sobre como les afecta en rendimiento?
#9 Pero sólo para la última versión del macOS
#21 Desde luego, y de hecho no ha fallado ninguna característica por separado. Al igual que un mentos no hace nada, una coca-cola no hace nada, y mezclarlos provoca un géiser.
El problema está en la interacción de los componentes. Y todas las interacciones posibles entre todos los componentes del procesador no las vas a poder probar, sólo vas a poder comprobar las que se te ocurran que tienen interés.
Teniendo en cuenta lo enrevesado del mecanismo de Meltdown, me creo perfectamente que no se le haya ocurrido a nadie hasta ahora. Porque los ingenieros de Intel son listos, pero los investigadores externos también, y tampoco lo habían encontrado hasta ahora.
#21 Para encontrar estas cosas se ponen equipos especializados en QA que revisan todo lo que se les ocurre, y en 20 años no se les ha pasado por la cabeza esa posibilidad, ni a ellos ni como dice #22 a ninguno de los miles de catedráticos, piratas, investigadores y demás que se han dedicado a intentar encontrar fallos a los procesadores. Además puede pasar que siendo algo tan estándar se diera por super probado en anteriores versiones y a no mucha gente le diera por revisar si 1 + 1 seguían siendo 2 .
Para quién le sirva de algo, sumario del estado de los diferentes SO respecto de Spectre y Meltdown:
https://github.com/hannob/meltdownspectre-patches
#18 "porque nadie se arriesga a sacar procesadores a la venta sin haberlos probado".
Una cosa es probar los procesadores y otra probar a ver si puedes tomar tiempos para deducir qué dirección está en la cache para saber qué offset se ha usado en un acceso a memoria indirecto que usa una dirección privilegiada, para así conocer su valor. No es como probar a ver si 1+1 da 2, desde luego.
#20 No, pero si implementas una característica en tus diseños se supone que sabes cómo funciona y cómo va a comportarse. Digo yo que en Intel no contratan a monos para hacer los diseños, vamos, doy por sentado que son ingenieros que se cuentan entre los mejores del mundo en la materia que les corresponde.
20 años con un problema... y no lo han visto... o no lo han querido ver?
#14 no lo han querido ver desde luego
#14 #15 Es literalmente imposible que una empresa como Intel desconociese este problema, porque nadie se arriesga a sacar procesadores a la venta sin haberlos probado, "a ver qué sale". Esto constituye uno de los delitos de estafa internacionales más gordos de la historia, y en una sociedad mínimamente decente los responsables pasarían al menos diez añitos en prisión y se les aplicaría pena accesoria de inhabilitación para cargo relacionado con la industria informática y electrónica de 20 años.
#14 Después de 20 años, otra herramienta de espionaje masivo que se les va a tomar Fanta...
#14 Es un ataque gravísimo, si quisieran dejar un backdoor, lo harían como lo hacen otras empresas tramposas, pero este error es otra cosa. No te creas que cualquiera informático puede tan si quiera comprenderlo es complejísimo.
¿Cómo va el proceso? ¿Ya tenéis las actualizaciones que corrigen esto?
#4 Qué procesador tienes?
#5 En el portátil un i3 M370 y en el sobremesa un Pentium Core G3420. Y luego el A8 del Beaglebone Black. . .
#6 Intel ha sacado una actualización de firmware.
Para los navegador: @2947900
#7 Supongo que te refieres al paquete intel-microcode, ese se ha actualizado hoy:
http://metadata.ftp-master.debian.org/changelogs/non-free/i/intel-microcode/intel-microcode_3.20171215.1_changelog
Pero eso solo protege contra la variante 2 de Spectre, queda actualizar el kernel ¿no?
#8
Joer con Intel ...
En la web de intel oficial (downloadcenter.intel.com) el último microcode es de noviembre.
Mozilla me dio un aviso para actualizar algo por seguridad pero ya no me fío de nada. Alguien sabe si los navegadores también están actualizandose para esto?
#23 Sí, por javascript se puede explotar el bug.
En fedora las actualizaciones para meltdown están disponibles desde el viernes
En cuanto a si se aprecia disminución de rendimiento, mi experiencia es que en equipos de uso mixto Workstation/server solo he notado bajada de rendimiento en las máquinas virtuales que tengo con virtualbox