- Yettel topik
- Milyen okostelefont vegyek?
- Új Trónok Harca telefon érkezik
- Magisk
- Samsung Galaxy Watch7 - kötelező kör
- Android alkalmazások - szoftver kibeszélő topik
- Samsung Galaxy Z Fold7 - ezt vártuk, de…
- Fotók, videók mobillal
- Okosóra és okoskiegészítő topik
- Motorola Edge 50 Neo - az egyensúly gyengesége
Hirdetés
Új hozzászólás Aktív témák
-
Turcsika
tag
válasz
Pro!Petya
#186
üzenetére
Ügyes. Előbb valaki a tomshardware, most te a techspot. Zdnet-el valami gáz?
Eljutunk oda hogy holnap reggelre már csak az lesz a hiteles, aki nem hozza le a cikket?
Csak hogy könnyebb legyen megtalálni, a techspot is a kutatókra hivatkozik, és a amit a twitteren mondott, az nem zárja ki egymást, mert a bitek idő alatt byteokká állnak össze ugye?
Azt pedig már végképp nem tudom hova tenni, hogy az intel által finanszírozott kutatás miért veszi el az élét az egésznek.
![;]](//cdn.rios.hu/dl/s/v1.gif)
Digitaltrends? Velük valami gáz esetleg? Kutatókra hivatkoznak....
https://www.digitaltrends.com/computing/amd-take-a-way-security-vulnerabilities/"These are what are called side-channel attacks, which can be deployed by exploiting vulnerabilities in JavaScript via internet browsers such as Google Chrome or Mozilla Firefox. The researchers did suggest both hardware and software fixes which could protect against the vulnerabilities, but these may involve a tradeoff in performance as most Spectre fixes have done. The suggestions include temporarily disabling the processor’s way predictor to prevent attacks, using a keyed mapping function, and flushing the way predictor after use. These fixes are all things that would have to be engineered by AMD, so if you are a regular user then there’s not much you can do except wait to see what security measures AMD will bring in."
A kutatók a cache letiltását javasolják, de az nagyon brutál lenne.
-
Turcsika
tag
Techspot cikk: https://www.techspot.com/news/84309-amd-cpus-vulnerable-severe-new-side-channel-attack.html
"By combining the new exploits with existing methodologies, researchers from the Graz University of Technology were able to crack open all the secrets of AMD processors in labs and real-world servers."
"From there the researchers paired the exploits with existing attack patterns and weaknesses to stir up some trouble. They constructed a covert channel between two pieces of software that are not meant to be able to communicate. They were able to break ASLR (address space layout randomization) which is a key step in accessing processor memory. Subsequently, they were able to leak kernel data and even crack AES encryption keys."
Ez azért kicsit több mint pár bit.
Egyébként volt az intelnek olyan sebezhetősége, ahol baromi lassan, több óra alatt csak pár megabyte összefüggéstelen szemetet lehetett kifejteni, amiről azt sem tudta mi mihez tartozik. Ott tanultam meg, a hozzászólásokból, hogy ezek bizony nagyon nagyon súlyos dolgok.
Ez is érdekes:
"AMD has yet to respond to the paper's allegations, and perhaps most importantly, announce if this can be fixed via a firmware update and at what kind of performance cost. The flaws reportedly affect some older Athlon CPUs as well as all Ryzen and Threadripper processors."Reméljük nem csak a teljes cache tiltásával oldható meg a probléma. Mert azt ugye belátod, hogy ha már van esélye kilopni az adatot, innentől miért ne tehetné meg?
-
Turcsika
tag
válasz
wwenigma
#155
üzenetére
Bocsánat csak volt dolgom.
Nos a tomshardware kiértékelte a az amd válaszát, és nem nyugtatta meg őket.
"Update #1 3/8/2020 8:10am PT: AMD responded to our queries with an advisory the company posted to its website:
"We are aware of a new whitepaper that claims potential security exploits in AMD CPUs, whereby a malicious actor could manipulate a cache-related feature to potentially transmit user data in an unintended way. The researchers then pair this data path with known and mitigated software or speculative execution side channel vulnerabilities. AMD believes these are not new speculation-based attacks.""Illetve a kutatók is válaszoltak a kérdésre - tudod akinek (eddig) komoly volt számodra a véleménye:
Update #2 3/8/2020 3:00pm PT: The researchers contend that this vulnerability is still active.
https://twitter.com/PaulyAlcorn/status/1236755899781451779
Vagyis az amd közleménye egy nagy kamu. A sebezhetőség él. Ezt minősíteni sem lehet.
Gyors javítás az L1D cache letiltása, ami komoly sebesség csökkenést eredményez. De egyelőre próbálkoznak a hozzáférési idő változtatásával.
2011 óta tudnak a hibáról, nem is értem miért kellett beáldozni a biztonságot a sebesség oltárán.
-
Turcsika
tag
válasz
wwenigma
#139
üzenetére
Először is: [link]
"The research team said it notified AMD of the two issues in August 2019, however, the company has not publicly addressed the two issues, nor has it released microcode (CPU firmware) updates.
An AMD spokesperson was not available for comment on this article."Az Amd augusztus óta nem reagált, és a cikk írása idején sem érték el őket. De ahogy megjelentek a cikkek, rögtön kiadtak egy közleményt (tegnap, fél év után) , gondolom erre hivatkozol. Ebben a közleményben felhívnám a figyelmed arra hogy az amd azt hiszi. Azt hitte már párszor aztán sunyiban jöttek ki a mikrokód frissítésel.
Ez elég korrekt, fél éve tudnak a dologról és nem javították.A saját moddolt kernel gondolom ismeretlen a hekkerek körében.
Egyébként felhívnám a figyelmed a szinte 100%-os eredménnyel kihasznált támadásokra.
A másik hiba pedig nem spectre alapú, hanem azon a bizonyos véletlenszám generátoron alapul, ami kiderült hogy minden zen-ben hibás:
"Másodszor, a kutatók szerint a Collide + Probe támadást is felhasználták a különféle ASLR implementációk entrópiájának (véletlenszerű számok előállításának képessége) csökkentésére. Az ASLR az Adress Space Layout Randomization kifejezést jelenti, és egy biztonsági mechanizmus, amellyel véletlenszerűsítik és felfüggesztik azokat a helyeket, ahol a kód végrehajtja a processzor memóriájában. Ha a támadó megtöri az ASLR-t, akkor megjósolhatja, hogy hol hajtja végre a kód, és megtervezheti az egyéb támadásokat.
A kutatók szerint megtörték a kernel ASLR-t egy teljesen frissített Linux rendszeren, de az ASLR-t az operációs rendszerekre és az alkalmazásokra is, amelyek hipervizorokban futnak (felhő / virtualizált környezetek).
Ezek a támadások a rosszindulatú kód telepítését tette szükségessé ugyanazon a gépen, azonban a támadás az interneten is hordozható, egy böngészőbe betöltött rosszindulatú JavaScript segítségével."Feltételezhető hogy a véletlenszám generátoros hibára nincs is javítási lehetőség, gondolom ezért is van majd fél éve kussban az amd ezzel kapcsolatban.
-
Turcsika
tag
válasz
wwenigma
#121
üzenetére
A figyelmen kívül hagyással kapcsolatban valószínű erre regáltál:
"A cikk szerint a sebezhetőség kihasználásával nem jutsz túl sok adathoz. Szó szerint úgy fogalmaznak, hogy csak néhány bitet lehet kinyerni. Azzal meg túl sokra nem mész. Lehet, ennek lehet betudni, hogy a tom'sHARDWARE-en, meg az AMD hivatalos csatornáján kívül szinte sehol nem lehet olvasni róla."
A válaszomat fentebb olvashatod, közel 100%-os sikerességgel és 588.9 kB/s sebességgel jutnak adathoz.
Ami még furcsább, hogy az intel sebezhetőségi hírek alatt, ahol szintén sok esetben helyi hozzáférés, vagy bizonytalan, lassú adatkilopás volt lehetséges, egész más volt a véleményed: [link] [link]
[link] [link] [link] [link] [link]
Meglepő lesz, de egyet kell értenem veled, legalábbis amiket annó fogalmaztál meg, ezeket a helyén kell kezelni, és nem szabad elbagatelizálni a dolgokat. Az is tisztán látszik - és remélem véleményed még mindig áll - hogy az amd beáldozta a sebességet a biztonság terén, hiszen az intelhez nagyon hasonlító sebezhetőségről beszélünk.
Talán még rémisztőbb, hogy az amd-nél ez az új architektúrában van jelen, az intellel szemben, akinek a több éves procijaiban vannak ezek a sebezhetőségek.
Reméljük nem fog nagy sebesség kieséssel végződni a javításuk, bár pont a cache részt érinti. Ez a jövőben kiderül, illetve az is mi van még vissza.
-
Turcsika
tag
válasz
#04824576
#110
üzenetére
"1.: A cikk szerint a sebezhetőség kihasználásával nem jutsz túl sok adathoz. Szó szerint úgy fogalmaznak, hogy csak néhány bitet lehet kinyerni. Azzal meg túl sokra nem mész. Lehet, ennek lehet betudni, hogy a tom'sHARDWARE-en, meg az AMD hivatalos csatornáján kívül szinte sehol nem lehet olvasni róla."
Tévedsz, egyre többen írnak róla, bár hétvége van.
https://www.zdnet.com/article/amd-processors-from-2011-to-2019-vulnerable-to-two-new-attacks/Az adatokat 588.9 kB/s sebességgel tudják kiszűrni. Ez azért jó néhány bit.
Közel 100%-os sikerességgel:
-
Turcsika
tag
Pedig van bőven. Most is találtak kettőt is. Illetve még 2019 augusztusban...
Tudom Abu nincs hétvégén, de intelt érintő súlyos dolgokról azért össze szokott dobni egy extra cikket, ha esik ha fúj.... biztos most is gépel ezerrel....
-
Turcsika
tag
válasz
Lacika112
#65
üzenetére
AMD sebezhetőség. Rögtön kettő is. Innentől jönnek majd ezek is naponta, sajnos.
Minden 2011 után gyártott proci érintett, a zen, zen+ és zen2 is.
2019 augusztusban fedezték fel, lejárt a határidő, nyilvánosságra hozták. A cache érintett, lehet nem is lehet javítani.
Ezek a procik kuka:
![;]](http://cdn.rios.hu/dl/s/v1.gif)
Ez elég korrekt, fél éve tudnak a dologról és nem javították.
Közel 100%-os sikerességgel:
Új hozzászólás Aktív témák
Hirdetés
- GYÖNYÖRŰ iPhone 13 256GB Pink -1 ÉV GARANCIA - Kártyafüggetlen, MS3056, 94% Akkumulátor
- Panasonic CF-XZ6 AIO all-in-one laptop tablet 2k touch i5-7300u speciális ütésálló rugged
- Bomba ár! HP EliteBook 830 G5 - i5-8G I 8GB I 256GB SSD I 13,3" FHD I HDMI I Cam I W11 I Gari!
- LG 48B4 - 48" OLED - 4K 120Hz 1ms - NVIDIA G-Sync - FreeSync Premium - HDMI 2.1 - PS5 és Xbox Ready
- HIBÁTLAN iPhone XS Max 64GB Gold -1 ÉV GARANCIA - Kártyafüggetlen, MS2898, 100% Akkumulátor
Állásajánlatok
Cég: FOTC
Város: Budapest