Firefox 57.0.4

Byl vydán Mozilla Firefox 57.0.4. Řešen je bezpečnostní problém MFSA-2018-01 aneb Spectre. Podrobnosti v příspěvku na blogu Mozilly věnovaném bezpečnosti. Přesnost performance.now() je snížená z 5μs na 20μs. Podpora SharedArrayBuffer je ve výchozím stavu vypnuta. V následujících verzích budou implementována další doporučení dle článku Fantastic Timers and Where to Find Them: High-Resolution Microarchitectural Attacks in JavaScript (prezentace).

5.1.2018 01:11 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[jdsulin2]

To je sice fajn, ale uz ve zminenem paperu psali, ze cas se da pomerne dobe merit ve druhem vlaknu pomoci Web Workers a cyklu.

[koroptev]

a proc asi disablovlali ten sharedarraybuffer tvl

[jdsulin2]

Tak toho jsem si nevsiml, tak doufejme, ze jina IPC je v Html5 a Web Workers nepresna.

[koroptev]

chces rict pomala

[jdsulin2]

nepresna i pomala, kdyz budu vedet, ze postMessage bude trvat vzdycky stejnou dobu, tak je mi uplne jedno, jak pomale to bude, dulezite bude, ze mi do druheho vlakna prijde informace za stejny cas

[Jana]

Toto mi hlásí PC od dnešního rána. Nemohu otevřít Firefox. Předtím PC hlásil, že tento program mi zpomaluje PC. Jsem běžný uživatel, omlouvám se, že vstupuji do odborné debaty. Nevím, co s tím. Snad mi někdo poradíte?

Platform version 57.0.4 not compatible with minVersion, maxVersion 57.0.3

[coder]

Vypadá to na špatně nainstalovanou aktualizaci. Obecně by mělo pomoci Firefox odinstalovat a znovu nainstalovat.

[VM]

Ta přesnost timeru je snížena proto, aby útok pořád fungoval, jen musel měřit 4x déle, a rozbily se legitimní věci, co přesný čas potřebují? Nebo jsem něco přehlédl?

[aceman]

Predpokladam, ze ak zistenie "data su v cache" trva 5us a "data nie su v cache" trva 15us, tak znepresnenie casovaca tak, ze vzdy vrati minimalne 20us riesi tento problem, kedze uz nie je mozne zistit, ktory pripad nastal.

[Michal Kubeček]

Tak jednoduché to právě není. Pak by stačilo, když si daný bit "otisknu" na čtyři různá místa a změřím, jak dlouho trvalo přečíst všechna čtyři (nejspíš by stačily i tři kopie).

[j]

A ses si jistej tim, za na mereni neceho takovyho potrebuju zcela libovolny casovac? Proste si napisu funci (trebas hloupou prazdnou smycku), kterou si nakalibruju (= vyzkousim si jak dlouho trva +- na ruznym HW, kterej si navic muzu predem ocuchat)... a budu to merit pomoci ni. Mozna to nebude az tak presny, ale na zjisteni, jestli neco bylo rychlejs nez neco jinyho to bohate staci. Protoze ta smycka mi proste vrati mozna 3, mozna 5, mozna 8 cyklu, vs mozna +-15.

[koroptev]

ta smycka by musela bezet paralelne s tim kodem ktery meris; v js to znamena web worker; web worker komunikuje pres postmessage (to mi tu ted da nevim 20-50 tisic / s zprav) nebo pomoci prave veci jako sharedarraybuffer ktery svete div se disablovali nejspis proto ze ta rychlost s jakou slo na jedne strane zapsat a na druhe precist byla prilis velka.. tozn pouzitelna k mereni