abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
včera 23:33 | IT novinky

Na Startovači běží kampaň Bulánci se vrací aneb kampaň na podporu vývoje nové verze 2.0 dnes již dvacetileté počítačové hry Bulánci (Wikipedie, YouTube). Požadováno je 500 000 Kč. Aktuálně je vybráno 1 205 835 Kč.

Ladislav Hagara | Komentářů: 1
včera 22:22 | IT novinky

Humble Bundle nabízí balík knih o programování v Pythonu od vydavatelství No Starch Press v digitální podobě bez DRM, a to za zvýhodněnou cenu aspoň 1-15 eur. Akce Humble Book Bundle: Learn You More Python by No Starch Press trvá do 7. června. Znovu je možné rozdělit cenu mezi vydavatele, provozovatele a charitu dle vlastního výběru poté, co se zvedla vlna nevole, když provozovatel tuto možnost omezil.

… více »
Fluttershy, yay! | Komentářů: 0
včera 16:33 | Nová verze

Byla vydána verze 9.2 open source unixového operačního systému NetBSD (Wikipedie). Přehled novinek v poznámkách k vydání.

Ladislav Hagara | Komentářů: 0
včera 16:11 | Zajímavý článek

V dubnu loňského roku přešla společnost Cloudflare z reCAPTCHA na hCAPTCHA. Dalším krokem by mělo být úplné zrušení CAPTCHA. Dle aktuálního příspěvku Lidstvo promrhá na CAPTCHA zhruba 500 let denně. Je čas toto šílenství ukončit na blogu Cloudflare by řešením mělo být použití kryptografických tokenů (YubiKey) nebo například rozšíření webových prohlížečů Privacy Pass a systému "Cryptographic Attestation of Personhood" vycházejícího z Web Authentication (WebAuthn) Attestation. Vyzkoušet lze na stránce Cloudflare Challenge.

Ladislav Hagara | Komentářů: 14
včera 13:33 | Zajímavý software

Byl představen projekt Lima aneb Linux-on-Mac ("macOS subsystem for Linux", "containerd for Mac"). Cílem projektu je přinést možnosti WSL (Windows Subsystem for Linux) na macOS [Hacker News].

Ladislav Hagara | Komentářů: 10
15.5. 17:44 | Nová verze

Společnost PINE64 stojící za telefonem PinePhone, notebooky Pinebook a Pinebook Pro, IP kamerou PineCube, hodinkami PineTime, páječkou (pájecím perem) Pinecil, zdroji PinePower nebo RISC-V vývojovou deskou PineCone publikovala na svém blogu květnový souhrn novinek (YouTube). Zmínit lze například prototyp klávesnice k PinePhonu, vybraný název PineDio pro PINE64 LoRA ekosystém nebo Fedora Linux na Pinebooku Pro.

Ladislav Hagara | Komentářů: 18
15.5. 16:33 | Zajímavý software

V prosinci loňského roku byl představen Rizin, fork frameworku pro reverzní inženýrství a analýzu binárních souborů radare2 (r2). Vývojáři Rizinu si vzali s sebou Cutter, do té doby grafickou nadstavbu nad radare2 (r2). Vývojáři radare2 (r2) tedy přejmenovali svou nadstavbu na r2cutter. Dnes je to už ale iaito. Vývojáři se vrátili ke jménu projektu (iaito), ze kterého vznikl Cutter.

Ladislav Hagara | Komentářů: 0
15.5. 09:00 | Nová verze

Byla vydána nová verze 12.0.0 open source webového aplikačního frameworku Angular (Wikipedie). Přehled novinek v příspěvku na blogu.

Ladislav Hagara | Komentářů: 8
14.5. 14:00 | Nová verze

Po osmi letech vývoje byla vydána verze 3 programovacího jazyka Scala (Wikipedie). Přehled novinek v aktualizované dokumentaci.

Ladislav Hagara | Komentářů: 0
14.5. 11:00 | Komunita

O víkendu 15. a 16. května probíhá AlpineConf 2021, tj. online konference vývojářů a uživatelů Alpine Linuxu.

Ladislav Hagara | Komentářů: 0
Transakční aktualizace
 (19%)
 (4%)
 (5%)
 (4%)
 (9%)
 (59%)
Celkem 187 hlasů
 Komentářů: 0
Rozcestník

Proč je tolik povyku s meltdownem mezi normálními usery

26.1.2018 12:03 | Přečteno: 1482× | Linux

Tento blogový zápisek je spíše otázka proč je tolik povyku kvůli chybě, která je vlastně kritická pouze pro servery, které mají veřejnou IP adresu a normálních uživatelů se vlastně ani nedotýká, protože jsou schovaní ve valné většině případů minimálně za jedním NATem, takže se nikdo na jejich PC nedostane.

Pouze na serveru a VPSkách na něm, kde jsem měl nádherný uptime skoro 2 roky bez jediného restartu a aktualizace jádra, jsem musel ihned jádro aktualizovat a restartem tento nádherný bezproblémový uptime přerušit, protože toto by ani SELinux, který mám nasazený a tímnto server a VPSky zabezpečené, asi neochránil kdyby k něčemu přišlo.

Jediné co může omezit obyčejné usery na PC je horlivost distribucí v nasazování patchů zpomalujících CPU. Dokud nenavstěvují stránky porna, malvaru či podobné, tak ani přes js se k nim nemůže nikdo dostat, navíc toto by mělo být věcí Firefoxu, aby byl JS bezpečný a ne jádra. Naštěstí používám na PC Gentoo, kde si volby v jádře nezapínám a co se týče jádra Fedory(používám jí na ntb), tak uvažuju, že si udělám vlastní repo, kde budu distribuční jádra Fedoru překompilovávat s vypnutou ochranou.

       

Hodnocení: 14 %

        špatnédobré        

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

Komentáře

Vložit další komentář

vlastikroot avatar 26.1.2018 12:15 vlastikroot | skóre: 24 | blog: vlastikovo | Milevsko
Rozbalit Rozbalit vše Re: Proč je tolik povyku s meltdownem mezi normálními usery
IMHO to je jen medialne zajimave a urcite to bude mit vliv na marketing a akcie.
Sg1-game | We will destroys the Christian's legion ... and the cross, will be inverted | IP 80.188.182.6
26.1.2018 13:30 alkoholik | skóre: 39 | blog: Alkoholik
Rozbalit Rozbalit vše Re: Proč je tolik povyku s meltdownem mezi normálními usery
Protoze se jich to tyka: Meltdown means that userland code, such as JavaScript running in a web browser, can read kernel memory.
26.1.2018 13:41 deda.jabko | skóre: 23 | blog: blog co se jmenuje "každý den jinak" | za new york city dvakrát doleva a pak už se doptáte
Rozbalit Rozbalit vše Re: Proč je tolik povyku s meltdownem mezi normálními usery
Meltdown means that userland code, such as JavaScript running in a web browser, can read kernel memory.
Jeste bych dodal, ze jadro ma namapovanou celou fyzickou pamet do adresniho prostoru jadra, to znamena, ze jakykoliv proces (vcetne JS v prohlizeci) muzes cist pamet jakehokoliv procesu. Treba hesla nactena jinym prohlizecem/aplikaci do pameti, ...
Asi před rokem se dostali hackeři na servry Debianu a ukradli jim zdrojové kódy.
26.1.2018 14:31 CIJOML
Rozbalit Rozbalit vše Re: Proč je tolik povyku s meltdownem mezi normálními usery
Tohle je trochu zavadejici. Problem je, ze kazdy proces ma mapovanou svou pamet a i pamet jadra(respektive celou fyzickou pamet). To z duvodu aby nemuselo dochazet tak casto k prepnuti kontextu a vyliti kesi. Melo se za to, ze ochrana v CPU ze dana stranka je nepristupna je dostatecna. To se ukazalo jako omyl a s urcitymi triky je mozne aby proces precet i pamet jadra, kterou by nemel. Resenim je vypnuti mapovani cele pameti do pametoveho prostoru procesu a diky tomu i castejsi prepinani kontextu.

Je zrejme ze v pameti budou ulozene klice, hesla...

Ano je to problem ktery se tyka i uzivatelu hlavne tech, kteri pouzivaji PC k pristupu k bankovnictvi.
Heron avatar 27.1.2018 11:24 Heron | skóre: 52 | blog: root_at_heron | Olomouc
Rozbalit Rozbalit vše Re: Proč je tolik povyku s meltdownem mezi normálními usery
a s urcitymi triky
Což o to, s určitými triky dostupnými a zneužitelnými jen přes přesně poskládané instrukce, to bych ještě chápal. (Tj. bylo by nutné spustit přesně upravenou binárku na daném stroji.) Ale zarazilo mě, že se k těm trikům dostane i JS, který by měl běžet v podstatě interpretovaně v jakémsi virtuálním prostředí v prohlížeči.

Prostě z mého pohledu tahle nepříjemnost v CPU odhalila další chybu v konceptu a evidentně (soudě podle reakcí v podstatě všech co na to ve světě chtěli reagovat), se nikdo moc nemá k tomu vyřešit koncepční problém a spoléhá se jen na to, že to "někdo" v CPU opraví a svět bude zase krásný.

Prostě tady se desítky let tvořilo relativně bezpečné prostředi, oddělovaly se programy, uživatelé, sítě, řešily se podpisy a autentičnost balíčků (vůbec je pikantní, že dbáme na to, aby balíček s prohlížečem byl podepsán a ověřitelně přeložen a potom v něm dovolíme spustit libovolný kód) a kde co a potom si do "prohlížečů" strčíme spouštěč libovolného kódu, který ochotně a s nadšením spustí vše, co po síti přileze a budeme dokonce ještě řešit, jak tomu dát plný přístup k HW (třeba k GPU).

V podstatě to ani nijak jinak než průserem dopadnout nemohlo, ale nezdá se, že by se z toho někdo poučil.
27.1.2018 18:42 filbar | skóre: 36 | blog: Denicek_programatora | Ostrava
Rozbalit Rozbalit vše Re: Proč je tolik povyku s meltdownem mezi normálními usery
Stejně nejvíce nechápu to jak se JS může dostat k paměti procesoru. Vždyť přece běží v prohlížeči a dělá jenom to co mu prohlížeč dovolí, ne? :-O. Jsem už před 10 let www vývojař a ještě jsem se v JS nesetkal s příkazem pro čtení paměti. Můžu jenom manipulovat s DOMem v prohlížeči a maximálně si ajaxnout pro část stránky.
27.1.2018 19:03 ehm
Rozbalit Rozbalit vše Re: Proč je tolik povyku s meltdownem mezi normálními usery
Achjo... Je takový problém si o tom něco přečíst? Asi holt je jednodušší napsat blog a nic o tom nevědět.
28.1.2018 12:43 pc2005 | skóre: 38 | blog: GardenOfEdenConfiguration | liberec
Rozbalit Rozbalit vše Re: Proč je tolik povyku s meltdownem mezi normálními usery
Co je to "paměť procesoru". Uvažuješ na moc abstraktní úrovni. JS samozřejmě paměť potřebuje pro uložení samotnýho kódu a pro proměnný jako například pole. Ty data jsou samozřejmě ve stejným RAM modulu jako kernel paměť.

Spectre je ale hlavně o tom, že přinutíš cizí program, aby četl paměť kterou nemá, ale ta informace se rovnou nečte, ta se luští z vedlejšího chování běhu kódu. Konkrétně se měří čas jak dlouho trvá nějaké vlákno (protože procesor čeká desítky až stovky taktů na čtení z RAM).

Meltdown pak tohle používá ve spojení s architektonickou chybou x86 od Intelu, kde ti CPU leakuje informaci i rychlosti při čtení kernel paměti.
little.owl avatar 27.1.2018 19:34 little.owl | skóre: 22 | Brighton/Praha
Rozbalit Rozbalit vše Re: Proč je tolik povyku s meltdownem mezi normálními usery
V podstatě to ani nijak jinak než průserem dopadnout nemohlo, ale nezdá se, že by se z toho někdo poučil.
ARM ted prekopava kvuli temto problemum architekturu dalsi generace jader, takze se poucil, ale vysledky budou viditelne tak za dva roky.
$ man rtfm
27.1.2018 19:36 Käyttäjä 11133 | skóre: 58 | blog: Ajattelee menneisyyttä
Rozbalit Rozbalit vše Re: Proč je tolik povyku s meltdownem mezi normálními usery
Jojo, z průseru do průseru :D
28.1.2018 12:47 pc2005 | skóre: 38 | blog: GardenOfEdenConfiguration | liberec
Rozbalit Rozbalit vše Re: Proč je tolik povyku s meltdownem mezi normálními usery
Spíš ještě dýl. Leda by všem zákazníkům o licenci dali update zdarma. U ARMu je AFAIK jedna z licencí přece ta, že ti prodají netlist a můžeš ho po předem dohodnutý čas vyrábět.
26.1.2018 15:28 R
Rozbalit Rozbalit vše Re: Proč je tolik povyku s meltdownem mezi normálními usery
Kedze bezny uzivatel spusta nezname nedoveryhodne programy z webu s pravami administratora, tak si neviem predstavit, ako by ho tato diera mohla ohrozit este viac.
26.1.2018 13:58 Michal Kubeček | skóre: 71 | Luštěnice
Rozbalit Rozbalit vše Re: Proč je tolik povyku s meltdownem mezi normálními usery
která je vlastně kritická pouze pro servery, které mají veřejnou IP adresu

Tuhle informaci máte odkud?

Dokud nenavstěvují stránky porna, malvaru či podobné, tak ani přes js se k nim nemůže nikdo dostat

Myslel jsem - asi naivně - že téhle mantře nemůže nikdo, kdo má aspoň trochu představu o fungování věcí, věřit.

a co se týče jádra Fedory(používám jí na ntb), tak uvažuju, že si udělám vlastní repo, kde budu distribuční jádra Fedoru překompilovávat s vypnutou ochranou

Když vás to baví, proč ne, ale nebylo by o chloupek jednodušší to prostě vypnout příslušnými command line parametry?

Migi avatar 26.1.2018 14:30 Migi | skóre: 58 | blog: Mig_Alley
Rozbalit Rozbalit vše Re: Proč je tolik povyku s meltdownem mezi normálními usery
A já měl za to, že už se všeoběcně ví, že NAT je asi taková uroven ochrany, jako petlice ze špagátu.
26.1.2018 14:43 chrono
Rozbalit Rozbalit vše Re: Proč je tolik povyku s meltdownem mezi normálními usery
KPTI (ochrana proti Meltdown) sa dá bez problémov zakázať pri štartovaní OS (prípadne kedykoľvek po spustení OS), takže nie je potrebné čokoľvek kompilovať.
limit_false avatar 26.1.2018 16:02 limit_false | skóre: 23 | blog: limit_false
Rozbalit Rozbalit vše Re: Proč je tolik povyku s meltdownem mezi normálními usery
2 roky uptime bez updatu jadra? Tak to skonci se adminovanim serveru. Behem tech dvou let se objevilo vicero local exploitu jak local privilege escalation na linux samotny, nejznamejsi asi dirtycow (coz pak plati i na kontejnerove virtualizace) a dalsi privilege escalationy i na dalsi nekontejnerove virtualizacni reseni.
When people want prime order group, give them prime order group.
26.1.2018 16:53 Käyttäjä 11133 | skóre: 58 | blog: Ajattelee menneisyyttä
Rozbalit Rozbalit vše Re: Proč je tolik povyku s meltdownem mezi normálními usery
A proč by mě local exploty na (některých) serverech měly znepokojovat? To snad záleží na use-case toho serveru, ne?
27.1.2018 18:44 filbar | skóre: 36 | blog: Denicek_programatora | Ostrava
Rozbalit Rozbalit vše Re: Proč je tolik povyku s meltdownem mezi normálními usery
To aby se někdo dostal na server a mohl zneužít chybu jádra, to by musel nejprve přece prolomit ssh, postfixe, bo apache a něco jím podstrčít. A ty služby mám chráněné pomocí SELinuxu, dokonce ještě přísněji než je výchozí politika.
27.1.2018 18:46 Käyttäjä 11133 | skóre: 58 | blog: Ajattelee menneisyyttä
Rozbalit Rozbalit vše Re: Proč je tolik povyku s meltdownem mezi normálními usery
Nebo třeba wordpress ;-)
27.1.2018 18:52 filbar | skóre: 36 | blog: Denicek_programatora | Ostrava
Rozbalit Rozbalit vše Re: Proč je tolik povyku s meltdownem mezi normálními usery
Apache toho mám obzvlášť chráněného pomocí SELinuxu - mám pro něj napsanou dokonce i vlastní pravidla SELinuxu, které jsou ještě přísnější než standartní, tak tudy se doufám nikdo nedostane. A navíc mám na serveru pouze provéřené klienty s Joomlou, nebo Nette, čímž nechci říct, že by se v Joomle nemohla vyskytnout taková chyba, ale že znám nainstalované rozšíření.
28.1.2018 01:07 MadCatX
Rozbalit Rozbalit vše Re: Proč je tolik povyku s meltdownem mezi normálními usery
Koncept Security by ignorance?
28.1.2018 01:13 Käyttäjä 11133 | skóre: 58 | blog: Ajattelee menneisyyttä
Rozbalit Rozbalit vše Re: Proč je tolik povyku s meltdownem mezi normálními usery
Fillbar už své porzumění problematice IT bezpečnosti tady prezentoval dostatečně k tomu aby sis na tohle udělal názor, nemyslíš? :) Ignorance is bliss :)
28.1.2018 02:10 Kkt1
Rozbalit Rozbalit vše Re: Proč je tolik povyku s meltdownem mezi normálními usery
Dej URL, nasdilim nejaky soubor z tveho servru...
26.1.2018 17:38 MadCatX | skóre: 28 | blog: dev_urandom
Rozbalit Rozbalit vše Re: Proč je tolik povyku s meltdownem mezi normálními usery
Obávám se, že jsi vůbec nepochopil, v čem je Meltdown tak kritický. Nějaký vlastní JS je možné propašovat kamkoliv, stačí se jen zamyslet, kolik webů je postavených na různých neaktualizovaných Drupalech a Wordpressech. Po prohlížečích je rozumně možné chtít jen to, aby zajistily, že se JS nedostane mimo sandbox a případně nevyzrazovaly informace ve vyšších detailech, než je nutné. Další problém je, že výkonnostní dopady KPTI, retpoline apod. se i těch běžných uživatelů mohou nepříjemně dotknout at už jsou reálně napadnutelní nebo ne.
26.1.2018 18:26 Michal Kubeček | skóre: 71 | Luštěnice
Rozbalit Rozbalit vše Re: Proč je tolik povyku s meltdownem mezi normálními usery
To, že ten JavaScript může číst (libovolnou) paměť jádra, je také běžné i bez Meltdownu?
27.1.2018 02:54 pc2005 | skóre: 38 | blog: GardenOfEdenConfiguration | liberec
Rozbalit Rozbalit vše Re: Proč je tolik povyku s meltdownem mezi normálními usery
No povyku je mezi normálními usery i proto, že Meltdown svezl i se Spectrem (i mě chvíli trvalo než jsem pochopil rozdíly). Záplaty Meltdownu zpomalují počítač komukoliv (flush TLB, ale i PCID (?)) a spectre záplaty pak zamrzají windowsy.
Firefoxu, aby byl JS bezpečný a ne jádra.
Meltdown je architektonická chyba CPU, rušící rozdělení privilegovaných okruhů běhu kódu. Libovolný software obvykle není schopen běžet na nedůvěryhodném HW důvěryhodně.
27.1.2018 07:10 Radovan
Rozbalit Rozbalit vše Re: Proč je tolik povyku s meltdownem mezi normálními usery
To už by rovnou mohl chtít, aby FF byl stejně bezpečný i kdyby běžel na 8086 :-D
1.2.2018 00:31 D-Evil | skóre: 25 | Praha
Rozbalit Rozbalit vše Re: Proč je tolik povyku s meltdownem mezi normálními usery
Texty tohohle typu jsou přesně ten důvod, proč si myslim, že je blogování to nejhorší, co Internet mohlo potkat. Pevně doufám, že tohle uvidí co nejmíň lidí a že si nikdo z nich nebude myslet, že máte pravdu.

Založit nové vláknoNahoru

ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.