Aktuální stav Meltdown a Spectre v Linuxu

Greg Kroah-Hartman se v příspěvku na svém blogu věnuje aktuálnímu stavu řešení bezpečnostních chyb Meltdown a Spectre v Linuxu. Jak je na tom Váš Linux? Stačí spustit příkaz "grep . /sys/devices/system/cpu/vulnerabilities/*". Pro více informací lze doporučit Spectre & Meltdown Checker.

21.1.2018 21:55 | Ladislav Hagara | Zajímavý článek

Komentáře

[R]

$ grep . /sys/devices/system/cpu/vulnerabilities/*
grep: /sys/devices/system/cpu/vulnerabilities/*: No such file or directory

A ten skript je na k***t, pretoze nezistuje skutocny stav (ne)fungovania exploitov.

[Max]

Také jsem na to koukal s podobným závěrem. Jinak podpora "/sys/devices/system/cpu/vulnerabilities" je ve stavu, kdy je venku jen patch. Takže bude chvíli trvat, než to někam probublá.
Zdar Max

[little.owl]

Takže bude chvíli trvat, než to někam probublá.

Nicmene zda se ze nektere "enterprise" distribuce maji vazny problem s rychlosti probublavani, jak poznamenava GKH.

[Max]

Arch to také ještě nemá. A to je rolling release distro.
Zdar Max

[Ja]

Fedora už to má a skoro bych byl radši, kdyby neměla .

[Wolf]

To je divny, protoze:

[wolf@saito build]$ grep . /sys/devices/system/cpu/vulnerabilities/* /sys/devices/system/cpu/vulnerabilities/meltdown:Mitigation: PTI /sys/devices/system/cpu/vulnerabilities/spectre_v1:Vulnerable /sys/devices/system/cpu/vulnerabilities/spectre_v2:Vulnerable: Minimal generic ASM retpoline

[wolf@saito build]$ uname -a Linux saito 4.14.14-1-hardened #1 SMP PREEMPT Thu Jan 18 03:04:07 CET 2018 x86_64 GNU/Linux

Mozna je to tim hardened kernelem?

[Max]

Teď už ano, 4.14.13 ten patch nemělo, build 10.1. O víkendu jsem myslím update ještě zkoušel a nenabízelo mi to novější jádro, teď už mi to 4.14.14 nabízí, takže je to jasný.
Zdar Max

[Jesus Jimenez]

Muj Arch jo.

Linux claire 4.14.14-1-ARCH #1 SMP PREEMPT Fri Jan 19 18:42:04 UTC 2018 x86_64 GNU/Linux

grep . /sys/devices/system/cpu/vulnerabilities/*
/sys/devices/system/cpu/vulnerabilities/meltdown:Mitigation: PTI
/sys/devices/system/cpu/vulnerabilities/spectre_v1:Vulnerable
/sys/devices/system/cpu/vulnerabilities/spectre_v2:Mitigation: Full generic retpoline

[little.owl]

Arch bych do kategrie "enterprise" nezaradil ani ve snu .. .

[Max]

Básník tím chtěl říci, že enterprise distra mají občas skluz, než něco otestujou a pošlou ven a v tomto případě to ještě nebylo ani dokonce v rolling release distri, který tam vesměs pouští všechno možný relativně hned.
Zdar Max

[little.owl]

že enterprise distra mají občas skluz, než něco otestujou

To bezesporu. Otazkou je jak dlouho jim to trva a zdali jsou vubec schopni opravy v rozumne dobe backportovat.

[Michal Kubeček]

No, pořád spíš než ostatní distribuce, o oficiálních a polooficiálních stable větvích nemluvě.

[Jesus Jimenez]

Netreba se divit, to snad vsichni vime, ne?

[petrfm]

Tak ja vam to prelozim. Meltdown a spektr jsou v pohode, zatim mi PC funguje, aktualizovat budu, az se ti k*koti domluvi, jak to budou resit. Zatim nikdo nic nevi a zaplaty toho vice podelaji, nez vyresi.

[Harvie.CZ]

Meltdown ani spectre pokud vim nezpusobuji, ze by PC nefungovalo. Spis, ze javascript v jednom tabu muze cist data sousedniho tabu s internetbankingem nebo udajema o kreditce na eshopu.

[jozo]

no ak na tom PC nema dolezite veci tak mu to moze byt jedno. napr ja mam jednu instalaciu w7 cisto kvoli hram - absolutne ma nezaujima bezpecnost (aj tak su vsetky cracknute) a dost by ma stvalo ak by som stratil vykon kvoli bezpecnosti

[Vašek]

+1

[Max]

U her toho výkonu moc neztratíš, údajně se to blíží k nule.
Zdar Max

[rbo]

"udajne" se to k nule teda neblizi vubec. Ano FPS se mozna zmeni o 2-3, ale kdyz ma nekdo hru na SSD tak nahravani levelu jde slusne do kytek...

[pc2005]

Prostě jednoduše: když aplikace volá často jádro, tak to zpomalí.

[little.owl]

údajně se to blíží k nule.

Tak "udajne" mozna ano, prakticky nikoliv, viz zde.

[Max]

Na té diskusi je zajímavá jedna věc :

So most games are not impacted, because there are not many syscalls / user<>kernel commands going on. But if Denuvo (I'm not too deep into that stuff, just a speculation about my AFAIK status) adds some layers between the game, the OS and adds some virtual machine stuff ... well, that needs many syscalls. So that might be a good reason, why some games have a way bigger impact then others. Especially on older hardware.

Zdar Max

[Max]

Resp. dvě věci, o existenci inspectre jsem netušil :).
Zdar Max

[Ovoce]

Na Windows 7 to zrovna budeš mít zazáplatovaný.

[cronin]

Ani dieselgate patch údajne nemal mať vplyv na výkon môjho auta. Ale má. A nie je to vplyv, ktorý by sa mi páčil.

[Max]

Poděl se s náma.
Zdar Max

[cronin]

Výkon klesol, rozdiel je nepriamoúmerný otáčkam, t.j. čím nižšie otáčky, tým je pokles výraznejší.

[Max]

A jaké jsou další možnosti? Můžeš si to nechat přečipovat?
To by jsi pak ale asi nedal STK, co?
Zdar Max

[petrfm]

Tak těch pár stovek na STK za to, že můžu srát na emise a ekoteroristy z fašistického německa za to stojí, ne?

[petrfm]

A člověk co nemá na úplatky si může koupit třeba jízdní kolo

[cronin]

Pokiaľ človek nechce podvádzať na nijakom leveli, možnosti sú dve. Nenechať si auto opatchovať koncernom, zrieknuť sa tuším 25,-Euro odmeny, ktorú za to ponúkajú a riskovať, že niekedy v budúcnosti legislatívne zatrhnú emisnú kontrolu neopatchovaným autám; taký múdry som ale až po opatchovaní. Alebo si nechať auto opatchovať, zvyknúť si na nižší výkon; najmä rozjazd a radenie do vyššej rýchlosti sa stane také "benzínové". Normálne ten motor zvládal predpisových 50km/h na štvorke "s prstom v nose", teraz sa zjavne trápi.

Čipovanie je stále možnosť. Táto možnosť ale stále balansuje na hrane zákona a aj keď je dnes tolerovaná, zajtra byť nemusí. A toľká irónia, že treba zaplatiť čipovanie za rádovo stovky Eur aby človek dostal naspäť to, za čo výrobcovi auta pri jeho kúpe zaplatil. Je to taká auto-moto variácia na spomaľovanie iPhonov.

Takže zatiaľ s tým nejako žijem:

- Tankujem prémiovú naftu, aj keď toto skôr súvisí s rapídnym poklesom kvality "štandardnej" nafty ako s dieselgate.

- Nízke voľnobežné otáčky v zime rieši elektronika vďaka nízkej vonkajšej teplote; v lete poriešim mechanicky jemným podstavením dorazu plynového pedála, keďže značkový servis sa vyjadril, že oni nemôžu zmeniť nastavenie voľnobežných otáčok v riadiacej jednotke.

- V pláne mám zaobstarať si športový vzduchový filter, "just because I can".

[petrfm]

Omg. Sportovni vzduchovy filter na chrochtadle. Tak ty mas dost. Chces aby to delalo vetsi randal a drive to zheblo, vid?

[R]

Na vykon mojho auta vplyv nemal. Pretoze mam benzin a nie VW :D

Podobne by som bol nerad, keby "opravy" spomalovali beh na CPU, ktore danym bug nemaju.

[pc2005]

Na windows+amd ty záplaty způsobovaly pády.

[Ovoce]

To není přesné.

U Windows šlo o to, že na starých AMD (Athlon 64) to přestalo bootovat, už je to ale opravené, takže WU už ty záplaty zase servíruje.

Pády jsou na Intelu. Procesory od Sandy Bridge po ty aktuální se náhodně restartujou (tj. ty pády), kdy nainstalujete tu aktualizace mikrokódu. https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00088&languageid=en-fr

[Ovoce]

Hmm, koukám, že ta poslední verze mluví o restartech jenom na Braodwellu a Haswellu, ale předchozí update říkal, že to může nastat in na Sandy Bridge, Ivy Bridge, Skylake a Kaby Lake. Ale na Haswellu a Broadwellu to asi padá nejčastějš.

[pc2005]

Aha já už v tom mám guláš, ale díky za vysvětlení.

[petrfm]

A to někdo někdy viděl, nebo se to jenom říká, že to kámošův kámoš kdesi u kámoše viděl, že to jde?

[petrfm]

IMHO totiž, kdyby to šlo, tak je těch ukradených kreditek za týden tolik, že eshopy platbu kartou plošně zruší a je kolem toho jiné haló, než jeden článek kdesi na netu.

[hz]

Prostě to teoreticky jde. Dělá ti to trolení dobře?

[petrfm]

Teoreticky mám třímetrový péro a dokážu s ním vyšívat. A teoreticky jsem nikdy v životě netrolil, ani se neposmíval teoretikům.

[Ovoce]

"teoreticky" neznamená "vůbec to není pravda" :)

[petrfm]

Ale teoreticky to taky znamená, že to nejde. Protože teoreticky se může ten systém zrestartovat přesně v tom okamžiku, kdy se o ten útok někdo pokusí. Chápeš to? Teoreticky se můžeš zítra nažrat, ale pokud pro to něco prakticky neuděláš, tak s jistotou chcípneš hlady.

Takže tyhle teoretické žvásty si nechej do školy, dospělé lidi zajímá hlavně praxe

[Ovoce]

No vždyť já taky mluvil o praxi. Tvoje zavádějící použití slova "teoreticky" bylo pro tebe velice praktické :)

[little.owl]

Spise je zajimava situace ohledne patchu kernelu, kdy Intel tlaci reseni ktere nedava moc smyslu - skoro to vypada, ze Intel stale neco taji a nebo nema v umylu problem resit. Linus na to reagoval i na jeho pomery pomerne ostre zde - "BULLSHIT", "COMPLETE AND UTTER GARBAGE", "WHAT THE F*CK IS GOING ON?", "literally mis-designed by morons" - vuci firmam platicim plno kernel vyvojaru je obvykle smirlivejsi.

[pc2005]

Jo taky bych řekl, že intel může mít pár kostlivců ve skříni.

[JoHnY]

Tak jsem se docetl co ma Intel v planu a uz asi chapu, proc Linux tak sproste nadava.:

Skylake a novejsi chipy od Intelu maji problem v tom, ze u nich retpoline plne nepatchuje spectre. Resenim je pouziti IBRS, coz je funkce, kterou pridava novy microcode Intelu. Rozdil je v tom, ze implementace v jadre je proti retpoline pekny hnus (podle Linus, nedokazu posoudit) a ma asi i vyrazne vyssi perf. dopad, protoze IBRS sezere okolo 4000 taktu. To by jeste proslo, protoze je to patch konkretni platformy i kdyz je to hnus. Jenze to vypada , ze se Intel ve sve moudrosti rozhodl, ze nove architektury Intelu v dohledne dobe budou stale mit specter bug, ale v navrhu chipu zlevni implementaci IBRS, aby nezrala ty 4000 taktu pokazde, kdyz je potreba uklidit vedlejsi efekty zneuzitelne ve spectre. Jestli tomu rozumim, tak tim efektivne delaji z hacku a jeho patche novou funkci, ktera se naopak bude muset jednoho dne na novych Intelich platformach vypinat pri bootu.

Zni to vazne hodne divne a Linus je s tim celkem logicky poslal do ...

Pokud jsem neco pochopil blbe, tak me opravte. Nejsem Cckar ani odbornik na CPU a moje chapani celeho problemu je omezene.

[JoHnY]

Samozrejme nadval Linus a Linux ;)

[little.owl]

V podstate ano, ale mozna se to bude muset pri bootu naopak zapnout. Cele to smeruje k tomu, ze Intel bude dale rikat "nase procesory jsou OK a pracuji tak byly navrzeny, ale pokud chcete mit jistotu navic, muzete si za cenu snizeni vykonu zapnout pro vas klidny spanek dodatecne zabezpeceni". Mozna je to ochrana pred pripadnymi zalobami a tomu by odpovidaly i ty poloobfuskovane patche, u kterych neni jasne co presne delaji, kde spojili zamerne vice veci dohromady a ktere jim ted Linus hodil na hlavu.

Bohuzel asi dojde k tomu ceho jsem se obaval - Intel ted misto oprav zacne ciste z pozice trzniho podilu prznit SW a to i vsem ostatnim, kteri problem nemaji.

[petrfm]

Tak je to logické, Intel konečně bude moct prodat nové procesory kok*tů, co udržují naživu 15 let staré plečky a bojí se teoreticky zneužitelné chyby.

BTW : Linus nadává dost často, z toho bych si nic nedělal.

[petrfm]

jak jsem se soustředil na hvězdičku, abych byl za slušňáka, tak mi vypadlo M. To je ta slušnost, nikdo ti pak nerozumí

[Ovoce]

Hmm, no neprogramátora jako mě ty komentáře k patchům bez lepšího kontextu moc neosvítí, ale našel jsem vlákno na Real World Tech, kde Linus často diskutuje, a kde se právě vyjadřuje k těmhle chybám. Je to takový ucelenější vyjádření jeho postoje k celé té věci, řekl bych, a je to dost zajímavý, takže doporučuji si ty jeho příspěvky z té diskuse vyjet (formát toho fóra je teda příšernej, ale v tom seznamu se dají jeho posty celkem lehko najít).

Link Link (plus ty následující příspěvky, co má v tom vláknu)

Něco k těm updatům mikrokódu proti Spectre: Link