Názory k článku Děravý Intel Management Engine lze nahradit minimalistickým Linuxem a Go

Diky za pekny clanek!

- Ring -1 /VT hypervizor/ a -2 /sprava udalosti/ jsou uplne nanic, tohle ma delat jadro!!! I kdyz je mi jasne, jak to vzniklo "Vy (stary linux/win/osx) to stejne poserete, radsi vam sbastlime tuhle vecicku pro nasi konkretni HW sestavu a muzete to nechat na nas". Divim se, ze linux komunita proti tomu neprotestovala uz od zacatku, nejen z bezpecnostniho hlediska, ale z poruseni principu - tohle je kompetence kernelu.
- ring -3 je proste zhuverilost, NSA backdoor a/nebo management "feature" pro korporace. Chapu pouziti, ale musi byt opt-in, anebo alespon moznost opt-out. Viz ten nastroj pro smazani. Nechapu, jak vlady statu (krom USA) mohly kupovat intel reseni do vladnich zakazek (GDPR se jezi vlasy)

- linux-based u-root je pekna myslenka. Ale proc to musi byt dalsi (2) kernel? Nemuze to byt soucasti hlavniho jadra, ktere ve fazi bootu -1 spusti u-root na ME/r-3, a pak pokracuje?

- aktivita od Purism na Librem HW: https://puri.sm/posts/primer-to-reverse-engineering-intel-fsp/
Popisuje prave neutralizaci, smazani iME; neni mi jasne, nakolik spolupracuji s g-NERF. Pokud vim, Purism byli prvni, co toto resili.

- dalsi otazka: Intel vs AMD. Doposud bylo AMD lepsi volba: ma take PSP, ale ne tak bohaty na spionske featury; ale ted se karta obraci a intel bude dost promazan -> lepsi nez AMD (alespon co se bonzactvi tyce)?
- bylo by opravdu nemile, kdyby se objevil a poradne rozsiril vir na iME/PSP, to by pak byl rychly pokrok v otevirani, mazani!

Myslím, že se karta neobrací.

Malá potvůrka na management (monitorování zdrojů, power sequencing, hotswap,...) se při konstrukci HW hodí. Ale je tady obrovský rozdíl v tom, jaký dostane práva.

Pokud je to jednočip, zapojený třeba na SMB s definovaným protokolem a sám neleze ven, je to OK (v tom, co teď dělám, mám tři takovvý potvory - display driver, touchscreen, proprietální komunikační stack v STM32F205). U všech vím, co dělají (mají jediný spojení po SPI s hlavním CPU).
Pokud je tam možnost upgrade FW, ale je k tomu potřeba cílená akce systému, taky se to dá ohlídat.
Pokud tomu hodím funkci nějakýho koprocesoru (hrnu do toho data, vypadne hash) a dělá to definovaným způsobem definovanou činnost, může/nemusí to být OK (například může blbě generovat náhodný čísla, pokud to má dělat RNG), ale pokud se to dá fixnout vědomým (= spustím script) a dokumentovatelným způsobem, OK. (na téhle úrovni, co jsem to pochopil, je AMD s TrustZone)
Pokud má přístup k LAN nezávisle na CPU, dokáže dělat management uvnitř CPU, má lajnu na root complex PCIE a nikdo neví, co v tom běží, je to hodně, hodně za hranou.

Tak on to vlastně ani žádný "ring -1" není, že...
Jedná se o tu hradwarovou podporu pro virtualizaci. Nemám nastudovanou dokumentaci, takže to neumím správně pojmenovat, ale je to ta věc označená u Intelu jako VT-x. Dokud ji CPU neměly, musel hypervizor projet virtualizovaný kód analyzátorem a následně nahradit problematické instrukce voláním procedury, mající ve virt. prostředí analogický efekt, jako by měla ta nahrazená instrukce na bare metal hardware. Proto ostatně některé hypervizory nedokáží bez VT-x virtualizovat některé systémy jako OS/2 nebo Netware. Tam se právě používají i ring1 a ring2, což tu virtualizaci poněkud komplikuje.
Stejně tak "ring -2" není žádný ring ale specifický režim činnosti procesoru - SMM, který se spouští externím signálem.

všechny záporné ringy jsou jen virtuální a jen z důvodu lepší zřetelnosti jakou kód má prioritu.

Já vím, že to víte. To byl jenom doplňující komentář pro ty, kteří to nevědí.

Dáme tam Win? :D Ten je predsa skvelý...

je "vtipne" jak vyjmenovavas co vse "ten firmware v těch strojích něco dělá", asi bys mel kontaktovat autory NERF, protoze presto ze "V tuto chvíli už je možné NERF sestavit a nabootovat, zatím je nejlepších výsledků dosahováno na serverech od firem Dell, MinowMax a OCP nodech." tak to urcite netusej a otevres jim oci :-D

hlavne je tedy vhodne zduraznit (chapu ze to vyvolava v PR oddeleni Microsoftu obavy) o co jde:

"closedsource s umyslnejma backdorama" Vs "opensource bez backdooru s moznosti auditovani kymkoliv"

takze to to tve "myslici" reseni je to nejhorsi mozne ;-)

Není trochu šílené nahradit firmware - který má občas nějakou díru - pomocí Linuxu, který má těch děr stovky ročně? Když máte díru v hrnci, tak ho přece nebudete nahrazovat pomocí cedníku.
Ano, nahradime. Zranitelnosti jsou hlavne v driverech a osekany kernel ma mnohem mene zranitelnosti. Remote code execution se naleznou jenom zridkakdy.
Apropos, neni trochu silene nahradit Win 3.11, ktery ma obcas nejakou diru - pomoci Windowsu, ktery jich ma stovky rocne?

Navíc ten firmware v těch strojích něco dělá.
A to je prave chyba. Ja nechci mit SW, ktery bude naslouchat na siti i kdyz je pocitac vypnuty.

Stará se o inicializaci každého kusu HW, řízení režimů procesoru, uspávání, probouzení
[...]
Dále chápu že Google neřeší nějaké notebooky a jejich power management

O to se staraji i tradicni OS jako je Windows, Linux nebo treba FreeBSD. Bez reseni ze strany OS power management nefunguje. O tom se presvedcis nainstalovanim treba DOSu na tvuj PC.

i když třeba možnost jen s přístupem na remote management nainstalovat OS, bez toho aby člověk strčil nohu do serverovny.
Na to netreba nekolik desitek MB kodu na remote management, staci PXE.
Kdyz jsou tam zadni vratka nebo diry, tak to zvladne i Putin, Trump, nejakej cinan nebo treba severokorejec, ktery na to prisel. To by si pomohli.

nakonec ho nemusí trápit ani ty stovky zranitelností ročně, protože na těch počítačích jsou to "jenom" naše osobní data. Ale co zbytek světa?
Google to prave trapi, jinak by to neresil. Otevreny kod se da lepe auditovat a Tavis Ormandy nachazi chyby.

Podle mě bude řešením spíš opravit stávající chyby a víc dohlížet na výrobce.
Jasne, rekneme jim "no no no, to se nesmi!". A co oni? Nic.

Kdyz ti nevoni linux tak jsi kup Apple. Intel do Macu dodava procesory bez ME :-)

Intel do Macu dodava procesory bez ME
Muzu poprosit zdroj?

Tak např. na mém macbook pro early 2015 intel utilita ME odhalila. Nevím tedy jak tento klep vznikl a co vše je na něm pravdivé - google moc ukecanej není a mě se neche ztrácet čas zdlouhavým hledáním.

macbook pro 2017 je čistej, 2016 jsem v kanclu nikde nenašel.

No este keby ste si tych 167 code execution zranitelnosti aj pozreli vsak? Ono ja chapem ze vy by ste do toho narvali aj ovladace qualcomu, mediateku, broadcomu a dalsich vyrobcov pre android, ktore obsahuju drvivu vacsinu z tych 167 chyb a predpokladam, ze aj bluetooh stack a wifi ktory obsahuje ten zvysok chyb. To su totizto casti, ktore budu pre ME velmi potrebne, priam klucove. Vy si uvedomujete, ze co veta od vas to dokaz, ze jedine comu rozumiete je trolovanie?

Linux Kernel obsahuje drivery a většina těch chyb je právě v těch driverech, není nad to ale srovnávat hrušky s jablky.

Ale to je konzistentní s přístupem Microsoftu k driverům "Pokud pro HW není driver pro Windows, je to chyba výrobce HW, ne Windows. Pokud pro HW není driver pro Linux, je to chyba Linuxu, ne výrobce HW."

Takže teď pokud je chyba v driveru pro Windows, je to chyba výrobce a ne ve Windows, zato když je chyba v driveru pro Linux, je to chyba v Linuxu.

Jednoduché :)

Ve Windows není driver součástí jádra a nebývá otevřený , v Linux je součástí jádra a bývá otevřený. Tudíž jistý rozdíl tu je. Asi nelze považovat chybu v uzavřeném ovladači, například nVidie za chybu Linuxu ale v otevřeném ovladači který je součástí jádra už by tomu tak být mohlo. Není asi třeba říkat která z chyb bude opravena dříve.

To není tak jistý:
- I v Linuxu nemusí být ovladač součást jádra (dej si man modprobe, ať vidíš, jak se to dělá). Můžeš natáhnout proprietální binární blob, když chceš (resp. potřebuješ).
- Ve widlích ovladač zasahuje i nějaký věci, co do něho zrovna nepatří (konfigurační taby do dialogu atd.). Takže to, co ve widlích padá na chyby ovladačů, můžou být chyby GUIčka. Tím se počet chyb ve widlích taky trochu maskuje, prostě se to hodí na ovladač a hotovo...

Třeba zrovna na nebezpečnost ME bylo poukazováno dlouhodobě a Intel to k nějaké vlastní iniciativě za vyšší bezpečnost zdá se příliš nepovzbudilo. Na výrobce je možné účinně tlačit pouze nenakupováním jejich produktů a lépe auditovatelná alternativa k Intel-based počítačům na trhu není. Google si to zřejmě uvědomuje a proto začal problémy řešit po svém. Do spotřebitelských PC se to bohužel asi nedostane, možná, kdybych si koupil ChromeBook...

Lalíku,běž si hrát s Win 10,myslím,že po poslední aktulce tam máte problémů haldy-ju?

To si nevyberete. Proto je důležité u počítače hovořit preventivně nekorektně a nekompromisně, aby si mocní netroufli něco dělat, ve strachu z lidového odporu, protože o tom budou vědět.

Každá hůl má dva konce a záleží, za který ji uchopíte.

Z clanku:
"Podle Minnicha je to dobré proto, že je kód stále k dispozici v otevřené podobě vhodné k auditu."
""Firmy chtějí používat firmware, kterému rozumí. Chtějí také bootovat rychle a bezpečně," říká Minnich."

"Během bootu počítače nejprve proběhnou dvě fáze (security neboli SEC a pre-EFI initialization čili PEI), které jsou kompletně proprietární a jejich funkce nebudou nikdy zveřejněny."

To jako fakt? Velmi mocny uzavreny intel firmware plny vaznych bezpecnostnich chyb nahradime za ze firmware kde porad SEC a PEI budou kompletne uzavreny ale diky zbytku to budem nazyvat bezpecne a auditovatelne?
WTF?

Neni spise resenim trvat na zcela otevrene a zcela plne auditovatelne verzi firmware (pokud je vubec RING -3 opravdu potreba) a pokud tomu vyrobci x86 (Intel, AMD, cinska VIA) reseni nevyjdou vstric, tak jejich vyrobky nekupovat nepouzivat?
Porad se otevreny svet muze obratit na ARM, (open)POWER a jine architektury a SW prepsat na tyto architektury.
Az zacne Intel prichazet o sve trhy, trzby a zisky, pak to bude ficak jak to pujde i kdyz to nejde!
Staci jen chtit!

ARM? Kéž by. Ale tam bude situace stejná ne li horší.
,,otevreny svet" a co produkce?

A brani nekdo nebo neco aby i produkce (a kdkoliv/cokoliv jiného) pouzivala otevrena reseni (nerovna se nutne reseni zdarma ;) a psala (resp. nechala si psat) SW na jine architektury nez x86?

Nebrani.

Brání tomu pragmatický pohled na věc. Dejme tomu, že si chci pořídit pracovní stanici o výkonu shodném s mým současným notebookem a schopností provozovat všechny nástroje, které potřebuji k práci. Mohu mít buď líné ARMy s firmwarovými bloby od Broadcomu a spol. nebo hyperdrahé POWER stroje. x86 software, bez kterého se zkrátka neobejdu nepustím ani na jednom. I když si jako jednotlivec mohu dovolit uvažovat "ideologicky", musel bych být buď fakt hodně nenáročný nebo mít setsakra kliku, aby všechno, co potřebuji používat běhalo na mém ne-x86 zařízení a zaplatil bych za to neúměrně velké peníze. Firmy musí přemýšlet především ekonomicky a žádná cenově dostupná alternativa x86 strojům prostě dnes není. Myslím, že kdyby únik na jinou architekturu byl použitelnou možností, Google by se s žádným NERFem a podobnými iniciativami nejspíš neobtěžoval.

Kazdej na svete kdo ma schopnosti a moznosti zneuzit tuhle jednu velkou diru rikajici si ME by ji zneuzit mel na vsech zarizenich zpusobem, aby je vyradil nadobro z provozu.
Az se zacnou vyrobcum hromadit tuny nepouzitelneho HW, zmeni svuj pristup, zmeni se i svet.

Navíc Ryzen není zas tak špatný kus železa :)

To si clovek rika, proc ten M$ Word premysli stale stejne tak dlouho jako pred 25 lety, pricemz vykon pocitacu v vzrostl radove 1000x. A ejhle, ono si to CPU dela neco zcela jineho a mily zlaty M$ Word provozuje jen tak na mimochodem. :-))))

Holt vymozenosti noveho milenia. ;-)

Ani bych nerek ... zhruba roky 90-95. Stroje na urovni i286-i486. Vypocet mezd pro cca 250 zamestnancu cca 2-3hodiny (s vymenou stroje se to se stejnym SW vyrazne zrychlovalo). Rekneme zhruba minutu na zamestnance.

Soucasnost. SQL server s 40+jadry 256+GB RAM + aplikacni server +- totez. Vypocet mezd pro cca 15 000 zamestnacu trva 10 ... dnu. Coz je ... zhruba minuta na zamestnance. Ovsem s HW o nekolik radu vykonejsim.

to ale nic nevypovídá o výkonnosti :), sleep 60 mi kupodivu bude trvat také stejně dlouho na starém a na novém HW.

Ten tvůj příklad s SQL serverem se mi nějak nezdá, viděl jsem už dost divnosti ve firmách, tuhle ještě ne, není tam jiné omezení? Jiné vytížení? Nečeká se na něco dalšího?

Bullshitový titulek...
iME se těžko nahradí, když to je součást chipsetu/CPU. Maximálně se nějak zruší běh výchozího firmware, ať už cleanerem, HAPem nebo jinak. Když by byl prolomen podpis FW, bylo by to o dost horší, ale pořád je to jen firmware. Titulek by měl spíš nahrazovat buggy UEFI/BIOS.

Nepochopil jsem, proč se lidi tak strašně hnevaji na Intel? Vždyť každý server má management interface (ilo nebo co já vím, jak tomu říkají), který umožňuje to samé. Neslyšel jsem na to žádné stížnosti, jen na ten Intel. Jaký je v tom rozdíl? To máte nějak zaručeno, že ty ostatní implementace neobsahují chyby? Opravdu bych uvítal faktickou odpověď, ne řev frustratu.

- ILO je jakž takž dokumentovaný - kdy kam lese, jak se k tomu dostat,...
- Když nechci ILO, prostě ho do serveru nedám a hotovo. Když nechcu ME, můžu se na ptáka stavět a stejně se toho nezbavím.

ok, dikt.

Zeby proto, ze to na tom kazdym serveru muzes proste ... vypnout? Navic se takovyhle veci nevystavujou do internetu, coz jaksi ta inteli vec je tak nejak od prirody.

Kokos, nestacim sa divit, kolko chytrolinov je tu a odbornikov na Linux security. Som rad, ze sa niekto vyjadril otvorene a pravdivo k bezpecnosti vanilla Linux kernelu. Ked som prvykrat pocul o NERF, hned ma tema security v Linux jadre napadla ako prva. Bohuzial.

A ked uz hovorite, ze si treba tie zranitelnosti viac nastudovat, tak sa opytajte priamo panov Grega KH, Torvaldsa a ludi z Redhat Security timu preco permanentne odmietaju priradovat privesc CVE regulernym a vaznym chybam v samotnom Linux jadre, ktore su reportovane ale zial kvoli vylepseniu PR image Linuxu totalne ignorovane. A ich vecne zapieranie a silent fixy tychto bugov v commitoch. Este stale si myslite, ze ste s vanilla Linuxom v bezpeci? Neni to len o chybach v driveroch, ako tu mnohi pisete. Je mi vas uprimne luto. Nie ste o nic viac v bezpeci s vanilla Linuxom nez s deravym a closed source Intel ME, bodka. Linux a jeho kvalita a security uz davno nie je to, co byvalo, zial je to tak.

A pochopte, ze toto je totalne v zaujme Google. Ide o velmi velku hru. Podarilo sa mu dostat najderavejsi kernel sveta na miliardy mobilnych zariadeni a smutne zial verim tomu, ze sa mu casom podari aj toto. A ak si naozaj tak dopodrobna zistujete veci ako tu vsetci najmudrejsie pisete, tak pan Torvalds je plateny z Linux Foundation, kde jednym z najvacsich clenov je prave Google a Torvalds dostava od LF vyse 700k USD rocne, tipujem najma za ten jeho najubohejsi pristup "security bugs are just bugs" - viete kolko krat by som jemu a jeho komplicom vazne chcel dat do drzky ked musite riesit serious bezpecnostny incident kvoli bugom vo vanilla Linux jadre nasadenom vo velkom vo financnej institucii a pocitate realne skody a musite napravat chyby? To Torvalds by si toto mal kompletne odsrat za tieto jeho vyvojarske pristupy. Kto toto nezazil, nevie o com pisem. Skorumpovany smejd to je, ktory sa hra na velkeho bossa a riaditela Linux jadra. Ale vsak za tie prachy ktore dostava, hmm, kto by to nerobil, ze? Obcas commit sem, obcas tam, ale inak merge. Co to nevidite?

Takze tak. Kto tejto teme chce pochopit, ten to pochopi. Kto nechce, nech sa stale klania Torvaldsovi, bezpecnosti vanilla Linux jadra a jeho poskokom. V pozadi je dost veci o ktorych sa nepise. Hladajte pravdu.

Pozdravujem ludi z Kyberie, SD-ho (kde si sa stratil???) a ludi s nohami na zemi v IT svete. Linux vas nezachrani.

Linux a jeho kvalita a security uz davno nie je to, co byvalo, zial je to tak.
Takže chceš říct, že většina security chyb se do Linuxu zanesla v poslední době a dřív tam nebyly? :) Spíše bych řekl, že se o nich tolik nemluvilo a tolik se jich nehledalo.

Je pravda, že většina CVE jsou drivery, o tom, že linux je bez chyb nikdo nemluvil, nejde přitom jen o samotný kernel, ale o spousty user space nástrojů.

To co jsi tady popsal platí snad o všech OS. Pojišťovnictví bylo vždy v tomhle dost mimo a pokud kritická security chyba v OS (ať s CVE nebo bez něj) způsobí velké finanční ztráty, znamená zpravidla zanedbání spousty dalších věcí.

Ale Hlinik se odstehoval do Humpolce

Ne úplně rozumím, jak to v případě Intel ME funguje a dost mě to zajímá. Je tu někdo, kdo toho ví víc?

Chápu System management mode. Chipset zatahá při nějaké sledované události za pin SMI#, procesor to nějakým pinem(SMIACT#) potvrdí a od té doby je systém ve speciálním režimu, kdy CPU vidí do "ukradené" části paměti, uloží se kontext a jede "na pozadí" speciální kód, který tam připravil BIOS(třeba fix nějakých chyb chipsetu nebo obsluha USB klávesnice, viditelné v DOSu :-)). Poté, co se udělá, co je třeba, se speciální instrukcí vrátíme do reality kódu operačního systému, aplikace apod... Musí to být rychlé, aby to nezpomalovalo běh CPU pro uživatele...

Nojo, ale ten ME vypadá daleko tajemněji. Kde ten Minix vlastně běží? Na nějakém malém procesoru uvnitř našeho procesoru? Nebo pro něj speciální hardware krade periodicky čas našeho procesoru????

Původně jsem myslel, že je to v principu něco jako iLo, ale vše je asi jinak?? Může to někdo objasnit?
Díky...

Takze cisto teoreticky vedia znefunkcnit vsetky procesory jednym updatom, alebo... ak by nesiel kseft, aspon ich vyznamne spomalit... a to bez vedomia kohokolvek, bez moznosti dokazu...

nj. ale k tomu počítači se musí ta vnější komunikace a aktualizace nějak dostat, to není vůbec snadná disciplína.

reagoval jsem spíše na tvojí zmíňku s Googlem a nasazení v servovnách. Tam je poměrně těžké se přímo z internetu k daným serverům dostat. Ty sítě jsou dost krkolomné, integrované síťovky se nepoužívají skoro vůbec a tenhle malý procesor má velkou moc, ale strašně omezené zdroje. Takový útok by mohl být velice rychle prozrazen (můj tip).

Neřikám, že to možné není, ale zatím to reálné nebude a doufám, že zítra tady tahle věc v tomhle stavu také nebude a Intel se k tomu postaví čelem. Partnerům již obchodníci začínají ledacos naznačovat, uvidíme co se stane příští rok.

Třeba v hardware integrovaný wireless based backdoor. Nebojte kluci šikovný v NSA (USA) a i jiní kluci (a holky) pracujou jak fretky, už ho možná máte na stole a ani o tom nevíte.

Nemusis trebat, wifi to prej pouzivat umi. A jelikoz to ma pristup do rameti, tak je to vlastne uplne jedno, vkladat vlastni komunikaci primo na sitovej stack neni zadna raketova veda. Predevsim to klidne muze fungovat i opacne, obcas si to nekam hrabne a zjisti, jestli neco delat ma a pripadne si sosne kod toho co.

Myslis ze poslat na webserver http request je nesnadny? Staci kdyz bude ten system uvnitr poslouchat a na odpovidajici sekvenci na sitovce proste odpovi. Neudelas s tim vubec nic.

Hlavna issue je, ze ak by napriklad bola usa vo vojne s eu, tak jednym kliknutim zrusia vsetky jej pocitace. Nehovoriac o tom, ze akakolvek security je iba iluzia. Kludne si mozeme pouzivat sifry nie 512, 1024 ale aj 4096... je to prt platne...pretoze nieco beziace pod os moze privatne kluce posielat na centralu. Cele zle. Ako su na tom ARMy?

... nebo v KMS založeném na xeon procesorech, jedna česká banka má takový stroječek od HPE.

Tahle intel věc má přístup do TPM, což může být občas problém. Každopádně pokud by Intel chtěl zrušit svůj půl století trvající byznys, měl by jiné možnosti jak upravit procesy a získat z nich údaje, které chce. Tohle je už hodně velké fantazírování.

Spíše se bojím, že této věci zneužije nějaká třetí strana, ale proti modifikaci IME FW by měly stačit prozatím kontroly kontrolních součtů a audit systémů. Nepozorovaně se dostat do klíčových systémů je také obrovský problém a náklady mohou být astronomické.

Potom je tu ještě možnost vyhodit ten ďáblův nástroj do popelnice a žít zase zdravě a spokojeně postaru.

lidé s odborným vzděláním často nejsou schopni problém popsat tak, aby tomu mainstream porozuměl, bez porozumění není šíření a bez šíření není nátlak.

Je absurdní nevěřit Intelu v jedné věci (IME) a věřit mu v jiné (procesor, síťové karty), všude má možnost páchat svoje zákeřnosti. V Intelu to ale vře a korporátním klientům už začali obchodníci slibovat změny, ale dokud to nebude veřejně, je to pořád další iluze.

nepsal jsem nic o většině a ani o potřebném množství. Politici zásadně dělají jen to, co rezonuje a co jim přinese body, dokud problém nepochopí politici či jejich poradci, ze strany státu se nemůžeme dočkat ničeho šťastného.

U nadnárodních korporací je podle mě situace lepší, interně si uvědomují nadcházející problémy a třeba u jedné české finanční instituce je dokonce rozpočet na bezpečnost vyšší než rozpočet na interní investice a lepší se to.

Při pohledu ale na českou scénu, kam vidět mohu, je zatím výsledek žalostný, jsou tady odpovědné firmy, ale často jen zásluhou jediného zaměstnance, který má dostatečně hluboké znalosti a dokázal prosadit změnu.

Nejsem naivní a nespoléhám se na většinu, ale dokud i na odborném webu se v diskuzích píšou takovéhle nesmysly, není šance to informace dostat neponičené dál.

Já bych všechny ty Management Enginy zrušil :D

Jak funguji zaporne ringy? Myslel sem ze instrukce jsou rozdeleny podle ring 0..3 a pokud napr. Aplikace z userspace zkusi vykonat zmenu pametove stranky (ring 0), tak to zpusobi preruseni. Takhle jsou rozdeleny vsechny instr. Z instrukcni sady cpu. Ale jak jsou implementovany -ring? Nikde jsem nic ppdobneho nevidel?

záporné ringy nevstupují do samotných vykonávaných instrukcí a přímo je nikterak neovlivňují, procesor je nezohledňuje při vykonávání kódu. Stojí ale venku a mohu sami vyvolat přerušení, mohu sami přečíst registry a paměť, mohou třeba použít neveřejné instrukce procesoru k jeho další činnosti. Mají přístup na sběrnice, mohou si po nich posílat instrukce.

(profesně se tím nezabývám, je to můj laický pohled)

Predstav si to trebas tak, ze vemes (idealni) voltmetr a budes merit napeti. Aplikace (trebas vypinac) nevi, ze ty vis, jestli je sepnutej nebo ne. Co vic, ty mas krome toho jeste zdroj, kterym muzes ten stav menit, aniz by se to projevilo zvenku, na stavu toho vypinace (packa se nepohne ... ale stav se zmeni).

Tahle vec funguje stejne. Z pohledu aplikace (OS) se vykonavaji nejaky instrukce, prideluje se pamet ... ale ze HW dela jeste neco dalsiho (trebas ze vsechny provadeny instrukce posila intelu), to nemas sanci zjistit.

2Tomáš2: Moc bych si nedelal iluze o tom nezasahovani do provadenych instrukci. CPU ma mikrokod, kterej muze (i pomerne razantne) zmenit provadeni instrukci a predpokladam, ze na tyhle urovni do toho muzes zasahovat i doslova za chodu.

Takže můj dojem ze současné situace popsané v článku:
V milionech počítačů jsou dnes používány procesory, které jsou překombinované, dolepované, nekoncepční, bezpečnostně nežádoucí a do budoucnosti neudržitelné. Napsal jsem něco špatně nebo něco chybí?