Vlákno názorů k článku RETBLEED: nedořešené chyby v procesorech nás budou stát až desítky procent výkonu od k3dAR - muze prosim nekdo kdo tusi napsat jak obecne...

muze prosim nekdo kdo tusi napsat jak obecne tato ci predesle muzou realne zafungovat pri pouzivani desktopu? ziskani dat ci roota vlastnikem webove stranky v prohlizeci? pres otevrenej (pouze) ssh port? resp. obecne jak vzdalene? neresim utok typu nekdo si sedne k pc s prihlasenym userem, ani utok z jineho pocitace ve stejne siti, ani pripadna skodliva aplikace v pripadnych Windows ve virtualu... dekuji :-)

Hrubě teoreticky, napadení přes prohlížeč (nějakou škodlivou stránkou je se současnými prohlížeči a jejich opatřeními nemožné, ten kód by to zabilo dříve než by načetl pár bitů).

Technicky by bylo možné pokud se útočník dostane z prohlížeče ven, nebo zaútočí jiným kanálem, např. trojan a toto využít k eskalaci svých práv (načíst si třeba paměť, kde jsou data soboru shadow nebo jiná hesla/soukromé klíče).

Napadá mne i vyčítání citlivých dat z jiných aplikací na mobilním telefonu, pokud chci někoho sledovat apod. (BTW na ARM to také funguje viz https://developer.arm.com/Arm%20Security%20Center/Spectre-BHB)

Nicméně existují i snadnější způsoby, jak eskalovat práva a toto je opravdu jeden z těch časově nejnáročnějších, na druhou stranu pokud mám jistotu, že záplaty v jádře nejsou, asi má smysl o využití této cesty uvažovat.

Větší problém to ale je pro cloud, kde je potřebná izolace a všechny tyto zranitelnosti do toho hází vidle.

Takže jaký je závěr?

Na desktopu je OK vypnout mitigace?

Pokud mám svůj cloud/server jen pro sebe, tak vypnout mitigace?

Pokud hostuji cizí aplikace, tak mě to trápí?

V securitě to většinou takto snadno říct nelze.

Lze říci, že na desktopu to snižuje riziko jen mírně a pokud na něm neděláte nic pracovního pod NDA, a svoje data nepovažujete za extrémě citlivá, tak bych to asi klidně vypnul. Jen offline zálohovat, protože ransomware je svi*a.

Pokud máte na desktopu pracovní data pod NDA, nebo tam děláte nějaký projekt/výzkum se kterým chcete prorazit, asi bych raději tu trošku výkonu obětoval a za cenu toho, že mohu tvrdit, že jsem udělal, co bylo v mých silách pro ochranu těch dat.

V cloudu must-have a co se týká serverů, tak opět podle toho, jak je kritický, z pohledu zabezpečení a jak je "zabetovnaný", spíše však ano.

To zrovna neni troska vykonu. Mam na notasu data pod NDA ale na RETBLEED z vysoka kaslu. Rizika jsou uplne nekde jinde. Extremne citliva data z principu veci nejsou nikdy zpracovavana na koncovych desktopech. Maximalne to jsou fragmenty pokud nekomu neco utece. Desktop je jen v podstate terminal klient.

V cloudu rozhodne must have neni. I pro nedulezite interni sluzby na kterych je vice internich zakazniku neni retbleed nasazene protoze nam proste pokles vykonu ted nikdo nezaplati (uz jen pro vcasne dodani bez mesicu cekani potrebujete privatni cargo letadlo) a ta data nejsou tak dulezita resp. vektory utoku kterym je treba se venovat jsou zde uplne jine.

Rozhodne si nemuze clovek dovolit aplikovat neco nekam

U zakosu mame rozdelene tridy zabezpeceni a samozrejme na dulezitejsi levely ktere treba zpracovavaji kriticky dulezita data (vetsinou je to i privatni cmoud s vlastnim zelezem) jsou zaplaty aplikovany - po otestovani a oznameni ze dojde ke snizeni vykonu. Hlavne tohle neni typicka 0day.