Hlavní navigace

Vlákno názorů k článku Sedm nových variant Spectre a Meltdown přináší další potíže od ITFUN - je veľmi dobré, že dané chyby v CPU...

  • Článek je starý, nové názory již nelze přidávat.
  • 16. 11. 2018 13:36

    ITFUN (neregistrovaný) ---.dynamic.orange.sk

    je veľmi dobré, že dané chyby v CPU sa postupne odhaľujú a zverejňujú - zasiahnuté sú INTEL, AMD a samozrejme ARM. Veď vo filme o Snowdenovi sa otvorene hovorilo o zbere dát z INTEL-ov. Na CPU Intel pravdepodobne funguje malý operačný systém - pozmenený MINIX na ring 0. V dnešnej dobe už nie je tak ťažké navrhnúť open source CPU napríklad RISC-V alebo OpenRisc - nie je to sci-fi dá sa to. Avšak aby sa nová architektúra uchytila je nutné, aby nejaká veľká spoločnosť do toho investovala. Ono čiastočným riešením by bol návrh nového CPU, ktorý by fungoval aspoň vo firewaloch a v sieťových prvkoch. Nie je nutné vymýšlať super architektúru, ktorá porazí vo výkone Intel, AMD, ARM, ale architektúru, ktorá bude bezpečná a ktorú bude možné nasadiť na perifériách napríklad vo firewaloch

  • 16. 11. 2018 14:43

    Petr M (neregistrovaný) ---.145.broadband16.iol.cz

    Máš tam pár nepřesností a docela to zavání konspirací:
    1) Není pravda, že "Na CPU Intel pravdepodobne funguje malý operačný systém - pozmenený MINIX na ring 0". JE tam vlastní jádro, z pohledu hlavních jader je to nějaký záporný ring (tuším -3) a hlavní CPU vůbec nemá tucha, že tam něco takovýho je.
    2) "V dnešnej dobe už nie je tak ťažké navrhnúť open source CPU napríklad RISC-V alebo OpenRisc - nie je to sci-fi dá sa to." Jo, na dost velkým FPGA. Hodit to na křemík je mnohem větší problém.
    3) " Ono čiastočným riešením by bol návrh nového CPU, ktorý by fungoval aspoň vo firewaloch a v sieťových prvkoch. Nie je nutné vymýšlať super architektúru, ktorá porazí vo výkone Intel, AMD, ARM, ale architektúru, ktorá bude bezpečná a ktorú bude možné nasadiť na perifériách napríklad vo firewaloch" No třeba já mám doma ve firewallu PowerPC a v bývalé práci jsme takovou desku dělali s SH3 od Hitachi (teď už na Renesasu), konkrétne na SH3/7705. Hodně je toho na MIPSech,... Jenomže problém se týká mašin, kde jede virtualizace a sdílení prostředků, tam se chce výkon za každou cenu.

    Za sebe, chce to několik (klidně pár desítek) malých jednotek s CPU, vlastní "malou" RAM (řekněme do 256MB), MPU a krypto jednotkou. Jednu jako systémovou a ostatní jako samostatný systémy pro klienty s tím, že sestava bude sdílet disky a velkou RAM. Jiná jednotka ví jenom že sdílený prostředek je "BUSY" a že na něco čeká,, ale neví na koho a proč. Dobře nastavená MPU (systémem z master jednotky - aplikace slave jednotky se nedostane na management bus) zabrání tomu, aby se dostal ke sdíleným prostředkům a oblastem globální paměti, který má zakázaný. A klidně tam můžou být zranitelný jádra, který se prostě nebudou sdílet.

    Udělat takovou jednotku ve velikosti SO-DIMM včetně zdrojů technologicky není problém. Picnout jich 20 do řady vedle sebe do 19" kastle taky není problém, PCIe má dost dobrou propustnost dat... Jenom to realizovat a umět to prodat.

  • 16. 11. 2018 16:42

    R223 (neregistrovaný) 95.85.212.---

    Zbytečně složité. Stačí vzít libovolnou současnou architekturu a zajistit, aby po každém použití sdíleného prostředku bylo uklizeno. Tj. např. invalidovat chacheline, pokud byla načtena spekulativní větví. Navíc tohle půjde i relativně snadno zverifikovat.

    Problém není idělat cokoliv. Já to teď mám na stole pár https://www.enclustra.com/en/products/system-on-chip-modules/mars-xu3/, pokud chcete (a zaplatíte to), klidne vám k tomu udělám základovku s PCIe switchem.
    Akorát nevím, k čemu by to prakticky bylo. Roste pak režije, rostou latence, a sw, který by to bych schopný nějak efektivně využít ani nemluvím...
    Nakonec jsou i věsi jako Tilera nebo xeon phi, ale využití je dost omezené.

  • 16. 11. 2018 16:49

    jouda_

    Tak v security prvcích to zrovna problém moc není, viz třeba F5 a Checkpoint security advisory, které v podstatě (velmi zjednodušeně) říkaly že dokud se nezapne konkrétní ne zcela běžně používaná funkcionalita (jako threat emulation), tak zařízení z principu nejsou zranitelná, prostě proto, že na nich neběží žádný untrusted kód, a to co na nich běží ty přístupy už dávno má.
    (např. velká část funkcionality v Checkpoint firewallech je implementovaná v kernelu, a co není v kernelu má roota, až na apacheho a postfixe)