Názory k článku
Od jádra Linux 6.16 bude zastaralý mikrokód CPU Intel považován za zranitelnost
-
Ondra Satai NekolaZlatý podporovatelJakýkoli *) soft zraje jako mlíko. A konkrétně u bezpečnosti se prostě jakékoli útoky na něj v čase budou jen zlepšovat.
Vypínání je debilní slaměný panák.
*) s miniaturními výjimkami
-
S tou expiraci snad radsi ani nahlas nezertujte, on to nekdo od CA/B nejspis brzo zkusi obslehnout.
Uz i prvni QA toho patche je vtipne - aktualizuje se ne kvuli konkretnim kritickym aktualizacim, ale aby Windows Update bylo zelene ;-).
Q: Does this tell me if my system is secure or insecure?
A: No. It only tells you if your microcode was old when the
system booted. -
V laboratornich podminkach ano. V realnem svete s aktualizovanym kernelem jdou ty exploity dost tezko. Mozna by se dalo souhlasit pokud by byl primy pristup k infrastrukture - ve smyslu chlapik v datacentru a nezabezpecene pripojeni periferii.
Navic pro detekci cpu muzete pouzit jiny nastroj nez cteni z /proc/cpuinfo a to i z userspace.
-
SinuhetStříbrný podporovatel
Mně to naopak jako docela dobré řešení přijde.
Na trhu se mi objeví CPU s chybou, a já ji můžu opravit za cenu jen 30% výkonu. To je pecka.
Obzvlášť v dobách, kdy 30% je rozdíl mezi dvěma generacemi. To už dneska neplatí, naopak nová generace může být i pomalejší než předchozí - což jasně dokládá, že ten výkon nepotřebujeme :-)Líbilo by se mi zatržítko "ignorovat CPU bezpečnostní chyby" například v případě, že běží jen ověřený software, nebo je to třeba čistě výpočetní node někde oddělený od sítě. Když by mi chyběl výkon, tak bych si to mohl zapnout, abych ignoroval záplatky v programech i mikrokódu, a běžel jako za mlada :-)
-
Už ale těším, až na to naši bezpečáci budou reagovat svým obvyklým "tady je zranitelnost, vyřešte to" :-D.
A na tomhle je špatné ... co? Já nevím jak ty, ale já když se každý den přihlásím na své servery, tak automaticky udělám
apt update && apt upgrade;systemctl reboot(nebofreebsd-update fetch install; reboot). Tedy každý den mám up to date servery a i s jádrem.V práci samozřejmě někdo řeší padesát devítek dostupnosti (protože to někdo někdy možná napsal do nějaké možná i podepsané smlouvy), monitoring má nastavené na 10s, takže reboot kontejneru (nspawn, jail), který trvá do 1s, ten jeho monitoring ani nepozná. Dneska mi min.io sdělilo, že už je moc staré, že kdysi dávno před týdnem vyšla nová verze. Tak jsem udělal
git pull, go installa během 10s jsem měl zbrusu nové minio.Takže pokud mi zítra bezpečák pošle email: zabezpeč kernel, tak se napiju kávy a odpovím mu, že hotovo již v úterý (ve skutečnosti v pondělí, ale to je státní svátek a prej nemám pracovat).
Je v tom nějaký problém? Až budu mít kornatění tepen a karpální tunel, tak na to napíšu systemd timer nebo ve FreeBSD další řádek do cronu.
-
Co to znamená zastaralý mikrokód? Proti čemu se to vztahuje?
Poslední stabilní Debian? Fedora? Ubuntu? Arch Linux?
To bude zase podobný scénář jako s DXVK a doporučenými ovladači. Debian má aktuálně Mesa stable: 22.3.6-1+deb12u1.
Jenže DXVK požaduje doporučenou verzi Mesa 24.0.
Takže ačkoliv budu mít na Debianu nejnovější Mesa ovladače, hry či jiné 3D programy nezapnu, protože toto distro má definici nejnovější stabilní verze odlišnou od ostatních. Ovšem na Fedoře a Arch Linuxu ano.
Takže jsem zmatený, co to znamená nejnovější mikrokód, nebo tedy zastaralý.
