spjallid.is

nidur skrifaði:Til að einfalda þetta þá snýst gallinn um að forrit sem eiga ekki að hafa aðgang að upplýsingum hvers annars geta notað þennan galla til að ná upplýsingunum úr cache sem örgjörvinn býr til.

Þannig að ef að tölvan þín væri að keyra óæskilegt forrit sem var hannað til að nýta sér þennan galla þá væri það hægt.

Leiðréttið mig ef ég er að skilja þetta vitlaust...

Hvaða forrit sem er getur lesið gögn sem það var ekki ætlað að fá aðgang að, t.d fær aðgang að gögnum í forritum
sem þú átt ekki að hafa aðgang að.

Worst case er að það er hægt að lesa kernel minni (os memory) og lesið Password - Encryption lykla eða lesið allt minnið á tölvunni.

Fræðilega væri hægt að nota þennan Exploit á vefsíðu t.d í gegnum Javascript og lesið allt minnið á vélinni þinni

Spectre & Meltdown - Computerphile

Til upplýsinga þá er eina vandamálið sem ég hef tekið eftir í vinnuni (enn sem komið) eftir Windows security update á Windows 10 1709 að ákveðið forrit sem kóðar accesss kort virkar ekki á útstöðvum sem þurfa að útbúa skilríkin.
Eflaust spilar þar inní að þessi tiltekni Microsoft plástur er að splitta upp user-landi og kernel-landi og ég þarf að heyra í framleiðanda hvernig er best að leysa þennan bögg.

Hjaltiatla skrifaði:Til upplýsinga þá er eina vandamálið sem ég hef tekið eftir í vinnuni (enn sem komið) eftir Windows security update á Windows 10 1709 að ákveðið forrit sem kóðar accesss kort virkar ekki á útstöðvum sem þurfa að útbúa skilríkin.
Eflaust spilar þar inní að þessi tiltekni Microsoft plástur er að splitta upp user-landi og kernel-landi og ég þarf að heyra í framleiðanda hvernig er best að leysa þennan bögg.

Leysa eitt vandamál og búa til önnur í staðin...
Þessi security patch er hann inn í þessu update'i?

GuðjónR skrifaði:

Hjaltiatla skrifaði:Til upplýsinga þá er eina vandamálið sem ég hef tekið eftir í vinnuni (enn sem komið) eftir Windows security update á Windows 10 1709 að ákveðið forrit sem kóðar accesss kort virkar ekki á útstöðvum sem þurfa að útbúa skilríkin.
Eflaust spilar þar inní að þessi tiltekni Microsoft plástur er að splitta upp user-landi og kernel-landi og ég þarf að heyra í framleiðanda hvernig er best að leysa þennan bögg.

Leysa eitt vandamál og búa til önnur í staðin...
Þessi security patch er hann inn í þessu update'i?

Þetta var alveg viðbúið , er mjög ánægður að þetta var ekki meira vesen en þetta niðrí vinnu allavegana.
Jebb , Getur séð það í þessu report-i að KB4056892 updateið er hugsað sem security patch fyrir þessum öryggisholum fyrir Windows 10 1709 : https://portal.msrc.microsoft.com/en-US ... /ADV180002

Edit: Til að Gulltryggja þig þarftu reyndar að ganga skrefinu lengra: https://support.microsoft.com/en-us/hel ... ilities-in

sjálfur virkjaði ég einnig Sie isolation í google chrome þar til ný útgáfa af browsernum kemur út 23.janúar
Getur virkjað með að fara á þessa slóð: chrome://flags/#enable-site-per-process

Ég er ekki nógu klár til að skilja þetta, en er virkilega hægt að koma alveg í veg fyrir exploit með því að patcha stýrikerfið?
Vissulega keyra öll forrit inni í stýrikerfinu, en það eru sum sem tala beint við hardware.
Geta forrit þá ekki bypassað stýrikerfið til þess að exploita þetta?

appel skrifaði:Ég er ekki nógu klár til að skilja þetta, en er virkilega hægt að koma alveg í veg fyrir exploit með því að patcha stýrikerfið?
Vissulega keyra öll forrit inni í stýrikerfinu, en það eru sum sem tala beint við hardware.
Geta forrit þá ekki bypassað stýrikerfið til þess að exploita þetta?

Þetta kemur reyndar fram hjá Microsoft Windows Client Guidance for IT Pros to protect against speculative execution side-channel vulnerabilities

Warning
Customers who only install the Windows January 2018 security updates will not receive the benefit of all known protections against the vulnerabilities. In addition to installing the January security updates, a processor microcode, or firmware, update is required. This should be available through your device manufacturer.
Note Surface customers will receive a microcode update via Windows update.

Í vinnunni sáum við allt að 80% lengri keyrslutíma á ákveðnum testcaseum eftir öryggis og firmware uppfærslur sem komu út eftir 3. jan (með alla viðeigandi rofa virka).

appel skrifaði:Ég er ekki nógu klár til að skilja þetta, en er virkilega hægt að koma alveg í veg fyrir exploit með því að patcha stýrikerfið?
Vissulega keyra öll forrit inni í stýrikerfinu, en það eru sum sem tala beint við hardware.
Geta forrit þá ekki bypassað stýrikerfið til þess að exploita þetta?

Það er ekki hægt að tala beint við minnið ( sem þessi eru að keyra ) úr user mode í Windows. Þú þyrfir að skrifa driver sem Windows myndi gefa aðgang beint í hardware. Það er soldið vel síðan að það var hægt að tala beint ofan inní minnsslot í Windows í dag talar maður alltaf við bara Virtual.

Apple gáfu út iOS uppfærslu í fyrradag. Er að setja hana upp á símanum hjá mér og ætla að ath hvort það verði einhver performance munur í Geekbench 4.

https://support.apple.com/en-us/HT208401

https://support.apple.com/en-us/HT208394
Skv þessum upplýsingum frá Apple þá má vera að þessi uppfærsla hafi einhver áhrif á performance.

GullMoli skrifaði:Apple gáfu út iOS uppfærslu í fyrradag. Er að setja hana upp á símanum hjá mér og ætla að ath hvort það verði einhver performance munur í Geekbench 4.

https://support.apple.com/en-us/HT208401

https://support.apple.com/en-us/HT208394
Skv þessum upplýsingum frá Apple þá má vera að þessi uppfærsla hafi einhver áhrif á performance.

Talandi um Apple og öryggisgalla, varstu búinn að lesa þetta:
https://forums.macrumors.com/threads/ma ... d.2100174/

• o Click on System Preferences.
  o Click on App Store.
  o Click on the padlock icon to lock it if necessary.
  o Click on the padlock icon again.
  o Enter your username and any password.
  o Click Unlock.

Viðeigandi komment hjá einum; "

Apple spent $5 Billion on their new campus. How much have they spent on quality control?

GuðjónR skrifaði:

GullMoli skrifaði:Apple gáfu út iOS uppfærslu í fyrradag. Er að setja hana upp á símanum hjá mér og ætla að ath hvort það verði einhver performance munur í Geekbench 4.

https://support.apple.com/en-us/HT208401

https://support.apple.com/en-us/HT208394
Skv þessum upplýsingum frá Apple þá má vera að þessi uppfærsla hafi einhver áhrif á performance.

Talandi um Apple og öryggisgalla, varstu búinn að lesa þetta:
https://forums.macrumors.com/threads/ma ... d.2100174/

• o Click on System Preferences.
  o Click on App Store.
  o Click on the padlock icon to lock it if necessary.
  o Click on the padlock icon again.
  o Enter your username and any password.
  o Click Unlock.

Viðeigandi komment hjá einum; "

Apple spent $5 Billion on their new campus. How much have they spent on quality control?

Gvööööð! Ef einhver kemst í ólæstan makka þá getur sá aðili fiktað í settings á App Store? Vá! Eins gott að ég á bara iPhone

Annars er enginn marktækur munur á Geekbench hjá mér, fékk aðeins hærra score í single-core og aðeins lægra í multi-core, vei!

GullMoli skrifaði:Gvööööð! Ef einhver kemst í ólæstan makka þá getur sá aðili fiktað í settings á App Store? Vá! Eins gott að ég á bara iPhone
Annars er enginn marktækur munur á Geekbench hjá mér, fékk aðeins hærra score í single-core og aðeins lægra í multi-core, vei!

Hehehe, það er nú reyndar ákveðin kaldhæðni í þessu, Apple leggur ofuráherslu á "öryggi" að þeir sjálfir segja, appleID, passcode, toutchID, 3DtouchID, FaceID og ég veit ekki hvað og hvað, þetta er "selling point" hjá þeim á öllum kynningum en svo er klikka þeir á svona löguðu.

GuðjónR skrifaði:

GullMoli skrifaði:Gvööööð! Ef einhver kemst í ólæstan makka þá getur sá aðili fiktað í settings á App Store? Vá! Eins gott að ég á bara iPhone
Annars er enginn marktækur munur á Geekbench hjá mér, fékk aðeins hærra score í single-core og aðeins lægra í multi-core, vei!

Hehehe, það er nú reyndar ákveðin kaldhæðni í þessu, Apple leggur ofuráherslu á "öryggi" að þeir sjálfir segja, appleID, passcode, toutchID, 3DtouchID, FaceID og ég veit ekki hvað og hvað, þetta er "selling point" hjá þeim á öllum kynningum en svo er klikka þeir á svona löguðu.

Jebb, svipað og þetta hérna;
https://www.theregister.co.uk/2017/11/2 ... gh_sierra/

Veit einhver hver staðan er núna?
Ætti maður að fara í uppfærslu eða er betra að bíða?

playman skrifaði:Veit einhver hver staðan er núna?
Ætti maður að fara í uppfærslu eða er betra að bíða?

Góð spurning...
Maður hefur ekki séð neitt marktækt pricedrop hjá Intel eftir þetta allt saman.
Hlutabréfin þeirra hækka og lífið gengur sinn vanagang.

https://www.marketwatch.com/investing/stock/intc

Og ekkert komið fram hvenær það gætu komið öruggari örgjafar?

playman skrifaði:Og ekkert komið fram hvenær það gætu komið öruggari örgjafar?

það stóð einhverstaðar að næsta kynslóð er með þetta hardware fixed.