Кaзaлoсь бы, чтo пoслe oбнaружeнныx бoльшe гoдa нaзaд уязвимoстeй Meltdown и Spectre ужe ничтo нe испугaeт пoклoнникoв и пoльзoвaтeлeй прoцeссoрoв Intel. И всё жe кoмпaнии снoвa удaлoсь нaс удивить. Тoчнee, удивили исслeдoвaтeли уязвимoстeй в микроархитектуре процессоров Intel. Пакет новых уязвимостей под общим названием microarchitectural data sampling (MDS) грозит поставить крест на технологии многопоточных вычислений или Hyper-Threading (в общем случае ― simultaneous multithreading, SMT). Выяснилось, что атака с помощью одного из вариантов MDS может прервать изоляцию одного из потоков Hyper-Threading и облегчить доступ к чувствительным данным в буферах и портах процессоров (уровнем ниже кеш-памяти первого уровня). Что с этим делать? Первое, что приходит на ум ― отключить Hyper-Threading, что и сделали разработчики ChromeOS. Что при этом станет с производительностью процессоров? Она снизится. Степень замедления может достичь 40 %, а может и больше.
zdnet.com
Пока мало кто из разработчиков операционных систем и приложений последовал по пути ChromeOS, но заплатки и обновления не задержались. Компания Apple выпустила обновления для фирменных компьютеров и ноутбуков, продающихся с 2011 года. По словам компании, все системы под управлением macOS Mojave 10.14 уже пропатчены. Это предотвратит атаки через Safari и другие приложения. При этом большинство пользователей не должны почувствовать снижения производительности. Полное предотвращение угрозы, тем не менее, подразумевает отключение Hyper-Threading, что может снизить производительность до 40 %. Патчи для ОС Sierra и High Sierra также будут выпущены. Продукцию iPhone, iPad и Watch данные уязвимости не затрагивают.
Компания Google готовит заплатки для Android и будет обновлять Chrome. Следует сказать, что Android надо защищать от уязвимостей MDS только на x86-совместимых платформах (за это отдельное спасибо Intel за процессоры Atom). Патчи для смартфонов и планшетов на платформах Intel должны выпустить производители устройств, а Google уже готова рассылать необходимый для этого исправленный код. Хромбуки (Chrome OS) уже защищены патчами от новых уязвимостей, а в дальнейшем для этого будет исправлена сама операционная система. В то же время Google призывает пользователей убедиться, что производители устройств выпустили необходимые заплатки и (или) эти заплатки предоставили компании Microsoft и Apple как разработчики операционных систем. Для облачных платформ и ЦОД компания Google уже распространила патчи для защиты серверных процессоров от MDS.
Разработчик браузера Firefox компания Mozilla представит пропатченные версии приложения 21 мая. Это будут Firefox версии 67 и Extended Support Release версии 60.7. Браузеры Firefox Beta и Firefox Nightly уже включают необходимые исправления для защиты от новой уязвмости.
Компания Microsoft также выпустила заплатки для операционных систем и облачных платформ. Правда, компания рекомендует получить исправленный микрокод у производителей устройств, хотя также создала страничку для самостоятельной загрузки исправлений. В пакет автоматических обновлений через сервис Windows Update заплатка также внесена и будет распространяться начиная с четверга. Сервис Microsoft Azure уже защищён от новых уязвимостей. Облачный сервис Amazon AWS также пропатчен.
Наконец, вышли заплатки для таких операционных систем на Linux, как Red Hat и Ubuntu. Продолжение следует.
Источники:
