Chyby v procesorech: jak vám zpomalí počítač, co mohou ohrozit a jak se bránit

A jak moc?

treba u db (hodne IO operaci) to pry muze byt kolem 30%

Kolik to prý může bytu úplně jedno, podstatné je kolik to fakticky je a jestli vůbec ....

Bez vetsiho detailu... Linuxovy DB server (RHEL 7, Oracle 12), intenzivni IO, CPU zatez bez KPTI patche ~60%, s patchem ~100%.

30-60% podľa toho o čo sa jedná. Pokiaľ prehľadávalo databázu a nebola "naindexovaná", tak sme šli na kávu a za ten čas nám vyvolávali (robili sme to ráno o 6, takže iba výroba, čo je iba 50 ľudí), čo sa deje. Je to v pi**. Ale po indexácií to nebolo také zlé. Povedal by som, že tak na 20-30%.

mate pouzivat amd proboha, intel na serverech to je hnus velebnosti

Meltdown neni zavaznejsi. Resp. byl do zverejneneni. V tuhle chvili se lepe zneuziva a demosntruje, ale za tyden se to zapatchuje a nikdo o tom nebude vedet.Spectre je vetsi problem, protoze se tak spatne patchuje a tyka se skoro vseho.V tuhle chvili se to spatne zneuziva, ale nyni kdyz to bylo popsano se o to bude snazit vic lidi tak je to jen otazka casu nez se to stane praktictejsi. Z dlouhodobeho hlediska jde o podstatne vetsi problem.

Od pátku už jsou na Intel tři hromadné žaloby za tuto kauzu podány - https://www.theguardian.com/technology/2018/jan/05/in...

Vyhraný soud, který by intel přinutil vracet peníze všem, kdo mají jejich procesory, pokud by byla vyhraná, by nejspíš firmu přivedla ke krachu. Nemůžu říct, že bych zrovna po tomhle toužil.

https://security-center.intel.com/advisory.aspx Podle oficiálního listu se to Core2Duo netýká. Všechno novější ano.

Tyka. Jen k nim Intel nadava zadna doporuceni, protoze Core 2 Duo je obsolete a od roku 2011 mimo aktivni podporu.

Nejvetsi riziko je pro severy, protoze bare metal servery jsou uz pase a vse dneska vse bezi ve sdilenych konktejnerech a za hypervizory, ktere spolehaji na hw ochranu pameti.Ale ani bezne pouzivane pocitace nejsou bez rizika.Asi tahle. Webove prohlizece umozni poustet javascript na vasem pocitaci navstevou stranky. Tak holt dneska funguje web (bohuzel). Tahle chyba umoznuje napsat exploit, ktery objejde ochranu pameti a pomaloucku, ale prece precte kompletni obsah pameti vaseho pocitace, ve ktere muzou byt hesla, duverne udaje, nacachovane soubory z vaseho disku, atd.Patche rozhodne instalovat. I kdyz to nemusi byt snadno zneuzitelne v tuhle chvili tohle je velky problem.

Sice nevím, jak ta chyba přesně funguje, ale že by na její zneužití stačil javascript, který o nějakých registrech v procesoru nemá ani tušení, to si dovolím považovat za velmi, velmi nepravděpodobné.

Tak o tom nemusíme spekulovat, protože ta chyba byla mj demonstrována právě na kódu v javascriptu.Jedno z protiopatření na straně prohlížečů spočívá ve snížení přenosti timerů v js.

Nepochopil jste to správně. Jakákoli aplikace, včetně např. skriptu na webové stránce, je schopná číst jakýkoli region paměti, včetně jiných aplikací a samotného operačního systému, pokud se jí podaří dostat požadovanou adresu paměti do cache procesoru - a to se jí může podařit díky tomu, že prefetcher (mechanismus, který načítá data z RAM do cache dříve, než jsou programem vyžadována) nekontroluje oprávnění přístupu k takovým datům. Jde tedy o hardwarovou vadu ignorování oprávnění.Instalace a spuštění keyloggeru je proti tomu nesrovnatelně náročnější akce, zejména s ohledem na to, že uživatel musí něco takovéhk odsouhlasit (aspoň nevědomky).

Díky oběma za detaily, které v článku jako obvykle nebyly.Částečnou ochranu tedy poskytuje blokování skriptů v prohlížeči, na pc kde neběží důležitý obsah by to zřejmě bohatě stačilo.
A jinak prostě záplatovat.

Nejenom záplatovat. Proti Spectre je nutný i aktualizovaný microcode update (ten Intel zatím vydal jen na některé procesory), tj. typicky update BIOSu.

Nechápu. Jak by si script, který s fyzickými adresami do paměti nijak nepracuje (pokud vím, je to pořád interpretovaný jazyk), něco takového vynutil?

A byte array je asi co?Ať už je to psáno v čemkoliv nakonec se emituje (lhostejno jestli dopředu nebo JIT) strojový kód.Tohle je ten js kód z toho reportu Spectre:if (index < simpleByteArray.length) {
index = simpleByteArray[index | 0];
index = (((index * TABLE1_STRIDE)|0) & (TABLE1_BYTES-1))|0;
localJunk ^= probeTable[index|0]|0;
}

Muzes pouzit i novejsi procesory, tyhle optimalizace zacaly myslim az s pentii, takze na 486 bych se taky nebal