حفره های امنیتی Spectre و Meltdown در هفته های اخیر به داغ ترین بحث حوزه امنیت سایبری در رسانه های جهان تبدیل شده اند. در حالی که در ابتدا تصور میشد تنها اینتل با این حفره های امنیتی به مشکل برخورد کرده و تمامی رایانه هایی که از پردازنده های ساخت اینتل در طول 20 سال گذشته استفاده می کردند در برابر این حملات آسیب پذیرند، به تدریج مشخص شد کروم بوک های گوگل، دستگاه های اپل و حتی کارت های گرافیک انویدیا نیز در برابر این حفره ها آسیب پذیر هستند. همچنین پس از آنکه اعلام شد شرکت های مختلف در حال انتشار بروزرسانی هایی برای مقاوم سازی سیستم ها در برابر این حفره ها هستند، مشخص شد اکثر آنها باعث تاثیر منفی در عملکرد پردازشی رایانه می شوند. اخیرا مایکروسافت توضیحاتی درباره چگونگی تاثیر افزونه های امنیتی Spectre و Meltdown بر کند شدن رایانه ها منتشر کرده است.
همان طور که قبلا هم توسط مایکروسافت اشاره شده بود، رایانه هایی که از سیستم عامل ویندوز 10 و نسخه های جدیدتر پردازنده های اینتل استفاده می کنند شاهد افت پردازشی چندانی نخواهند بود، اما رایانه های قدیمی تر با پردازنده های قدیمی و سیستم عامل های ویندوز 7 و ویندوز 8 با مشکلات بیشتری روبرو خواهند شد. با توجه به توضیحات مایکروسافت، پردازنده های هسول اینتل و مدل های قدیمی تر از آن بیشترین تاثیر را از بروزرسانی های امنیتی دریافت خواهند کرد. هر چند میزان افت پردازش سیستم بسته به کاربری آن متفاوت خواهد بود. همچنین به گفته مایکروسافت، بررسی های این شرکت نشان داده است که اجرای بنچمارک ها پس از بروزرسانی امنیتی بر روی سیستم هایی که از پردازنده های اسکای لیک، کابی لیک یا جدیدتر استفاده می کنند “یک رقمی” است و بسیاری از کاربران متوجه تغییر در عملکرد سیستم نخواهند شد. همچنین رایانه هایی که از سیستم عامل ویندوز 10 و پردازنده های قدیمی تر مانند هسول استفاده می کنند دچار بیشترین افت کیفی خواهند شد که توسط کاربران قابل لمس است. همچنین این افت در عملکرد پردازشی در رایانه های مجهز به پردازنده هسول و سیستم عامل ویندوز 7 یا 8 شدیدتر خواهد بود.
درباره افزونه های ارائه شده توسط شرکت های مختلف، مایکروسافت اعتقاد دارد به جز بروزرسانی امنیتی منتشر شده توسط خود این شرکت، سایر کمپانی ها می بایست بر روی برطرف کردن نقاط ضعف حفره Spectre نوع دوم متمرکز شوند. این شرکت با شفافیت خبری تلاش می کند از اتهام کاربران مبنی بر کند کردن عمدی رایانه های قدیمی ویندوزی توسط مایکروسافت رها شود؛ مشکلی که پیشتر برای اپل به وجود آمده و این شرکت هنوز از عواقب آن خلاصی نیافته است.
توسط 
توسط 
در پاسخ به “حامد” :
در همون سایت رسمی مربوط به این دو باگ خیلی واضح اشاره کرده.
من هم توضیح دادم که چرا Spectre خطرناک تر و مخرب تر هست.
اشاره کردم که دسترسی Sepctre بیشتر هست و به مکان های حساس تری هم دسترسی داره.
ایزولیشن کرنل هم به خاطر همین انجام شده که از دسترسی هاش جلوگیری کنن.
It allows an attacker to trick error-free programs, which follow best practices, into leaking their secrets. In fact, the safety checks of said best practices actually increase the attack surface and may make applications more susceptible to Spectre.
قشنگ گفته برنامه ها به این باگ Spectre مستعدتر هستند.
در سایت همین باگ ها اشاره شده که جلوگیری از باگ Spectre سخت تر هست و گفته عمل Mitigation رو در امنیت بخشیدن سخت تر میکنه.
کاری هم ندارم کسی همون اول چه چیزی در مورد NSA گفته.
منظور من هم سوء استفاده از این باگ ها توسط NSA بود، نه این که خود NSA باعث به وجود اومدن این باگ ها شده باشه.
خوب پس متوجه شدم مشکلاتی برای امثال شماها وجود داره که نتونستید مسئله به همین سادگی رو هم درک کنید.
CPU با GPU کاملاً تفاوت داره و اصلاً ماهیتشون با هم دیگه از پایه فرق میکنه. از همون اول هم انویدیا در یک جدول شرح داد بود که این درایورها برای جلوگیری از تأثیر این باگ ها داره منتشر میشه و اشاره شده بود که اصلاً GPUها نمیتونند آسیب پذیر باشند.
همین طور گفته بود که ما هم مثل دیگران این پچ رو برای همون تحت تأثیر قرار نگرفتن CPUها منتشر میکنیم و ربطی به GPU نداره. منبابع هم برای این موضوع فراوانه.
اون آپدیت هم صرفاً برای تغییر عنوان هست و ربطی به خود اصل موضوع یا مطلب نداره.
(حالا این که افرادی مثل شما همچین مسئله ساده ای رو هم توجه نمیشید مشکل از خودتونه.)
در پاسخ به علی
اطلاع رسانی غلط و ماله کشی از طرف شماست. کجا محقق گفته Spectre خطرناکتر از Meltdown هست؟
من توضیح دادم و منبع هم گذاشتم که چرا Meltdown خطرناکتر هست. در ضمن Meltdown هم به کامپیوترهای شخصی و هم ماشین های مجازی آسیب می زنه. اطلاعات غلط ندهید.
This (Meltdown) applies both to personal computers as well as cloud infrastructure.
از همون روز اول انتشار من گفتم دست NSA در کار هست.
من از همون اولش می دونستم که آپدیت درایور ربطی به آسیب پذیر بودن خود GPU ها نداره. بی سواد هم خودتی که هنوز نفهمیدی در روزی که خبر Nvidia منتشر شد حرفی از این که GPU ها immune هستند زده نشده بود و بعدا که در برخی خبرها پخش شده بود که ممکنه خود GPU آسیب پذیر باشه، شرکت Nvidia آمد اعلام کرد که این طور نیست. برو به این لینک Security Notice: CPU Speculative Side Channel Vulnerabilities ([url]”https://nvidia.custhelp.com/app/answers/detail/a_id/4609/related/1/session/L2F2LzEvdGltZS8xNTE2MDE5NjU5L3NpZC9mVURxN1NRZkdZcDJCRnIybDc3cmRweUpJaGJMMTVFUWNtZk40SEUxQXNiVlpfY2Z3eVVteWE4ajBtWVlicVUxV3ZWenR5WVdGcWR4R1ZKUlFhQnVnbXJ1bENEZzh2akFuYk1HNHhQWmF2T1pEcG9fanRvU3l4WXclMjElMjE%3D”[/url]) و تاریخ آپدیتش رو ببین(Updated 01/11/2018 12:07 AM).
اطلاع رسانی غلط و ماله کشی کار خوبی نیست.
خود محقق اون پروژه به صراحت از خطرناک تر بودن و مخرب تر بودن باگ Spectre میگه. این باگ جدید هم نیست و مربوط به سال های پیش هست، پس روش سوء استفاده ازش زیاد هست. همین سازمان NSA یکی از اون هایی هست که بدون شک روش نفوذ از طریق هر دو باگ رو به راحتی انجام میده و در اختیار داره.
پس میشه این طوری هم استدلال کرد که وقت کافی برای هر هکر و نفوذگری وجود داشته که روش های سوء استفاده از باگ Spectre رو تا حد زیادی گسترش بده.
Spectre هم اتفاقاً به خاطر دسترسی بیشتری که داره لقب خطرناک تر بودن رو گرفته. اون Meltdown هست که مثلاً در ماشین های مجازی میتونه به یک ماشین دیگر دسترسی داشته باشه.
برای Spectre قابلیت PTI رو بیشتر گسترش دادن و به کرنل هم رسوندنش که از دسترسی های بیش از حدش جلوگیری کنن.
به خاطر همین هم کارایی افت پیدا میکنه.
البته اون چیزی که گفتم شامل افرادی مثل تو هم میشه.
انویدیا هم اصلاً از اول درست اطلاع رسانی کرد. در یک جدول قشنگ اومد توضیح داد که برای کدوم سری ها آپدیت درایور میاد و بعد هم در CES 2018 صراحتاً گفت که کلاً GPUها در برابر این باگ ها ایمن هستند.
“Our GPUs are immune, they’re not affected by these security issues,” Nvidia CEO Jensen Huang said during a general press Q&A this morning. “What we did is we released driver updates to patch the CPU security vulnerability. We are patching the CPU vulnerability the same way that Amazon , the same way that SAP, the same way that Microsoft, etc are patching, because we have software as well.”
“I am absolutely certain that our GPU is not affected,” Huang said, in no uncertain terms.
صراحتاً گفته که این باگ ها فقط محدود به CPUها میشه و GPUهای ما آسیب پذیر نیستند.
فقط یک سری بیسواد که به من ریپلای میکنند، فکر میکردند که GPUها در برابر این باگ ها آسیب پذیر هستند، چرا که همین رو هم نمیدونند که ماهیت GPUها کاملاً متفاوت از CPUهاست، و این باگ ها فقط CPUها رو درگیر میکنه.
اصلاً اگر خود انویدیا هم اطلاع رسانی نادرست کرده بود افراد جوگیر باید متوجه میشدن که هیچ GPUای درگیر این باگ ها نیست.
من همون اول به راحتی متوجه شدم، ولی بعضی ها اصلاً نمیخوان که بفهمن.
Meltdown خطرناکتر هست چون هم راحت تر امکان پیاده سازی داره و هم دسترسی به کل حافظه (سیستم عامل و سایر نرم افزارها) را دارد. ولی پیاده سازی Spectre خیلی سخت تر هست و فقط امکان دسترسی به اطلاعات سری سایر نرم افزارها را می دهد نه کل سیستم. (منبع https://meltdownattack.com)
البته اگر از لحاظ مقابله در نظر بگیریم مقابله با spectre هم سخت تر هست.
در هر دو آسیب پذیری با کمک به روز رسانی خطر کاهش می یابد ولی به طور کامل برطرف نمی شود.
آقای باسواد این که همه فکر می کردند GPU های Nvidia آسیب پذیری دارند به خاطر اطلاع رسانی غیر شفاف شرکت Nvidia بود نه به خاطر بی سوادی. قبل از توهین کردن به دیگران کمی فکر کنید.
Nvidia issued a security bulletin on Tuesday detailing updates it made to its driver software to address the so-called Meltdown CPU vulnerability revealed by Google’s Project Zero. The bulletin was misinterpreted by some outlets as an admission that Nvidia’s GPUs were also affected.
در ضمن، قابل توج اون بی سوادی که میگه کارت های انویدیا در مقابل این باگ ها آسیب پذیر هستند باید بگم که اصلاً هیچ کدام از GPUها نمیتونند در مقابل این باگ ها آسیب پذیر باشند، چون ماهیتشون کاملاً با CPUها متفاوت هست، و فقط هم پردازنده های مرکزی درگیر این باگ ها هستند.
تو دیگه معلوم نیست اصلاً فازت چیه. کدوم آسیب پذیری محدود. حتی گفتن فنوم رو هم درگیر میکنه.
Spectre اتفاقاً خطرناک تر از اون یکی باگ هست. و برطبق گفته محقق گوگل پردازنده های AMD خیلی درگیر این باگ هستند.
به حرف خود AMD که باشه میگه پردازنده های ما اصلاً آسیب پذیر نیستند. این ها فقط برای ماله کشی هست.
همه به بدترین شکل ممکن آسیب پذیر هستند، هیچ فرقی هم نمیکنه که این کمتر یا اون بیشتر. فقط در بخش های مختلف آسیب پذیری با هم تفاوت دارن.
خود همون AMD هم شاید اصلاً برای پردازنده های قدیمیش آپدیت میکروکد نده. باز حالا اینتل میخواد واسه پنج سال پیش آپدیت بده کاربر زیاد هم داره اون نسل ها، ولی AMD اصلاً توی نسل های قبل رایزن کاربری نداره که بخواد واسه اون یه عده ناچیز آپدیت بده.
حتی ARM هم که از همه بیشتر مقاومت نشون میداد، جدیداً مشخص شده که با آپدیت کارایی حتی تا 40 درصد هم کاهش پیدا میکنه در گوشی های موبایل.
جالب بود بالاخره یجا صراحتا نوشت melt down مربوط به ای ام دی نیست
ما که بعد نصب آپدیتی این هفته . ماکروسافت برای برطرف کردن کندی سیستم ارائه کرده بود .. مکرر دچار صفحه آبی و خشک شدن سیستم شدم . مجبور شدم آپدیت و حذف کنم . کندی بهتر از خشک شدن بود
سلام
من مجدد نوشته های قبلیم رو تصحیح می کنم. به نظر می رسه که برخی از پردازنده های قدیمی تر AMD هم آسیب پذیرند (از 2008 به بعد). ولی آسیب پذیریشون از اینتل کمتره. خودم از Intel Core2 استفاده می کنم و امیدوارم آسیب پذیر نباشند 🙁 و نیاز به آپدیت نداشته باشم و روی سرعت پردازنده تاثیر نگذاره.
به هر حال باید منتظر اطلاعات جدید باشیم.
طبق لینکی که خودتون گذاشتید پردازنده های AMD از [u]2015[/u] به یعد [u]آسیب پذیری محدود[/u] دارند که قرار هست آپدیت مایکرو کد ارائه بشه. ولی برای اینتل حداقل از پردازنده های [u]2008[/u] به بعد [u]کلیه ی آسیب پذیری ها[/u] رو دارند و پردازنده های قدیمی به احتمال بسیار زیاد آپدیت مایکرو کد دریافت نمی کنند. البته باید منتظر بود و دید که آیا پردازنده های قدیمی تر از این ها هم آسیب پذیر هستند یا نه.
The AMD CPUs Affected By Spectre ([url]”https://www.techarp.com/guides/complete-meltdown-spectre-cpu-list”[/url])
Intel Desktop CPUs Affected By Meltdown + Spectre ([url]”https://www.techarp.com/guides/complete-meltdown-spectre-cpu-list/3″[/url])
همونطور که میدونین این specture برخلاف meltdown که فقط شامل اینتل بود .علاوه بر اینتل شامل کارت گرافیک های انویدیا هم میشه حتی پردازنده های قدرتمند رایزن
این هم آپدیت میکروکدی که خود AMD قرار هست برای پردازنده های رایزن و اپیک منتشر کنه و گفته که علاوه بر پردازنده های قدیمی اون ها هم آسیب پذیر هستند.
توی سایت رسمی خوش هم کاملاً اعتراف کرده :
https://www.amd.com/en/corporate/speculative-execution?sf178974629=1
قابل توجه یک سری متوهم که فکر میکردن فقط به اینتل محدود میشه و واسه AMD با یک نقاشی ساده عمل ماله کشی رو انجام میدادن.
به به هر روز یه بدبختی به بدبختیهامون اضافه میشه
یه سیستم ضعیف داریم اینم کند بشه من شخصا از دنیا خداحافظی میکنم …والا