Ciao e benvenuta (mi pare tu sia nuova qui, ma magari la memoria mi tradisce), Il 13/06/20 15:22, Miriam via SLiP ha scritto:
prima considerazione: finora tutte le vulnerabilità hardware individuate negli ultimi anni sono realmente sfruttabili in situazioni molto limitate. Siamo in altre parole bel lontani da quello scenraio catastrofico che emerge dagli articoli e dagli abstract.
Per quanto riguarda Meltdown non sono d'accordo: ho personalmente provato a suo tempo ad installare i demo sul mio pc e mi è bastato seguire le istruzioni per ottenere il dump della memoria senza essere root. https://github.com/IAIK/meltdown Se consideri che spesso mi è capitato di dover bonificare server bucati a causa di script PHP o simili fatti con i piedi (anche solo vari plugin di Wordpress per intenderci) e che spesso ho trovato sui server programmi stile a.out mandati in esecuzione automaticamente dagli stessi script bucati, vedi che non ci vuole poi tanto perché un attaccante riesca a leggere, attraverso Meltdown, la memoria di altre macchine virtuali che girano sullo stesso server e che l'amministratore pensava fossero al sicuro in quanto isolate grazie al kernel. Per quanto riguarda invece Spectre e varianti sono d'accordo, è difficilissima da sfruttare e se un malintenzionato ha già tutte le informazioni che servono per sfruttare Spectre, probabilmente ha già anche altri 10 modi più comodi per bucare il computer in questione. Ciò non toglie che Spectre sia l'undicesimo, se i primi 10 non dovessero funzionare per qualche motivo e che sia meglio metterci una pezza se si tratta di un server dove va in esecuzione codice non completamente noto a proiri (quindi più o meno qualsiasi server pubblicamente raggiungibile). Dopo Spectre ho smesso di studiare i dettagli di ogni side-channel attack che veniva scoperto, perché la cosa iniziava a diventare noiosa. Ho semplicemente e pazientemente installato le varie mitigazioni sui server, pensando di poter stare relativamente tranquillo. Ora scopro che in realtà, grazie a CrossTalk e alle scelte di Intel, sono due anni che ho i server sbracati. La documentazione su come fare un exploit sembra essere di ottima qualità e quindi difficilmente nata dal nulla negli ultimi giorni: https://www.vusec.net/projects/crosstalk/ e un demo per CrossTalk è disponibile su Github come per Meltdown: https://github.com/vusec/ridl Basta una shell non privilegiata e pochi secondi per forzare la sicurezza del sistema SGX di Intel: https://youtu.be/7tba2ayE3cI Ad ogni modo quanto sia semplice o difficile sfruttare queste vulnerabilità è soggettivo. Io forse non sarei in grado allo stato attuale, ma se fossi sufficientemente determinato non credo che troverei ostacoli. E come me, chiunque altro.
due: i problemi di sicurezza 'hardware' crescono al crescere delle prestazioni richieste. E non solo in informatica... (chiedere al produttore tedesco che ha dovuto depotenziare i propri motori diesel per farli rientrare nelle norme antinquinamento dichiarate).
Ammesso e non concesso che sia come dici, comunque non giustifica 21 mesi di embargo sulla documentazione. La colpa che attribuisco ad Intel non è l'errore in sé, ma il fatto di averlo tenuto segreto per così tanto tempo.
tre: siamo noi utenti ad alimentare questo corsa sfrenata quando decretiamo che la CPU A è straordinaia mentre quella B è un fallimento quando poi la differenza di prestazioni reali è quasi impercettibile. Atteggiamenti del genere hanno ucciso Transmeta, marginalizzato VIA e più di recente portato vicina al fallimento AMD.
Se vuoi fustigarti perché cerchi il miglior rapporto prezzo/prestazioni fai pure, ma io non mi sento in colpa. In effetti io, tutte le vole che la scelta c'è stata, non mi sono mai limitato a quel rapporto, ma ho sempre guardato anche altre cose e spesso ho finito per comprare cpu AMD e non Intel. Purtroppo quella scelta fino a poco tempo fa non sempre esisteva o se esisteva significava spendere il doppio a parità di prestazioni.
E gli utenti Linux sono (siamo?) spesso tra i più pretenziosi...
Non so dove tu abbia preso queste informazioni, ma a me non risulta. Siamo pretenziosi (giustamente) dal punto di vista del supporto che il produttore da a Linux, non della velocità assoluta di esecuzione.
Qualche mese fa cercano un notebook a basso costo con Linux preinstallato. A parte qualcosa di Dell per il resto solo macchine da 900/1000 euro in su...
Non è colpa degli utenti Linux se i produttori non producono hardware a basso costo compatibile con Linux. Può essere colpa deigli sviluppatori del kernel forse, della licenza GPL se vuoi, ma non degli utenti. La maggior parte degli utenti Linux sono professionisti del settore, quindi i produttori trovano sensato offrire Linux solo sui notebook per professionisti, dove sanno di venderne almeno qualcuno. Se facessero notebook di grado consumer dovrebbero affrontare il problema degli utenti scontenti perché non hanno Windows: se una nonna che tutto quello che capisce di informatica è che ci vuole la corrente per accendere un pc, acquistasse un pc per suo nipote da Mediaworld e poi il nipote non potesse giocarci a Fortnite, probabilmente più che un regalo al nipote farebbe un dispetto e il nipote non comprerebbe mai più quella marca di notebook.
quattro: scarsa trasparenza? probabilmente si. ma è una regola generale che vale anche in questo caso ben oltre l'informatica. non ne farei un criterio di scelta assoluto.
Ovviamente tu sei libera di farne quel che vuoi, ma io, fin che posso scegliere qualcuno più trasparente di come si è dimostrata Intel in questo caso, lo faccio. Come dicevo, pazienza gli errori involontari, ma sulla trasparenza non transigo, altrimenti non sarei un utente Linux. E questa mancanza di trasparenza per ora è stata solo di Intel. Se poi si scoprirà che tutti gli altri (AMD, ARM, Tesla) fanno le stesse cose non resterà che prenderne atto e sperare che qualcuno crei qualcosa di meglio, non potendolo fare io, un po' per l'età non più freschissima ed un po' per la mancanza di risorse. Per ora sappiamo solo di Intel.