Storie horror: le CPU Intel
Premessa: noi utenti Linux non potremo mai ringraziare abbastanza Intel per tutti i contributi che ha dato e che dà ancora al software libero. Io sono veramente felice che esista Intel e che non siamo solo nelle mani di NVidia o altra gentaglia del genere. Ciò premesso, facciamo la tara, togliamo i sentimenti e veniamo ai fatti nudi e crudi: sono due anni che si scoprono vulnerabilità delle CPU Intel una dietro l'altra: le pubblica Intel stessa, quindi non è un complotto ai danni di Intel, semplicemente non può tenerle nascoste, perché tipicamente non è lei a scoprirle. A partire dalla famosa Meltdown (gennaio 2018) in poi, si è arrivati pochi giorni fa all'ultima in ordine cronologico (e si spera ultima nel vero senso, ma è improbabile), denominata CrossTalk. In totale in questi due anni sono state pubblicate ben 8 vulnerabilità delle CPU Intel, ognuna delle quali, per essere mitigata, impone un lavoro extra al sistema operativo e quindi un rallentamento della CPU che va dall'1 al 7 o 8% a seconda dei casi. In altre parole, se vi sembra che il vostro computer con CPU Intel sia sempre più lento man mano che passa il tempo, questa è una delle cause. Non è l'unica, ma le altre cause sono fisiologiche e comuni a tutti i computer: i dati da elaborare aumentano con il tempo ed il computer resta sempre quello che avete comprato anni prima. Nel caso delle CPU Intel invece anche il computer regredisce, in pratica è come se invecchiasse biologicamente e se da nuovo riusciva a fare mille operazioni matematiche ogni millesimo di secondo, adesso riesce a farne solo 900, indipendentemente da quanti siano i dati da elaborare. Ok, gli errori li commettono tutti, non sarebbe il caso di buttare fango su Intel, perché lo stesso è già capitato anche ad AMD ed ARM, anche se in misura minore. Qual è quindi il vero problema che mi porta a scrivervi queste cose? Il fatto che, con l'ultima vulnerabilità denominata CrossTalk, Intel ha giocato sporco. Ha commesso un errore, lo ha scoperto internamente e lo ha tenuto nascosto per ben due anni. Il problema è che un segreto è tale solo se conosciuto da una sola persona. Nel momento in cui le persone a conoscerlo sono almeno due, non si può più dare per scontato che sia ancora un segreto, almeno non nel mondo della sicurezza informatica. Nel caso di Intel, CrossTalk era noto almeno a tutti quelli di Intel che hanno deciso di tenerlo segreto (tanto che c'è stato un embargo ufficiale sui documenti che descrivono il problema) più quelli (esterni ad Intel) che sono stati pagati per la ricerca. Ciò significa che i vari cracker e bontemponi di turno, che ovviamente non stanno alle regole, tanto meno all'embargo sulla divulgazione dei documenti imposto da Intel, per due anni sapevano come violare i sistemi con CPU Intel (cioè quasi tutti) senza lasciare traccia, mentre noi onesti consumatori (e clienti paganti di Intel) non ne sapevamo niente. Perché Intel ha tenuto nascosta proprio questa per due anni? Qui si entra nell'ambito delle ipotesi non verificate, ma il problema credo che sia la gravità di CrossTalk. Da una parte la mitigazione di questa sola vulnerabilità rallenta le CPU Intel del 97% in alcuni test sintetici e di circa il 10% in alcuni test di carichi reali (Apache, MySQL e simili). Dall'altra la vulnerabilità CrossTalk va ad impattare su un aspetto della sicurezza informatica che è di fondamentale importanza: la generazione dei numeri casuali da parte della CPU. Se queste cose si fossero sapute due anni fa, quando Intel non aveva pronte delle nuove CPU non vulnerabili, avrebbe perso il mercato. Adesso invece può dire "sì ok, ma quelle sono le vecchie CPU, qui abbiamo le nuove, basta che cambi il computer". Con tutto il mio rispetto per Intel e nonostante quanto mi dispiacerebbe veder fallire Intel, io personalmente smetterò di comprare CPU Intel.
In data 13 giugno 2020 alle ore 13:17:54, Lucio via SLiP <slip@liszt.softwareliberopinerolo.org> ha scritto:
Con tutto il mio rispetto per Intel e nonostante quanto mi dispiacerebbe veder fallire Intel, io personalmente smetterò di comprare CPU Intel.
Salve a tutti, prima considerazione: finora tutte le vulnerabilità hardware individuate negli ultimi anni sono realmente sfruttabili in situazioni molto limitate. Siamo in altre parole bel lontani da quello scenraio catastrofico che emerge dagli articoli e dagli abstract. due: i problemi di sicurezza 'hardware' crescono al crescere delle prestazioni richieste. E non solo in informatica... (chiedere al produttore tedesco che ha dovuto depotenziare i propri motori diesel per farli rientrare nelle norme antinquinamento dichiarate). tre: siamo noi utenti ad alimentare questo corsa sfrenata quando decretiamo che la CPU A è straordinaia mentre quella B è un fallimento quando poi la differenza di prestazioni reali è quasi impercettibile. Atteggiamenti del genere hanno ucciso Transmeta, marginalizzato VIA e più di recente portato vicina al fallimento AMD. E gli utenti Linux sono (siamo?) spesso tra i più pretenziosi... Qualche mese fa cercano un notebook a basso costo con Linux preinstallato. A parte qualcosa di Dell per il resto solo macchine da 900/1000 euro in su... quattro: scrasa trasparenza? probabilmente si. ma è una regola generale che vale anche in questo caso ben oltre l'informatica. non ne farei un criterio di scelta assoluto. -- Miriam Greco ITT (South Italy)
Il 13/06/20 15:22, Miriam via SLiP ha scritto:
limitate. Siamo in altre parole bel lontani da quello scenraio catastrofico che emerge dagli articoli e dagli abstract.
Rimane il fatto che le toppe vengono applicate in ogni caso e i rallentamenti ci sono. Forse con Linux andando a pasticciare in /sys si possono spegnere, ma con gli altri sistemi? ciao AP
In data 13 giugno 2020 alle ore 15:59:05, Andrea Primiani via SLiP <slip@liszt.softwareliberopinerolo.org> ha scritto:
Forse con Linux andando a pasticciare in /sys si possono spegnere, ma con gli altri sistemi?
Se intendi Windows, Meltdown e Spectre si disattivano cun un paio di click (e lo stesso vale concettualmente per le altre correzioni): https://www.grc.com/inspectre.htm -- Miriam Greco ITT (South Italy)
Ciao e benvenuta (mi pare tu sia nuova qui, ma magari la memoria mi tradisce), Il 13/06/20 15:22, Miriam via SLiP ha scritto:
prima considerazione: finora tutte le vulnerabilità hardware individuate negli ultimi anni sono realmente sfruttabili in situazioni molto limitate. Siamo in altre parole bel lontani da quello scenraio catastrofico che emerge dagli articoli e dagli abstract.
Per quanto riguarda Meltdown non sono d'accordo: ho personalmente provato a suo tempo ad installare i demo sul mio pc e mi è bastato seguire le istruzioni per ottenere il dump della memoria senza essere root. https://github.com/IAIK/meltdown Se consideri che spesso mi è capitato di dover bonificare server bucati a causa di script PHP o simili fatti con i piedi (anche solo vari plugin di Wordpress per intenderci) e che spesso ho trovato sui server programmi stile a.out mandati in esecuzione automaticamente dagli stessi script bucati, vedi che non ci vuole poi tanto perché un attaccante riesca a leggere, attraverso Meltdown, la memoria di altre macchine virtuali che girano sullo stesso server e che l'amministratore pensava fossero al sicuro in quanto isolate grazie al kernel. Per quanto riguarda invece Spectre e varianti sono d'accordo, è difficilissima da sfruttare e se un malintenzionato ha già tutte le informazioni che servono per sfruttare Spectre, probabilmente ha già anche altri 10 modi più comodi per bucare il computer in questione. Ciò non toglie che Spectre sia l'undicesimo, se i primi 10 non dovessero funzionare per qualche motivo e che sia meglio metterci una pezza se si tratta di un server dove va in esecuzione codice non completamente noto a proiri (quindi più o meno qualsiasi server pubblicamente raggiungibile). Dopo Spectre ho smesso di studiare i dettagli di ogni side-channel attack che veniva scoperto, perché la cosa iniziava a diventare noiosa. Ho semplicemente e pazientemente installato le varie mitigazioni sui server, pensando di poter stare relativamente tranquillo. Ora scopro che in realtà, grazie a CrossTalk e alle scelte di Intel, sono due anni che ho i server sbracati. La documentazione su come fare un exploit sembra essere di ottima qualità e quindi difficilmente nata dal nulla negli ultimi giorni: https://www.vusec.net/projects/crosstalk/ e un demo per CrossTalk è disponibile su Github come per Meltdown: https://github.com/vusec/ridl Basta una shell non privilegiata e pochi secondi per forzare la sicurezza del sistema SGX di Intel: https://youtu.be/7tba2ayE3cI Ad ogni modo quanto sia semplice o difficile sfruttare queste vulnerabilità è soggettivo. Io forse non sarei in grado allo stato attuale, ma se fossi sufficientemente determinato non credo che troverei ostacoli. E come me, chiunque altro.
due: i problemi di sicurezza 'hardware' crescono al crescere delle prestazioni richieste. E non solo in informatica... (chiedere al produttore tedesco che ha dovuto depotenziare i propri motori diesel per farli rientrare nelle norme antinquinamento dichiarate).
Ammesso e non concesso che sia come dici, comunque non giustifica 21 mesi di embargo sulla documentazione. La colpa che attribuisco ad Intel non è l'errore in sé, ma il fatto di averlo tenuto segreto per così tanto tempo.
tre: siamo noi utenti ad alimentare questo corsa sfrenata quando decretiamo che la CPU A è straordinaia mentre quella B è un fallimento quando poi la differenza di prestazioni reali è quasi impercettibile. Atteggiamenti del genere hanno ucciso Transmeta, marginalizzato VIA e più di recente portato vicina al fallimento AMD.
Se vuoi fustigarti perché cerchi il miglior rapporto prezzo/prestazioni fai pure, ma io non mi sento in colpa. In effetti io, tutte le vole che la scelta c'è stata, non mi sono mai limitato a quel rapporto, ma ho sempre guardato anche altre cose e spesso ho finito per comprare cpu AMD e non Intel. Purtroppo quella scelta fino a poco tempo fa non sempre esisteva o se esisteva significava spendere il doppio a parità di prestazioni.
E gli utenti Linux sono (siamo?) spesso tra i più pretenziosi...
Non so dove tu abbia preso queste informazioni, ma a me non risulta. Siamo pretenziosi (giustamente) dal punto di vista del supporto che il produttore da a Linux, non della velocità assoluta di esecuzione.
Qualche mese fa cercano un notebook a basso costo con Linux preinstallato. A parte qualcosa di Dell per il resto solo macchine da 900/1000 euro in su...
Non è colpa degli utenti Linux se i produttori non producono hardware a basso costo compatibile con Linux. Può essere colpa deigli sviluppatori del kernel forse, della licenza GPL se vuoi, ma non degli utenti. La maggior parte degli utenti Linux sono professionisti del settore, quindi i produttori trovano sensato offrire Linux solo sui notebook per professionisti, dove sanno di venderne almeno qualcuno. Se facessero notebook di grado consumer dovrebbero affrontare il problema degli utenti scontenti perché non hanno Windows: se una nonna che tutto quello che capisce di informatica è che ci vuole la corrente per accendere un pc, acquistasse un pc per suo nipote da Mediaworld e poi il nipote non potesse giocarci a Fortnite, probabilmente più che un regalo al nipote farebbe un dispetto e il nipote non comprerebbe mai più quella marca di notebook.
quattro: scarsa trasparenza? probabilmente si. ma è una regola generale che vale anche in questo caso ben oltre l'informatica. non ne farei un criterio di scelta assoluto.
Ovviamente tu sei libera di farne quel che vuoi, ma io, fin che posso scegliere qualcuno più trasparente di come si è dimostrata Intel in questo caso, lo faccio. Come dicevo, pazienza gli errori involontari, ma sulla trasparenza non transigo, altrimenti non sarei un utente Linux. E questa mancanza di trasparenza per ora è stata solo di Intel. Se poi si scoprirà che tutti gli altri (AMD, ARM, Tesla) fanno le stesse cose non resterà che prenderne atto e sperare che qualcuno crei qualcosa di meglio, non potendolo fare io, un po' per l'età non più freschissima ed un po' per la mancanza di risorse. Per ora sappiamo solo di Intel.
In data 13 giugno 2020 alle ore 18:58:11, Lucio via SLiP <slip@liszt.softwareliberopinerolo.org> ha scritto:
Ciao e benvenuta (mi pare tu sia nuova qui, ma magari la memoria mi tradisce),
Grazie (e si, ricordi bene :) )
Per quanto riguarda Meltdown non sono d'accordo [...] attuale, ma se fossi sufficientemente determinato non credo che troverei ostacoli. E come me, chiunque altro.
Diciamo che il mio era un ragionamento lato utente. Su un server dò per scontato che se esiste una patch la si installa anche a costo di penalizzare le prestazioni. La sfruttabilità reale secondo me resta dubbia, ma non è il mio campo per cui mi fido del tuo giudizio.
Ammesso e non concesso che sia come dici, comunque non giustifica 21 mesi di embargo sulla documentazione.
Fuori di dubbio. Ma parliamo di un mercato con due sole alternative (semplificando) e nel quale non ci sono evidenze che una sia più trasparente dell'altra.
Se vuoi fustigarti perché cerchi il miglior rapporto prezzo/prestazioni fai pure, ma io non mi sento in colpa.
Non ci penso proprio a fustigarmi :) anche perché io non vado mai sull'alto di gamma. Benvenga la liberta di scelta, ciò che mi fa pensare sono certi giudizi tranchant per cui se A ha un benchmark di 102 e B di 97, il primo è un prodotto eccezionale ed il secondo fallimentare...
Non è colpa degli utenti Linux se i produttori non producono hardware a basso costo compatibile con Linux. Può essere colpa deigli sviluppatori del kernel forse, della licenza GPL se vuoi, ma non degli utenti.
Non credo, visto che i FreeDOS te li tirano dietro... Il problema nasce quando cerchi Linux preinstallato e trovi (quasi) solo prodotti di fascia medio-alta o alta. Segno che quello è ciò che gli utenti chiedono evidentemente.
farebbe un dispetto e il nipote non comprerebbe mai più quella marca di notebook.
Non mi aspetto di trovarli al supermercato. Ma anche acquistandoli dal produttore, o da una catena specializzata. Gli stessi che i pc FreeDOS li offrono in tutte le salse...
Per ora sappiamo solo di Intel.
Come dicevo sopra non abbiamo la controprova. E nessun produttore ha una chiara politica di trasparenza nei suoi processi. Ci viene comunque richiesto di fidarci a scatola chiusa. -- Miriam Greco ITT (South Italy)
Il 14/06/20 09:16, Miriam via SLiP ha scritto:
Diciamo che il mio era un ragionamento lato utente. Su un server dò per scontato che se esiste una patch la si installa anche a costo di penalizzare le prestazioni. La sfruttabilità reale secondo me resta dubbia, ma non è il mio campo per cui mi fido del tuo giudizio.
La sfruttabilità lato server è assolutamente concreta e preoccupante. Ovviamente sul server queste patch si installano costi quel che costi. Sul desktop la sfruttabilità è teoricamente la stessa, ma in pratica per qualsiasi blackhat bucare un desktop Linux è troppo faticoso in rapporto al beneficio (perché ce ne sono pochi).
Fuori di dubbio. Ma parliamo di un mercato con due sole alternative (semplificando) e nel quale non ci sono evidenze che una sia più trasparente dell'altra.
Per ora c'è un'evidenza che Intel non sia sufficientemente trasparente per gli standard di mercato usati da tutto il resto della concorrenza. Se poi si scoprirà che anche la concorrenza è come Intel, si deciderà come muoversi. Per adesso l'embargo su questo tipo di informazioni dura idealmente al massimo 90 giorni e comunque anche nei casi peggiori (tipo Microsoft per intendersi) entro 180 giorni tutti pubblicano le informazioni e/o le patch. I 21 mesi di Intel non possono essere una svista o un errore involontario. Sono una manovra per insabbiare più a lungo possibile una situazione che 18 mesi fa avrebbe inciso sulle vendite molto più di oggi.
sono certi giudizi tranchant per cui se A ha un benchmark di 102 e B di 97, il primo è un prodotto eccezionale ed il secondo fallimentare...
Assolutamente d'accordo.
Non credo, visto che i FreeDOS te li tirano dietro... Il problema nasce quando cerchi Linux preinstallato e trovi (quasi) solo prodotti di fascia medio-alta o alta. Segno che quello è ciò che gli utenti chiedono evidentemente.
Sì, in questo senso sì, perché come dicevo la maggior parte degli utenti Linux (probabilmente più del 90%) è un professionista del settore, quindi è a loro che si rivolgono i produttori. Io, anche se ce ne fossero, non comprerei mai dei notebook da meno di 1000 euro, perché per lavorarci non hanno le caratteristiche che mi servono, che però non sono la CPU veloce, ma l'espandibilità, i materiali durevoli, la batteria, il monitor di qualità, la tastiera comoda, il trackpoint, l'assistenza on site, ecc... anche mettendoci una mediocre, tutta quella roba viene a costare sicuramente più di 1000 euro a me acquirente finale e comunque la comprerei indipendentemente dalla CPU. Non è la voglia di gigahertz che spinge i professionisti a volere notebook di qualità, anche perché la CPU, per quanto sia veloce, su un notebook sarà sempre troppo lenta per qualsiasi carico CPU-bound e quel tipo di computazioni i professionisti li fanno su workstation desktop o su server, non sul notebook. FreeDOS te lo tirano dietro, perché il target non sono gli utenti FreeDOS (che non esistono), ma gli utenti Linux che sanno come installarselo e comunque non possono pretendere da chi glielo ha venduto che Linux poi ci funzioni, visto che Linux non è il sistema operativo ufficialmente supportato da quel modello. In quel caso possono fregarsene del supporto, darti l'hardware più economico che hanno per fare la guerra dei prezzi e togliere anche la licenza di Windows dal costo finale, tanto sanno che chi lo compra o ci mette Linux o ci mette Windows crackato, ma in entrambi i casi non chiederà niente a nessuno. Se te lo vendono con Linux, devono garantirti che poi funzionerà con Linux e per darti questa garanzia i costi, per i produttori, attualmente sono più alti che con Windows, quindi anche per quello non trovi modelli con Linux a 300 euro. La CPU che ci mettono non ha nulla a che vedere con il discorso, perché è forse l'unico componente che, indipendentemente da marca e modello, Linux supporta meglio di Windows.
Come dicevo sopra non abbiamo la controprova. E nessun produttore ha una chiara politica di trasparenza nei suoi processi. Ci viene comunque richiesto di fidarci a scatola chiusa.
In questo senso anche comprando il pane ti fidi a scatola chiusa, ma se poi scopri che il panettiere ci mette sabbia invece di farina cambi panettiere e non è che al nuovo chiedi di farti vedere come fa il pane prima di comprarlo, no? E nemmeno continui a comprare il pane alla sabbia solo perché potenzialmente anche gli altri potrebbero fregarti.
partecipanti (3)
-
Andrea Primiani -
Lucio -
Miriam