[S.Li.P] Storie horror: le CPU Intel

[Lucio]

Ciao e benvenuta (mi pare tu sia nuova qui, ma magari la memoria mi 
tradisce),

Il 13/06/20 15:22, Miriam via SLiP ha scritto:
> prima considerazione: finora tutte le vulnerabilità hardware individuate 
> negli ultimi anni sono realmente sfruttabili in situazioni molto 
> limitate. Siamo in altre parole bel lontani da quello scenraio 
> catastrofico che emerge dagli articoli e dagli abstract.
>

Per quanto riguarda Meltdown non sono d'accordo: ho personalmente 
provato a suo tempo ad installare i demo sul mio pc e mi è bastato 
seguire le istruzioni per ottenere il dump della memoria senza essere root.

https://github.com/IAIK/meltdown

Se consideri che spesso mi è capitato di dover bonificare server bucati 
a causa di script PHP o simili fatti con i piedi (anche solo vari plugin 
di Wordpress per intenderci) e che spesso ho trovato sui server 
programmi stile a.out mandati in esecuzione automaticamente dagli stessi 
script bucati, vedi che non ci vuole poi tanto perché un attaccante 
riesca a leggere, attraverso Meltdown, la memoria di altre macchine 
virtuali che girano sullo stesso server e che l'amministratore pensava 
fossero al sicuro in quanto isolate grazie al kernel.

Per quanto riguarda invece Spectre e varianti sono d'accordo, è 
difficilissima da sfruttare e se un malintenzionato ha già tutte le 
informazioni che servono per sfruttare Spectre, probabilmente ha già 
anche altri 10 modi più comodi per bucare il computer in questione. Ciò 
non toglie che Spectre sia l'undicesimo, se i primi 10 non dovessero 
funzionare per qualche motivo e che sia meglio metterci una pezza se si 
tratta di un server dove va in esecuzione codice non completamente noto 
a proiri (quindi più o meno qualsiasi server pubblicamente raggiungibile).

Dopo Spectre ho smesso di studiare i dettagli di ogni side-channel 
attack che veniva scoperto, perché la cosa iniziava a diventare noiosa. 
Ho semplicemente e pazientemente installato le varie mitigazioni sui 
server, pensando di poter stare relativamente tranquillo.

Ora scopro che in realtà, grazie a CrossTalk e alle scelte di Intel, 
sono due anni che ho i server sbracati. La documentazione su come fare 
un exploit sembra essere di ottima qualità e quindi difficilmente nata 
dal nulla negli ultimi giorni:

https://www.vusec.net/projects/crosstalk/

e un demo per CrossTalk è disponibile su Github come per Meltdown:

https://github.com/vusec/ridl

Basta una shell non privilegiata e pochi secondi per forzare la 
sicurezza del sistema SGX di Intel:

https://youtu.be/7tba2ayE3cI

Ad ogni modo quanto sia semplice o difficile sfruttare queste 
vulnerabilità è soggettivo. Io forse non sarei in grado allo stato 
attuale, ma se fossi sufficientemente determinato non credo che troverei 
ostacoli. E come me, chiunque altro.


> due: i problemi di sicurezza 'hardware' crescono al crescere delle 
> prestazioni richieste. E non solo in informatica... (chiedere al 
> produttore tedesco che ha dovuto depotenziare i propri motori diesel per 
> farli rientrare nelle norme antinquinamento dichiarate).
> 

Ammesso e non concesso che sia come dici, comunque non giustifica 21 
mesi di embargo sulla documentazione. La colpa che attribuisco ad Intel 
non è l'errore in sé, ma il fatto di averlo tenuto segreto per così 
tanto tempo.

> tre: siamo noi utenti ad alimentare questo corsa sfrenata quando 
> decretiamo che la CPU A è straordinaia mentre quella B è un fallimento 
> quando poi la differenza di prestazioni reali è quasi impercettibile. 
> Atteggiamenti del genere hanno ucciso Transmeta, marginalizzato VIA e 
> più di recente portato vicina al fallimento AMD.

Se vuoi fustigarti perché cerchi il miglior rapporto prezzo/prestazioni 
fai pure, ma io non mi sento in colpa. In effetti io, tutte le vole che 
la scelta c'è stata, non mi sono mai limitato a quel rapporto, ma ho 
sempre guardato anche altre cose e spesso ho finito per comprare cpu AMD 
e non Intel. Purtroppo quella scelta fino a poco tempo fa non sempre 
esisteva o se esisteva significava spendere il doppio a parità di 
prestazioni.

> E gli utenti Linux sono 
> (siamo?) spesso tra i più pretenziosi...

Non so dove tu abbia preso queste informazioni, ma a me non risulta. 
Siamo pretenziosi (giustamente) dal punto di vista del supporto che il 
produttore da a Linux, non della velocità assoluta di esecuzione.


> Qualche mese fa cercano un 
> notebook a basso costo con Linux preinstallato. A parte qualcosa di Dell 
> per il resto solo macchine da 900/1000 euro in su...

Non è colpa degli utenti Linux se i produttori non producono hardware a 
basso costo compatibile con Linux. Può essere colpa deigli sviluppatori 
del kernel forse, della licenza GPL se vuoi, ma non degli utenti.

La maggior parte degli utenti Linux sono professionisti del settore, 
quindi i produttori trovano sensato offrire Linux solo sui notebook per 
professionisti, dove sanno di venderne almeno qualcuno. Se facessero 
notebook di grado consumer dovrebbero affrontare il problema degli 
utenti scontenti perché non hanno Windows: se una nonna che tutto quello 
che capisce di informatica è che ci vuole la corrente per accendere un 
pc, acquistasse un pc per suo nipote da Mediaworld e poi il nipote non 
potesse giocarci a Fortnite, probabilmente più che un regalo al nipote 
farebbe un dispetto e il nipote non comprerebbe mai più quella marca di 
notebook.


> quattro: scarsa trasparenza? probabilmente si. ma è una regola generale 
> che vale anche in questo caso ben oltre l'informatica. non ne farei un 
> criterio di scelta assoluto.
> 

Ovviamente tu sei libera di farne quel che vuoi, ma io, fin che posso 
scegliere qualcuno più trasparente di come si è dimostrata Intel in 
questo caso, lo faccio. Come dicevo, pazienza gli errori involontari, ma 
sulla trasparenza non transigo, altrimenti non sarei un utente Linux. E 
questa mancanza di trasparenza per ora è stata solo di Intel. Se poi si 
scoprirà che tutti gli altri (AMD, ARM, Tesla) fanno le stesse cose non 
resterà che prenderne atto e sperare che qualcuno crei qualcosa di 
meglio, non potendolo fare io, un po' per l'età non più freschissima ed 
un po' per la mancanza di risorse. Per ora sappiamo solo di Intel.