COMPTOIR
  
register

Composé par ————— —— 34686 vues

Un bug matériel chez Intel : 10 ans de processeurs impactés (MAJ)

MAJ (04/01/2018) : Le patch d'AMD a été pris en compte, aucune perte de performances pour les rouges !

 

Grave nouvelle aujourd'hui ! Tous les processeurs Intel récents - c'est à dire produits sur ces dix dernières années - seraient affligés d'un bug hardware affectant la gestion de la mémoire virtuelle dédiée au noyau. Cette dernière est habituellement restreinte pour les processus utilisateurs, seul le kernel du système d'exploitation ayant les permissions nécessaires à y régner en maître. Pour les amateurs du pingouin, il s'agit d'une sécurité au niveau même du processeur, séparée du droit root (si si, même "sudo" n'y changerait rien !).

 

Cette zone permet (en théorie) des interactions plus fluides lors des changements de contexte entre les programmes et le noyau (par exemple lors des appels systèmes, très présent pour les entrées/sorties disques). Or ce bug permettrait à des programmes non autorisés de venir trifouiller dans cette zone interdite. La racine du problème résiderait dans des chargements mémoires réordonnées mal exécutés (les processeurs x86 étant Out-of-Order, l'ordre d'exécution des instructions n'est pas le même que celui spécifié par le programme, mais cela est normalement transparent aux yeux de tous... hors débordements). Entre le moment où l'instruction de lecture frauduleuse est soumise et celui où une exception est levée, lorsqu'un réordonnancement a lieu, le CPU effectuerait bien la lecture, bien que la valeur ne soit pas directement accessible par le pirate. La première découverte du problème datant de juillet et ne testant pas les attaques une fois la lecture effectuée, une exploitation plus poussée a pu être produite, justifiant les remous actuels.

 

Un patch du noyau Linux a été déployé, s'appliquant également aux versions plus anciennes, un fait rare méritant d'être souligné. L'histoire aurait presque pu s'arrêter à l'intégration du patch, mais il se trouve que ce dernier inflige une baisse de performance conséquente, de l'ordre de 7 à 25% selon les applications ! Et comme il s'agit d'un défaut matériel, ceci concerne malheureusement autant Linux que Windows ou OS X. Ouch, ça fait mal, mais que de bonheur pour AMD, ce dernier n'étant d'après les premières informations pas affecté par la faille. A noter que seules les applications effectuant des entrées/sorties massives sont significativement impactées, il y a donc peu de casse côté gaming. Pour ce qui est du segment serveur, c'est une autre histoire... Microsoft a également été très réactif, un patch ayant été appliqué dès novembre (une excuse de plus si votre ordi ralentit !).

 

amd fixer

Vous allez voir, je vais le réparer moi ce CPU !

 

Mais pas si vite ! Du fait de la nature même de la faille, rien n'exclut la découverte d'un trou similaire chez AMD - leurs CPU sont également Out-of-Order - qui n'est donc a priori pas totalement sauf, principe de précaution oblige. C'est probablement la raison pour laquelle, à la surprise de tous et au grand dam des rouges, le patch Linux a ratissé large et inclut en fait tous les processeurs x86 sans discrimination de marque, comme le révèle ce commentaire :

 

Assume for now that ALL x86 CPUs are insecure 

 

Vous pensez bien que la joie n'est pas à son comble chez amédé, leur requête de modifications étant restée vaine jusqu'à présent, malgré une architecture en théorie distincte du géant bleu. Se pourrait-il qu'Intel joue de son influence pour ne pas être le seul perdant de l'histoire ? (sources diverses via HFR)

 

L'étendu des dégâts sous Linux hors jeu...
Et en jeu !
Un poil avant ?

Plextor M9Pe : quand NAND 3D TLC 64 couches et RGB se croisent...

Un peu plus tard ...

G.Skill lance une nouvelle gamme de DDR4 Rambo Edition pour les vieux c.ns !

Les 84 ragots
Les ragots sont actuellement
ouverts à tous, c'est open bar !
par Armand Raynal, le Dimanche 07 Janvier 2018 à 18h47  
par Un ragoteur macagneur embusqué le Dimanche 07 Janvier 2018 à 17h38
Il n'y a pire aveugle que celui qui ne veut pas voir...
He ben, tant de sagesse dans si peu de mot ... Tu m'as ouvert les yeux
par Un ragoteur macagneur embusqué, le Dimanche 07 Janvier 2018 à 17h38  
par Armand Raynal le Dimanche 07 Janvier 2018 à 14h06
Je vois pas le rapport avec mon dernier ragot.
Il n'y a pire aveugle que celui qui ne veut pas voir...
par Armand Raynal, le Dimanche 07 Janvier 2018 à 16h25  
par chambolle le Dimanche 07 Janvier 2018 à 15h02
Un peu facile. Il y a enormement de merde dans le libre, justement sous pretexte que c'est libre et que tu peux corriger les bugs, faire les modifs que tu veux etc...

Libre comme proprio ne garantissent rien du tout. Ni de la qualité, ni de l'absence de qualité
Ce sont souvent des programmes jeunes(faut dire que quand y'a que 2-3 devs c'est bien plus probable que le code soit médiocre que s'il y en a 100), dont la concurrence est bien établie depuis bien longtemps. Aussi techniquement faibles qu'ils soient ils ont au moins toujours l'avantage de respecter l'utilisateur. Ca vaut largement le coup de les supporter ama. Surtout si on garde à l'esprit ce qu'ils peuvent donner. Comme le kernel linux, qui a ses débuts été forcément ridiculeusement faible par rapport aux kernel d'unix et de microsoft, et qui a pourtant fini par les dépasser tous les deux dans tous les domaines. En perf intrinsèque bien sur, pas nécessairement en nombre de software compatible par exemple.

C'est assez incroyable comme ascension quand on y pense. Comme plein d'autre comme GIMP, qui malgré qu'il soit bien moins répandu et connu que toshop, arrive à le concurrencer sur les perf et les fonctionnalité de façon étonnante, style david vs goliath.

Je crois pas qu'il y est d'exemple de logiciels libres relativement populaires/avec une plutôt grosse commu, qui soient vraiment mauvais. Fin j'ai jamais cherché mais ça me semble techniquement impossible.
par chambolle, le Dimanche 07 Janvier 2018 à 15h02  
par Armand Raynal le Samedi 06 Janvier 2018 à 23h27
Très fréquent? Pour l'usage que fait la majorité de la pop de leur PC c'est plutôt jamais.
C'est vrai, mon propos est exagéré
par Armand Raynal le Samedi 06 Janvier 2018 à 23h27
Tout est relatif, et relativement au logiciel proprio le logiciel libre n'a besoin que d'être suffisament populaire pour être plus stable et fiable.
Un peu facile. Il y a enormement de merde dans le libre, justement sous pretexte que c'est libre et que tu peux corriger les bugs, faire les modifs que tu veux etc...

Libre comme proprio ne garantissent rien du tout. Ni de la qualité, ni de l'absence de qualité
par Armand Raynal, le Dimanche 07 Janvier 2018 à 14h06  
par Un ragoteur tout mignon embusqué le Dimanche 07 Janvier 2018 à 13h35
Manifestement t'as pas idée que l'utilisateur lambda s'en balance royalement du noyau car pour lui seul compte le résultat et ce résultat il l'obtient avec un logiciel au bout de sa souris.

De plus, Linux avec ses 2 % de part de marché et un barbu par société de hardware pour pondre du driver... ces moyens sont complètement ridicules face à la force d'attraction exercée par Windows.
Je vois pas le rapport avec mon dernier ragot. Je comprends vraiment pas pourquoi tu dis tout ça. Je crois pas avoir prétendu quelque chose comme que l'utilisateur lambda se préoccupe du kernel. J'ai même dit que moi même je m'en balek d'un kernel particulier ou d'un autre dans un ragot un peu plus tôt. J'ai même aussi décrit la fameuse 'force d'attraction'(cercle vicieux engendré par les tactiques monopolistiques de microsoft est plus approprié ama) de windows dans d'autres ragots sur cette même news.
par Un ragoteur tout mignon embusqué, le Dimanche 07 Janvier 2018 à 13h35  
par Armand Raynal le Dimanche 07 Janvier 2018 à 12h33
T'as aucune idée de qui participe au kernel linux pas vrai.

https://thenewstack.io/contributes-linux-kernel/

Intel, red hat, samsung, Suse, IBM, google, Nvidia, AMD, ARM, Cisco, Oracle, HP, etc etc etc etc . . . . . Ha oui en effet, des random hackers ...
Manifestement t'as pas idée que l'utilisateur lambda s'en balance royalement du noyau car pour lui seul compte le résultat et ce résultat il l'obtient avec un logiciel au bout de sa souris.

De plus, Linux avec ses 2 % de part de marché et un barbu par société de hardware pour pondre du driver... ces moyens sont complètement ridicules face à la force d'attraction exercée par Windows.
par Armand Raynal, le Dimanche 07 Janvier 2018 à 12h33  
par Un médecin des ragots embusqué le Dimanche 07 Janvier 2018 à 00h36
C'est certain 100 % des gagnants ont joué!

Le logiciel libre ou la sécurité du random hacker...
T'as aucune idée de qui participe au kernel linux pas vrai.

https://thenewstack.io/contributes-linux-kernel/

Intel, red hat, samsung, Suse, IBM, google, Nvidia, AMD, ARM, Cisco, Oracle, HP, etc etc etc etc . . . . . Ha oui en effet, des random hackers ...
par Un médecin des ragots embusqué, le Dimanche 07 Janvier 2018 à 00h36  
par Armand Raynal le Samedi 06 Janvier 2018 à 23h27
Le code parfait ça n'existe vraisembablement pas passé un certain niveau de compléxité. Reste que pour trouver la faille que 10 autres n'ont pas trouvé c'est bien plus facile/probable que quand ce sont 500 personnes qui se sont penchés sur le code.
C'est certain 100 % des gagnants ont joué!

Le logiciel libre ou la sécurité du random hacker...
par Armand Raynal, le Samedi 06 Janvier 2018 à 23h34  
par chambolle le Samedi 06 Janvier 2018 à 17h29
Et puis les 2 grands succes sont tres particuliers: Mac OS (sur free BSD en general peu aime des linuxiens et Android supportes par des centaines de developpeurs chez Google)
Aucuns des 2 ne sont des GNU/Linux. Mais tfaçon perso balek du kernel(j'aimerais même bien voir le hurd devenir un solide concurrent de linux un jour) ou de si le système utilise GNU userland, busybox ou autre chose, c'est la philosophie de GNU qui compte, qu'il soit libre.

Le kernel linux est pas seulement un succès sur android quand même, même si c'est pas systématiquement dans red hat(d'ailleurs ils ont une licence utilisateur desktop à prix honnête, 40$ sans support, 250 avec) c'est un gros player des serveurs et du embedded, et le big boss des super-calculateurs.
par Armand Raynal, le Samedi 06 Janvier 2018 à 23h27  
par chambolle le Samedi 06 Janvier 2018 à 17h29
Tout cela est tres discutable. La gestion des paquets Linux est quand meme un gros bordel.
Il est tres frequent d'etre obligé d'alller chercher des paquets sur des sitespeu recommendable

Enfin les exemples de SSH et du Shell ont montré que ca n'empechait pas d'avoir des codes avec des grosses failles. les fuites de la NSA ont aussi montré qu'on pouvait exploiter des failles bien peinard pendant des années (cas des gugus a plein temps sur les failles Firefox)
Très fréquent? Pour l'usage que fait la majorité de la pop de leur PC c'est plutôt jamais. Franchement c'est bien plus rare que fréquent où alors tu cherches à installer des soft proprio. Et même dans ce cas là on utilise wine en général qui demande assez rarement de quelconque manoeuvres spécifiques.

Le code parfait ça n'existe vraisembablement pas passé un certain niveau de compléxité. Reste que pour trouver la faille que 10 autres n'ont pas trouvé c'est bien plus facile/probable que quand ce sont 500 personnes qui se sont penchés sur le code.

Tout est relatif, et relativement au logiciel proprio le logiciel libre n'a besoin que d'être suffisament populaire pour être plus stable et fiable.
par chambolle le Samedi 06 Janvier 2018 à 17h29
Bref, chacun utilise ce qu'il veut.
Enfonçage de porte ouverte
par Armand Raynal, le Samedi 06 Janvier 2018 à 23h19  
par chambolle le Samedi 06 Janvier 2018 à 17h23
C'est juste une partie. La GPl est un vrai probleme dans le monde pro. Il y a aussi le point de vue de BSD ou du MIT (libre=mlibre de faire ce que tu veux y compris de vendre dans ton coin)
D'autre licenses libres y sont plus adaptées. Après c'est c'est à l'entreprise de voir si elle met de l'importance dans le respect des libertés de ses utilisateurs.

Les licenses permissives, sans copyleft, ça donnent des systèmes comme macOS & le playstationOS au final, des systèmes non libres donc, tandis que la base que ces systèmes utilisent ne reçoit que peu voir pas du tout de contribution. La GPL est pragmatique, ceux qui préfèrent les licenses sans copyleft arguent que le copyleft c'est 'la fin justifie les moyens' et ca brise tous les idéaux, je suis pas d'accord perso même si j'aimerais bien vivre dans un monde où le copyleft ne serait pas nécessaire à la protection du libre.
par chambolle, le Samedi 06 Janvier 2018 à 17h29  
par Armand Raynal le Jeudi 04 Janvier 2018 à 17h12
Sans qu'il y est 'problème', de fait GNU/Linux est plus stable que windows, pour ça qu'on l'utilise autant pour les serveurs par exemple.

La simplicité de maj des logiciels : windows update met à jour uniquement l'OS, pas les soft que t'as installé, contrairement à GNU/Linux où la maj met tous les logiciels du système à jour..

Et enfin le code est ouvert. Ca change tout par rapport à la sécurité ça. ...
Tout cela est tres discutable. La gestion des paquets Linux est quand meme un gros bordel.
Il est tres frequent d'etre obligé d'alller chercher des paquets sur des sitespeu recommendable

Enfin les exemples de SSH et du Shell ont montré que ca n'empechait pas d'avoir des codes avec des grosses failles. les fuites de la NSA ont aussi montré qu'on pouvait exploiter des failles bien peinard pendant des années (cas des gugus a plein temps sur les failles Firefox)

Bref, chacun utilise ce qu'il veut. Et puis les 2 grands succes sont tres particuliers: Mac OS (sur free BSD en general peu aime des linuxiens et Android supportes par des centaines de developpeurs chez Google)