Intel Ice Lake potrebbe risolvere Meltdown, ma i bug speculativi sono qui per rimanere
(in) Secure è una rubrica settimanale che si tuffa nell'argomento in rapida ascesa della cybersecurity.
Le vulnerabilità del processore Spectre e Meltdown incombevano su Intel 2018 come una tempesta di neve in arrivo. Sebbene di natura speculativa, hanno interessato quasi tutti i computer con un chip Intel all'interno. Non c'era via di fuga.
Nel 2019, l'azienda vuole solo andare avanti. Vuole concentrarsi sulle straordinarie prestazioni ottenute dalle nuove generazioni di chip. Ma andare avanti non sarà così facile. Con così tante CPU dell'ultimo decennio che si affidano alla previsione delle filiali per migliorare le prestazioni di ogni generazione, molti credono che solo le modifiche hardware fondamentali all'interno delle CPU più popolari, come Intel, possano tenere alla larga questi bug per sempre.
Con Intel così tranquillo su ciò che sta arrivando con la prossima generazione di CPU Ice Lake, tuttavia, potrebbe essere che siamo lontani da una soluzione permanente. In realtà, questo tipo di problemi potrebbe non essere mai veramente vanificato.
Oltre il microcodice
Le prime correzioni apportate da Intel a Spectre e le sue varianti sono state le modifiche al microcodice che sono apparse durante la prima metà del 2018. Queste modifiche non sono state particolarmente apprezzate a causa del loro impatto sulle prestazioni.
"Le patch di microcodice che sono state distribuite hanno avuto un impatto sulle prestazioni abbastanza significativo perché disabilitavano pezzi di hardware e cambiano le cose in modi che non erano l'intento quando il chip è stato progettato", ha spiegato Paul Kocher a Digital Trends. . Ha continuato a sottolineare che molti produttori di prodotti commerciali, come il suo Surface Pro prodotto da Microsoft, evitano in particolare di implementare alcune di queste correzioni a causa del loro impatto sulle prestazioni.
Il primo hardware risolve Intel implementato contro Spectre e il suo tipo – compresa la terza variante, altrimenti noto come Meltdown – è arrivato con il lancio della sua ottava generazione di Whiskey Lake "U-Series". Quelli erano chip a bassa potenza indirizzati direttamente al mercato dei laptop , ma Intel ha seguito le stesse correzioni a livello di hardware nelle sue CPU Coffee Lake R di nono generazione .
Questo lancio ha coinciso anche con il rilascio di correzioni software e microcodice per altre varianti di Spectre.
Ben lontane dall'essere esaustive, queste correzioni hardware sono state un annuncio di benvenuto da parte di Intel, considerando che in precedenza aveva previsto la linea CPU da 10nm Ice Lake come la prima a ricevere la mitigazione dell'hardware per le vulnerabilità di esecuzione speculative.
Da allora, però, Intel è stata piuttosto tranquilla su ciò che Ice Lake avrà in atto per quanto riguarda le correzioni hardware. Presentato ufficialmente al CES 2019 , Ice Lake è stato discusso nei termini del suo die shrink a 10nm (scavalcando completamente l'ormai scomparso Cannon Lake ) e del supporto nativo per Wi-Fi 6 e Thunderbolt 3.
Ma nessuna discussione sulle correzioni Spectre era a portata d'orecchio.
Quali nuove difese avrà Ice Lake?
Intel non si preoccupa di quale tipo di protezione hardware possiamo aspettarci da Ice Lake.
"Nel 2019, naturalmente continueremo a integrare la mitigazione basata su hardware in prodotti futuri, e lo faremo in modo tale da mantenere le interfacce software associate introdotte con le mitigazioni iniziali nel 2018", Intel senior director of Intel garanzia del prodotto e sicurezza, Bryan Jorgensen ha detto a Digital Trends. "Le funzionalità di sicurezza del processore esistenti come la protezione dell'esecuzione in modalità supervisore (SMEP), la prevenzione degli accessi in modalità supervisore (SMAP) e il bit di disabilitazione dell'esecuzione possono anche aumentare la difficoltà di lanciare un attacco di successo."
Ha continuato a sottolineare il lavoro che Intel stava facendo con i suoi partner software e hardware per consentire misure protettive come la memoria crittografata per migliorare ulteriormente la sicurezza del PC.
Solo chi lavora con Intel sa davvero cosa ha programmato il colosso per Ice Lake, ma Paul Kocher di Rambus crede di aver avuto una buona intuizione parlando con gli ingegneri lo scorso anno. Può diventare tecnico, ma distinguere questi diversi filoni della vulnerabilità è importante per sapere esattamente cosa Intel può e non può fare con Ice Lake.
Il miglioramento più importante che pensiamo di vedere con Ice Lake è una mitigazione delle attenuazioni precedenti di Intel. I registri specifici del modello (MSR) come IBRS , che Intel offre agli sviluppatori di software come soluzione opzionale per i problemi di Spectre, saranno implementati nell'hardware o modificati in modo tale che l'impatto sulle prestazioni sia trascurabile. Questa è una fantastica notizia.
"Hanno creato questi MSR ma in questo momento le prestazioni ottenute lasciando le protezioni abilitate e utilizzandole nel sistema operativo sono così grandi che le persone non le utilizzano generalmente in genere", ha affermato. "Sospetto che con i nuovi processori lo risolveranno. Li faranno girare con prestazioni abbastanza elevate che è sicuro lasciarli abilitati tutto il tempo. "
Ciò dovrebbe significare che la variante di Spectre 2 è curata – e senza il taglio delle prestazioni. Anche la variante Spectre tre, altrimenti nota come Meltdown, sarà puntata molto più saldamente, ha detto. Risolvere il problema è piuttosto semplice, ha detto, quindi non vedere una soluzione abbastanza permanente per questo a Ice Lake sarebbe una sorpresa. Meglio ancora, farlo dovrebbe "reclamare il sovraccarico prestazionale che è stato introdotto da quelle modifiche al sistema operativo".
Va bene, giusto?
Le correzioni Spectre, in particolare a livello di hardware o almeno senza sovraccarico delle prestazioni, sono davvero un buon segno che Intel continua a prendere sul serio questi percorsi di exploit. All'inizio di gennaio, Wired ha profilato il "team d'élite" all'interno di Intel , che sta cercando di risolvere questi problemi cercando di trovare soluzioni intelligenti.
Il proble
ma è che queste correzioni non vanno abbastanza lontano. Per quanto riguarda Kocher, Intel non ha alcun piano concreto per correggere la variante di Spectre. L'unica soluzione proposta a cui è attanagliato spinge il problema agli sviluppatori di software e chiede loro di inserire ciò che è noto come comando "LFENCE" all'interno di un'applicazione ogni volta che c'è un'istruzione "if" all'interno della sua codifica.
Kocher ha affermato che questo non ha solo un impatto significativo sulle prestazioni, ma è richiesto anche per i software nuovi e legacy. In teoria, per proteggere contro Spect in questo modo, ogni pezzo di software che gira su PC moderni, sia Windows che MacOS dovrebbe essere riscritto con questa soluzione in mente. È completamente irrealistico.
"Da quello che so della roadmap di Intel per i prossimi anni, non c'è una soluzione chiara che sia stata avanzata", ha detto Kocher. "È un rischio assoluto che si protrarrà per molto tempo."
Peggio ancora, Kocher crede che ci sia poco in futuro nella progettazione di chip per CPU in una varietà di aziende che si occuperanno di questo tipo di bug speculativi. La sua visione del futuro vede molti produttori che utilizzano molte ottimizzazioni speculative per migliorare ulteriormente le prestazioni, il che li rende vulnerabili a questi tipi di attacchi.
Fortunatamente, non è un problema
L'unico lato positivo di tutto ciò è che per la persona media, Spectre e gli altri suoi exploit di deviazione indiretta sono l'ultima delle nostre preoccupazioni per la sicurezza. Ci sono modi molto più semplici per infiltrare hacker nei sistemi. Il malware e l'ingegneria sociale sono stati vettori di successo per decenni e sembra improbabile che cambino presto.
Questo non è il caso per tutti però. Abbiamo chiesto a Kocher se ci fosse un qualche motivo per aggiornare l'Ice Lake di Intel esclusivamente a fini di sicurezza. La sua risposta dipende da chi sei.
"Se sei un fornitore di servizi cloud e stai mescolando i carichi di lavoro tra i clienti sullo stesso processore o Dio non vuole nemmeno usare l'hyperthreading per eseguire carichi di lavoro malevoli contemporaneamente all'interno dello stesso core", ha detto. "All'interno di quegli ambienti le implicazioni per la sicurezza sono molto diverse e qualsiasi aggiornamento può essere estremamente importante."
Spectre e i suoi contemporanei rimarranno probabilmente un'apparizione incombente sul settore delle CPU per gli anni a venire, ed è qualcosa che ricorda che esiste. Ma se vuoi migliorare le tue possibilità di evitare di essere hackerato, ci sono sicuramente più cose di cui preoccuparsi di qualsiasi potenziale correzione che Ice Lake potrebbe portare sul tavolo.
- Potresti giocare sulla scheda grafica Navi di AMD prima della fine dell'estate
- CPU AMD Ryzen 3000: tutto ciò che devi sapere
- CPU Intel Ice Lake: tutto ciò che devi sapere
( Fonte )
