Zero
Microsoft ha pubblicato una guida per gli appassionati di mitigare l’impatto delle ultime Morsetto L1 Guasto (L1TF) o ‘Anticipano’ esecuzione speculativa a canale laterale attacchi che colpiscono le Cpu Intel.
In alcuni risorsa condivisa, quali gli ambienti di cloud computing L1TF potrebbe consentire una macchina virtuale in modo improprio le informazioni di accesso da un altro, anche se Microsoft note di un utente malintenzionato deve prima accedere al sistema o la possibilità di eseguire codice sul sistema per sfruttare questa vulnerabilità.
In generale di consulenza da parte di Microsoft, ha avvertito che i clienti che utilizzano i sistemi operativi client Windows su sistemi interessati, i processori Intel, può essere necessario applicare il firmware (Microcodice) e gli aggiornamenti del software, a seconda di come è configurato il sistema.
Prefigurare è particolarmente rischioso in ambienti virtuali e difficile da ridurre, in modo che Microsoft ha postato più dettagliate blog per aiutare gli amministratori che hanno la gestione di Windows Server con Hyper-V hypervisor.
L1TF, che si compone di tre distinte vulnerabilità, sono potenzialmente brutto condivisa in tutti gli ambienti, sarà richiesta una particolare attenzione da parte di amministratori che eseguono Windows, Windows Server e Microsoft Hyper-V hypervisor su macchine interessate Intel Core e processori Xeon.
Per ricapitolare, il Preannuncio di bug rilevati come CVE-2018-3615 riguarda Intel Software Guardia di Estensioni (SGX) enclave, mentre CVE-2018-3620 colpisce i sistemi operativi di Gestione del Sistema e la Modalità (SMM) di memoria, mentre CVE-2018-3646 impatti di virtualizzazione.
L1TF consente una macchina virtuale in esecuzione su un processore core per vedere tutti i dati in cache L1 dati sul core.
Tecnico post rivolto a tecnici di sicurezza, Matt Miller da Microsoft security response center, spiega che LTF1 appartiene alla stessa classe di esecuzione speculativa attacchi Crollo e l’recentemente divulgato Pigro FP Ripristino dello Stato di bug. Il LTF1 bug, tuttavia, sono classificati come molto più pericoloso di quanto Tracollo.
“A differenza di Fusione (CVE-2017-5754) che ha interessato soltanto il kernel-per-user scenario, L1TF è applicabile a tutti i intra-dispositivo di scenari di attacco”, ha sottolineato Miller.
L1TF è aperto per i sei scenari di attacco che erano possibili con le due varianti di Spettro, che minato di virtualizzazione basata su hardware di isolamento, di processo e di kernel-utente confini, e ha permesso a un utente malintenzionato di leggere la memoria all’interno di un sicuro enclave come Intel SGX.
Miller dice che Microsoft agosto patch tentativo di affrontare L1TF “come chiudere la causa principale del possibile”, ma osserva anche che ci sono diversi fattori attenuanti che possono essere utilizzati e, in molti casi, hanno bisogno di essere combinati.
Gli aggiornamenti sulle versioni supportate di Windows kernel e hypervisor Hyper-V applicherà automaticamente un metodo per attenuare i due metodi fondamentali per un utente malintenzionato potrebbe utilizzare L1TF relative al modo di gestire le voci della tabella pagine. Tuttavia, tali limitazioni devono essere attivato manualmente su Windows Server.
Altre combinato di mitigazione da Microsoft agosto patch e Intel microcode update del firmware per “sciacquare” la cache L1 dati durante la transizione tra i domini di sicurezza.
“Inizio con il mese di agosto, 2018 aggiornamenti di sicurezza di Windows, l’hypervisor Hyper-V utilizza ora la nuova cache L1 dati a filo funzione quando presenti per assicurare che la VM di dati viene rimosso dalla cache L1 dati in punti critici”, ha spiegato Miller.
“Su Windows Server 2016+ e Windows 10 1607+, il rossore si verifica quando si passa processore virtuale contesti tra le macchine virtuali. Questo aiuta a ridurre l’impatto sulle prestazioni del filo da ridurre al minimo il numero di volte in cui questo deve avvenire. Nelle versioni precedenti di Windows, il rossore si verifica prima che l’esecuzione di una macchina virtuale (ad esempio prima dell’VMENTRY).”
Tuttavia, questa attenuazione è complicato da Intel HyperThreading prestazioni della CPU booster, che consente a più processori logici per eseguire contemporaneamente su un core fisici. È possibile che la cache L1 dati per un nucleo può essere “inquinato” con i dati da un altro dominio di protezione dopo un rossore si verifica.
Hypervisor Hyper-V in Windows Server 2016 impedisce questo utilizzando una funzionalità denominata “nucleo di pianificazione”, ma è opt-in in Windows Server 2016, e sarà attivata per impostazione predefinita in Windows Server 2019.
Tutte le versioni precedenti di Windows Server non supporta il nucleo di pianificazione e quindi potrebbe essere necessario disabilitare l’HyperThreading a garantire L1 cache flush funziona correttamente, a spese dell’HyperThreading del miglioramento delle prestazioni. Gli amministratori inoltre necessario considerare che l’HyperThreading indebolisce informazioni protette da Microsoft per la Virtualizzazione Basata Sicurezza (VBS).
Microsoft dice in un supporto di Windows Server, nota su L1TF che i sistemi che non esegue Hyper-V e senza VBS abilitato consiglia di non disabilitare l’HyperThreading. Né dovrebbe essere disabilitato su macchine che eseguono Windows Server 2016 Hyper V e non hanno VBS abilitato.
“I clienti che vogliono eliminare il rischio che il L1TF vulnerabilità si presenta la riservatezza di Hyper-V versioni precedenti a Windows Server 2016 o il rischio di VBS funzionalità di sicurezza deve pesare la decisione e prendere in considerazione di disabilitare l’HyperThreading per mitigare il rischio,” ha detto Microsoft.
La risposta di Microsoft a L1TF per Hyper-V nel suo Azure, la piattaforma cloud è HyperClear, che sostiene è “relativamente trascurabile impatto sulle prestazioni”. HyperClear consiste di un nucleo di pianificazione, virtuale-processore spazio di indirizzi di isolamento, di dati sensibili e raschiatura.
Argomenti Correlati:
Di sicurezza, TV
La Gestione Dei Dati
CXO
Centri Dati
0