Noll
Den tystnadsplikt som fortfarande präglar många detaljer av Härdsmälta och Spectre sårbarheter orsakat problem, och fortsätter att orsaka problem, enligt talarna på linux.conf.au open-source programvara konferensen i Sydney på torsdag.
Information om nyligen upptäckta sårbarheter i mjukvara säkerhet är normalt hålls under embargo tills en lösning är klar för distribution. Det är en gammal och väl förstådd processen. Men i fallet med dessa sårbarheter hårdvara, saker och ting inte så smidigt.
“Normalt är när ett embargo slutar vi får tidslinjer, och vi får ganska mycket en fullständig redovisning av vad som hände”, sade Jonathan Corbet, som underhåller dokumentation för Linux-kärnan, och är en medlem av Linux Foundation är den Tekniska referensgruppen.
“I det här fallet finns det fortfarande en hel del hemlighetsmakeri kring vad som gick vidare med Härdsmälta och Spectre, och hur de hanteras, och exakt vad det var som hände i tre månader eller så mellan det första offentliggörandet [och] när Linux-kärnan community började höra talas om det,” sade han.
“Vi vill faktiskt ha ett system för offentliggörande i gemenskapen, och som har löst ett antal av dessa problem, åtminstone för de flesta av de frågor som vi haft. Det är inte perfekt, men det fungerar ganska bra. Dessa mekanismer användes inte den här gången. Detta avslöjande processen har hanterats på ett mycket annorlunda sätt. Varför? Jag har faktiskt inte ett svar på det.”
Jess Frazelle, som arbetar på öppen källkod, containrar, och Linux på Microsoft, var även blunter-men som alla paneldeltagarna hon talade i en personlig kapacitet.
“Jag tror kanske att ett sätt att fixa det i framtiden skulle naturligtvis vara att inte ha en absolut sh*t visa om ett embargo,” Frazelle sagt.
Några av sekretess har varit surrealistiska, även Kafkaliknande.
“Det finns människor som har sagt offentligt på denna konferens var de inte ens har rätt att säga namnen på dessa sårbarheter,” sade Corbet, med hänvisning till Intels egna Casey Schaufler.
Schaufler var att presentera en session om framtidens säkerhet i Linux-kärnan, men förbjöds att ens nämna det viktigaste problemet i hans företags produkter sedan Pentium FDIV bugg för en generation sedan.
“Jag skulle vilja se ett slut på det”, Corbet sagt. “Jag skulle vilja branschen till slut att åtminstone en bit av det, så att vi kan få hela historien ut det, och räkna ut hur man ska göra bättre nästa gång.”
Katie McLaughlin är platsen tillförlitlighet ingenjör för Divio, Zürich-baserade Django och Python-baserade moln webbhotell. Även om de är en andra rangens cloud provider, hon bara hört talas om sårbarheter när information började dyka upp på Twitter.
“Det verkade som om det var typ av ett beslut som en del moln-leverantörer vet och en del inte,” McLaughlin sagt. Mindre moln leverantörer visste ingenting, även om de faktiskt betalar för hårdvara.
“Jag är osäker på exakt vad som hände där, men det verkar vara som en exklusiv klubb om du vet eller inte vet, och det är inte riktigt klart de rader som ska informeras.”
Corbet kommit överens om. “Jag hatar att se en värld där bara de allra största moln leverantörer har tillgång till information om något sånt här eftersom du vet, det är en konkurrenskraftig [frågan].”
Benno Ris, en core-team medlem av operativsystemet FreeBSD utveckling gemenskapen, sade att deras utvecklare hade liten varning.
“Från FreeBSD-perspektiv, som är vår primära gripe är att trots att de har relationer med många av de leverantörer inblandade, vi hittade inte ut förrän mycket sent i pjäsen,” Ris sade.
“Vi hade, tror jag, 11 dagar mellan när vi fick höra, från när embargot stannat, för att utveckla … kärna sidan bordet isolering eller något liknande.”
Rice sade att han inte sätta sent varsel ner till någon skadeglädje, och sade till skratt att han hoppades att det var en en gång under en livstid-händelse.
Läs nu: Cybersäkerhet 2018: En roundup av förutsägelser
“Det är den största kunder av Intel-produkter att få de första dropparna från Intel, och som eu-projekt som inte har en specifik leverantör relation med Intel, som sätter oss typ på en “vet inte” – lista.”
Även Googles utvecklare av kärnan hade problem med att få information, åtminstone till en början.
“I Google trots att det var ganska bra som finns, inte en massa människor visste om det, säger Kees Cook, en Linux-kärna säkerhet ingenjör som fungerar på Android och Chrome OS.
“När jag fick reda på det, det var ganska begränsad … att Försöka se till att alla som behövde veta om det kom fram några godkännande processen att lära sig om det visade sig vara ganska svårt,” sade han, även om saker och ting bättre efter den initiala problem.
“En massa människor prata om hur embargot var en fullständig katastrof. Ur mitt perspektiv, det verkade som anmälan internt under embargot var där de flesta av problemet. Embargot sig var relativt framgångsrik, och bara bröt sex dagar för tidigt från något som startade i juni året före … jag trodde att det var relativt framgångsrik, och de saker som skulle kunna utvecklas i den öppna utvecklades i det öppna, och det verkade gå ganska bra.”
Är öppen hårdvara svaret?
Kan sårbarheter som Härdsmälta och Spectre upptäckas snabbare om processorer flyttade till mer öppen arkitektur, formgivning och design som kan vara mer direkt granskas och påverkas av programvara samhällen?
Singapore-baserad maskinvara Andrew hacker “bunnie” Huang tycker inte det.
“Tyvärr, jag tror att i fall av denna bugg, alla ingredienser som krävs för att få det att hända faktiskt var offentliggjord information. Vi vet alla att spekulativ exekvering sker. Vi vet alla att det finns timing kanaler sida [som kan användas i attacker],” berättade Huang konferensen.
“Ett av mina favorit citat från [stordatorer pionjär] Seymour Cray var att minnet är som en orgasm. Det är bättre om vi behöver inte fejka. Och varje gång som du försöker att fejka en viss bit av prestanda, ska du har en timing sidan kanalen,” sade han.
Huang tycker att öppen hårdvara kan hjälpa till med att hitta andra typer av fel, dock.
“Det är en hel klass av saker som utnyttjar hårdvara som ännu inte avslöjats ännu, så är de bara väntar på att komma ut … Alla dessa saker som du inte ens vet om att man är inne i processorer, du skulle kunna hitta om, och se, och vara Heliga ko som är riktigt skrämmande’.”
Enligt Cook, Härdsmälta och Spectre markera behovet att uppmärksamma de mer paranoida individer.
Se även: Spectre bromsar CPU need for speed
“Vi har förstått timing sida kanaler för en lång tid, men det var inte vad du skulle kunna överväga en praktisk attack med dem,” Cook sade. “Ja, men kanske är jag inte tillräckligt smart för att hitta praktiska attack, men det kan fortfarande vara det. Någon annan kan ha hittat det.”
Problemet är naturligtvis att slutanvändarna kommer att fortsätta att kräva bättre prestanda.
Som Huang uttryckte det, “Det är en kapprustning att få det mycket snabbt, och det som var utnyttjade var, du vet, en sak som var inblandade i att få dig bra prestanda på dessa enheter.”
Spekulativ exekvering var ett begrepp som är inbyggd i konstruktionen, och som koncept visat sig vara bristfälliga. Huang sade det ska bli intressant att se hur detta utspelar sig för Intel, eftersom Pentium FDIV bugg kostade dem $475 miljoner 1994 pengar.
“Du kan skala upp det till vad det skulle kunna se ut för Intel nu”, säger Huang sade.
Huang tycker att rädslan för en sådan massiv utbetalningar kan förmå leverantörer att flytta till en mer öppen design.
“Svaret kommer att vara i form av, ja, detta är helt varför vi bör hålla allt stängt, eftersom det är väldigt dyrt om du killar ta reda på om vårt fel att vi råkar fartyget i vår hårdvara som varit där i år och år och år,” sade han.
“Det kommer att bli intressant att se hur det hela spelar ut, och hur det interagerar med chip designers och deras typ av paranoid mentalitet om att dela dokumentation.”
Huang frågar också om tajt embargon verkligen hjälpa till.
“Vem är du egentligen försöker skydda sig mot genom att embargoing? Är du som försöker se till att slumpmässiga script kiddies inte använda det här? Eller är du ute efter att hålla den statliga aktörer borta från att försöka utnyttja varje dator i världen? … Om du faktiskt vill skydda, till exempel mot statliga aktörer, dessa killar kan redan vara att lyssna till din kommunikation, och att de skulle ha känt till den utnyttja samma gång att ni skulle ha känt till det”, säger Huang sade.
“Egentligen bara öppna upp för att hela gemenskapen för att lösa problemet, och med oss alla band tillsammans mot statliga aktörer, skulle ha varit en mycket mer kraftfull reaktion,” sade han.
“Som en maskin ingenjör, jag tycker att det är vansinnigt att ni tycker att du kan köra hemligheter med icke-hemligheter på samma hårdvara.”
Relaterade Täckning
Linux och Intel långsamt hacka deras sätt att ett Spöke patchIndustrial tillverkare av utrustning för rapportering svårigheter med Härdsmälta och Spectre patchesSpectre och Härdsmälta: Linux skapare Linus Torvalds kritiserar Intels ‘sopor’ patchesWhy Intel x86 måste dö: Vår cloud-centrerad framtid beror på öppen källkod chipsSpectre och Härdsmälta: Cheat sheet (TechRepublic)Intel: installera inte våra Spectre fixa, risken för oönskade omstarter är för stor (TechRepublic)
Relaterade Ämnen:
Australien
Säkerhet-TV
Hantering Av Data
CXO
Datacenter
0