Newsgroup: it.comp.hardware
Titolo: Altra falla sui processori AMD

https://www.hwupgrade.it/news/sicurezza-software/scoperta-una-vulnerabilita-nei-processori-amd-dal-2011-al-2019_87573.html
 
 
Come al solito, l'azienda minimizza e fa spallucce.

 Come al solito, l'azienda minimizza e fa spallucce.
 
 
AMD è tutta una falla!  ha ha ha 
 

Lo Smilzo ha spiegato il 08/03/2020 :

ROTFL

 Come al solito, l'azienda minimizza e fa spallucce.
 
Su intel invece ho perso il conto...qui l'ennesima:
 
https://tinyurl.com/t4m7pkj
 
 
lol

 AMD è tutta una falla!  ha ha ha
 
 
https://i.postimg.cc/fb6QysRv/Vulnerabilit.png
 

 Su intel invece ho perso il conto...
 
 
Te lo posto io il conto esatto :-)
 
https://i.postimg.cc/fb6QysRv/Vulnerabilit.png
 

> AMD � tutta una falla!  ha ha ha
 
 
E perché Intel no? Non credo siano falle, piuttosto ogni 
sistema di sorveglianza prima o poi viene scoperto, non ci 
sono mai state eccezioni nella storia.
 
 
-- 
Non sono d'accordo con quello che
dici ma darei la tua vita affinché
tu non possa esprimerlo (G. Forattini)
 

Guglielmo ha spiegato il 08/03/2020 :

https://tinyurl.com/tjngc4n
 
 
:D

 Non credo siano falle,
 
Sono semplici sviste, e' normale che succedono quando la tecnologia 
avanza con questa velocita'. Lasciamo stare le paranoie, non avrebbero 
neppure il tempo di progettarle.

 
https://tinyurl.com/t4m7pkj
 
 
E' diverso, intel ha anche le patch.
Con AMD solo falle, per le patch non c'e' fretta, aspettano che la CPU 
esca di produzione :D

 
https://i.postimg.cc/fb6QysRv/Vulnerabilit.png
 
 
Complimenti per l'autorevolezza della fonte! :D

 progettarle.
 
Penso siano vere entrambe le cose, anche se non so come
dato che sono quasi mutuamente esclusive. Penso sia
difficle escludere qualche backdoor (non dico che
basterebbe qualsiasi PC per intrufolarsi nei sistemi di
sicurezza anche di arsenali nucleari ma ci manca poco) che
si va a innestare su sistemi atrocemente complicati di per
sé, e il comportamento globale diventa imprevedibile.
 
Tanto, difficilmente si potranno avere dettagli.


 Tanto, difficilmente si potranno avere dettagli.
 
I dettagli ci sono, la maggior parte dei casi riguarda ottimizzazioni 
per migliorare le prestazioni, in sostanza cache e branch prediction, 
solo che l'accesso alla cache e' garantito a cani e porci, non ci sono 
controlli o non sono adeguati.

acc ci ha detto :

AMD non e' abituata ad essere una "gruviera" come
accade nell'altra sponda...daje tempo :D


wrote:

Ma infatti, prendetevi gli Intel che li di falle non ne hanno mai
trovata una... o no ?

 Complimenti per l'autorevolezza della fonte! :D
 
Non serve alcuna autorevolezza per vedere quello che sotto gli occhi di 
tutti. Allo stato attuale non c'è alcun paragone possibile in questo 
settore tra i due. Da una parte qualche bug che ogni volta viene trovato 
diventa clamoroso per l'eccezionalità, dall'altra una voragine che non 
fa  più notizia.
 
E lo dico da menefreghista, cioè non ho alcuna preferenza tra i due e 
continuo a comprare computer con processori Intel se il rapporto 
complessivo costo/benefici conviene. Sto scrivendo con un Intel i5 9400 
tanto per dimostarlo.

 

Comunque nell'articolo c'è scritto
"la ricerca su possibili falle nelle architetture di calcolo si è fatta 
maggiore e a risultarne più colpite sono state le CPU Intel. AMD e ARM 
ne sono quasi uscite indenni,..."

 Come al solito, l'azienda minimizza e fa spallucce.
 
 
Il prossimo hardware che acquisterò sarà con il processore più ciofeca 
del momento perchè non ha significato spendere soldi per hardware 
fallabilile.
Ram senza metallo dissipatore.   Una volta ho provato a staccare il 
dissipatore da una ram vecchia e se ne è venuto dietro qualche chip 
rimasto incollato al metallo.
Penso che andrebbero trattare prima con solventi come quelli per la 
rimozione della pasta termoconduttrice.
O sbaglio?

 ne sono quasi uscite indenni
 
 
Questo non è del tutto corretto. Le CPU ARM le loro belle vulnerabilità 
le hanno mostrate ed il fatto che sono state prodotte in miliardi di 
esemplari e sono montate in una miriade di dispositivi diversi che 
difficilmente sono tenuti aggiornati dai produttori o dagli utenti, 
sarebbe almeno in linea teorica, un autentico cataclisma.
 
Documento del giugno 2019:
https://developer.arm.com/support/arm-security-updates/speculative-processor-vulnerability
 

 fa  più notizia.
 
Non serve che ci aggiungi la mega-cazzata, avevo gia' capito.

 accade nell'altra sponda...daje tempo :D
 
Glielo do eccome, son quasi 20 anni che non ne compro uno ed il fatto 
che continuino a fregarsene non mi fa cambiare idea. ;-)

Il 09/03/2020, acc ha detto :

Come si dice...degustibus :D

 avevo gia' capito.
 
Bene, mi rallegro. :-)
 

Il 09/03/2020, esretone ha detto :

Pure ARM non e' immune dalle falle derivate da Spectre...amenoche'
uno non utilizzi ancora proci privi dell'esecuzione out of order,
ovvero roba molto vecchia ormai.


E io mi rallegro che ti diverti con poco.

 E io mi rallegro che ti diverti con poco.
 
 
In realtà sto chiedendomi da un bel pezzo come è possibile che ci sia 
chi si attacca ad un quadratino di silicio e metalli vari col marchio 
sopra di una multinazionale, prendendone le difese contro presunte gravi 
offese,  con la stessa cieca fedeltà di un tifoso della curva nord...
 
 
Silicio e metalli vari, solo questo è.
 
 

 Silicio e metalli vari, solo questo è.
 
Forse non hai capito, non mi interessano i tuoi vaneggiamenti, che tu 
non sia in grado di capirne un gran che e' abbastanza chiaro.
Poi magari sei pure in grado pero' non lo vuoi fare, ma questo e' un 
altro discorso. Tanta confusione e nessun argomento.

 altro discorso.
 
E di grazia su cosa sarebbero i vaneggiamenti? Si parlava di numero di 
bug, e come ovvio per chi non sta scendendo dal pero oggi, in questi 
ultimi tre anni il numero di bug trovati nelle linee dei processori 
Intel è di enne volte ordini di grandezze superiore a quelli su AMD.
 
Ecco, hai modo di confutare con numeri e riferimenti questa semplice 
evidenza. Può starci anche il fatto che abbiamo avuto tutti un miraggio 
collettivo ed invece è il contrario, nel caso ne prendo atto 
immediatamente e te ne renderò merito.
 
Prego... numeri e riferimenti.
 

 nel caso ne prendo atto immediatamente e te ne renderò merito.
 
Ecco, brau.

 Ecco, brau.
 
E mi spiace tanto ma non posso renderti merito. Non hai postato nulla 
per confutare, vedo solo spocchia.
 

 per confutare, vedo solo spocchia.
 
Tu vedi solo il prosciutto che hai sugli occhi.

 Ahh non ripeto.
 
Contento te, "Tanta confusione e nessun argomento." (cit.)
 
 
 

 Sentirti
 
Ancora qua? *plonk*

 fa scritto che son vent'anni che non compri AMD, non ha prezzo :-)
 
E poi il fan sono io... :-)

 Come al solito, l'azienda minimizza e fa spallucce.
 
La falla in realtà non sembra essere molto pericolosa, uno dei firmatari 
del paper ha scritto su twitter che a differenza di meltdown e spectre, 
dove si potevano ottenere molti dati e reali (chiavi, password, pezzi di 
kernel in generale, etc...) , qui si ottengo pochi metadati. Non è 
chiarissimo ma quantomeno è confortante.
 
Alcun rumors che ho letto in giro poi dicono che:
 
- la falla non riguarda Zen2, ma va' da Zen1 all'indietro
- per attuare il proof-of-concept i ricercatori hanno utilizzato un host 
con il kernel linux modificato, il che ridurrebbe molto la superfice 
d'attacco, anche se ho letto il paper e non c'è scritto nulla del genere
 
AMD dice che non è un tipo di vulnerabilità nuova (anche qui molto 
vago), ma io la interpreto: "le mitigazioni software in uso per spectre, 
meltdown e compagnia suppliscono già a questo problema". In effetti nel 
paper dicono di aver utilizzato il kernel 4.15, che è bello vecchiotto e 
non ho trovato riferimenti a retpoline e mitigazioni affini.
 
A ieri la vulnerabilità non aveva un CVE, o almeno io non sono riuscito 
a trovarlo... che è un po' strano.
 
La voce più autorevole rimane il ricercatore co-autore del paper che, 
personalmente, mi tranquillizza abbastanza


Lascia perdere, quel Manolo De Agostini è una mezza sega

 ovvero roba molto vecchia ormai.
 
Beh mica tanto vecchia, i Cortex-A53 e in misura minore gli A55 sono 
in-order e diffusi dappertutto, o da soli oppure in accoppiata BIG.little


Ho pescato il tweet, Daniel Gruss è uno degli autori:
https://twitter.com/i/web/status/1236178639483527168
 

marimbarza scriveva il 09/03/2020 :

Si esatto...quelli me li ero scordati.
Comunque oggi anche la serie A50 ha un design OoO con gli A57.

 non ho trovato riferimenti a retpoline e mitigazioni affini.
 
AMD dice cose confuse e inverosimili, come ad esempio quando afferma di 
aver patchato i kernel driver gia' a partire dalla versione 19.8.1 
(uscita in Maggio), quando il bug gli e' stato comunicato soltanto in 
Agosto. O hanno la sfera di cristallo oppure le sparano un po' a caso, 
magari e' solo un lapsus ma ricordo che fecero i furbetti anche 
all'epoca di Spectre e Meltdown, con conseguente figuraccia.


È la seconda volta che mi plonki. Avrai il plonkatore guasto, 
controllalo. :-)

 E poi il fan sono io...:-)
 
Ma che scherzi? Lui è geneticamente equidistante, lo si legge 
continuamente. Sono gli altri i fanboy e gli hater...
 
Quando poi le cose si mettono male, parte il plonk per la serie occhio 
non vede cuore non duole :-)

 all'epoca di Spectre e Meltdown, con conseguente figuraccia.
 
Kernel driver?!? 19.8.1? Mi sa' che stai facendo molta confusione... Non 
esiste nulla del genere... E comunque hai omesso la nota forse più 
importante di tutto: le dichiarazioni del co-autore del paper.

Il 09/03/2020, Guglielmo ha detto :


Dopo dura riflessione, Lorenz ha scritto :

In effetti ora che mi ci fai pensare aveva plonkato pure ammia... :D

 channel quando ha già accesso completo?
 
Come ho detto riguarda piu' che altro gli hosting provider, dove un 
attacco puo' raccogliere molti dati.
E' improbabile (ma non escluso) che una cosa del genere si applichi 
all'utente comune (accesso piu' difficile e "pesca" meno redditizia).


Lui è equidistante da stupidità e arroganza. Lo dimostra in tutti i 
newgroup dove partecipa. DIscute non argomenta e si incazza.
 
-- 
La fatica fisica appaga lo spirito ed avvicina alla saggezza. Solo 
soffrendo acquisisci la forza morale che scaturisce dall'autodominio.

 DIscute non argomenta e si incazza.
 
Gli argomenti ci sono, si parla di falle su CPU AMD.
Tu invece intervieni per sparare cazzate che non interessano a nessuno.
Io sarei incazzato? Ma ROTFL! Vaneggi.

 ne sono quasi uscite indenni,..."
 
Forse ti riferisci ai vecchi articoli su Spectre e Meltdown, qua invece 
si parla *solo* di CPU AMD e solo di una certa serie, le piu' recenti.
Riguardo all'articolo su Spectre e Meltdown, AMD fece una figuraccia e 
la presidenta cinesa dovette poi scusarsi per l'atteggiamento poco 
rispettoso verso i clienti.

 Kernel driver?!? 19.8.1? Mi sa' che stai facendo molta confusione...
 
Hai ragione, ho confuso un post con un altro, quello riguarda altre falle:
Shader Functionality Remote Code Execution (CVE-2019-5049, 
CVE-2019-5098, CVE-2019-5146, CVE-2019-5147, CVE-2019-5124, CVE-2019-5183)
Le cito per completezza anche se sono *soltanto sei*! :D
 
Riguardo invece alla falla in discussione, AMD non ha precisato nulla, 
ha solo dato i soliti consigli generici, segno che non ha ancora fatto 
niente (come al solito). Con Spectre e Meltdown le prime patch di intel 
uscirono a inizio gennaio, quelle di AMD ad aprile, quindi direi che 
possiamo aspettarci quei tre mesi di ritardo.

 correggono in AMD a quanto pare se ne fregano e fanno orecchio da mercante.
 
Magari non sempre:
 
https://arstechnica.com/information-technology/2020/03/hackers-can-steal-secret-data-stored-in-intels-sgx-secure-enclave/
 
 
bye,
 
-- 
 
piergiorgio


Gli hosting provider??!?

 possiamo aspettarci quei tre mesi di ritardo.
 
Con Spectre e Meltdown i sistemi operativi vennero patchati in pochi 
giorni per mitigare le vulnerabilità. Questo è stato sufficiente per 
tappare le falle, ma le CPU erano e sono ancora vulnerabili.
 
Le pezze via microcode hanno corretto quello che potevano, ma quelle CPU 
sono e rimangono tuttora vulnerabili a Spectre e Meltdown, specialmente 
quelle Intel.

 
https://arstechnica.com/information-technology/2020/03/hackers-can-steal-secret-data-stored-in-intels-sgx-secure-enclave/
 
 
Forse non hai letto o hai letto male, in ogni caso hai detto una falsita'.
Le correzioni intel le ha sempre fatte, se invece vuoi andare a vedere 
sul sito di AMD, penso che troverai il nulla.

 specialmente quelle Intel.
 
Specialmente a chi crede a illazioni e non si documenta.

sul sito di AMD, penso che troverai il nulla.
 
Dunque stai dicendo che ad oggi, Intel ha praticamente corretto via sw
tutte le falle individuate, dunque CPU sicura, mentre AMD non ha mai
corretto nessuna falla ?

 corretto nessuna falla ?
 
No, ho detto chiaramente che per quanto riguarda le falle precedenti AMD 
ha corretto le sue CPU, ma lo ha fatto in grave ritardo.
Quello che manca ad oggi e' la patch sull'ultima falla, immagino che 
prima o poi arrivera' anche quella, ma sempre in ritardo.
 
In sostanza, quando viene comunicata una falla, Intel prende il problema 
seriamente e si mette subito al lavoro per correggerla, AMD invece se la 
prende comoda e tratta i suoi clienti con sufficienza.

 Specialmente a chi crede a illazioni e non si documenta.
 
Specialmente a chi trolla credendo di essere in grado di intortare chi 
ne sa' a pacchi più di lui. Adesso plonkami pure, tanto ci vai a perdere tu.

 tu.
 
Mi sembri un po' prevenuto, in ogni caso il tuo "specialmente quelle di 
intel" e' una forzatura gratuita, siamo a livello di pettegolezzo, 
potrei dire altrettanto di AMD e non fa una piega.
In realta' io ho esposto i fatti e li ho argomentati.

 sul sito di AMD, penso che troverai il nulla.
 
Pensi? Interessante...
Non hai controllato.
Cosa scrivi quindi?
 
bye,
 
-- 
 
piergiorgio

 Cosa scrivi quindi?
 
Guardato adesso, ancora nulla, non mi sbagliavo.

 Guardato adesso, ancora nulla, non mi sbagliavo.
 
Credi tu.
 
bye,
 
-- 
 
piergiorgio

 semmai ho _scritto_ qualcosa.
 
Fermati qua, ti rimando a quel post dove dico quello che penso di te 
e... non ho cambiato idea. :D
Scusa tanto se il resto non lo leggo, frega 'na sega.

 Scusa tanto se il resto non lo leggo, frega 'na sega.
 
Ah! Certamente! Sicuro...
 
Buona notte,
 
bye,
 
-- 
 
piergiorgio

corretto nessuna falla ?
 
Ah, ok, sono più lenti.
 
Una cosa che però non ho mai capito, ovvero dalle origini della
scoperta di tutte queste falle... esistono casi acclarati di hacker o
simili che le abbiano mai sfruttate ?

 simili che le abbiano mai sfruttate ?
 
Pare, si dice, si narra, che alcune
falle vengano usate per estrarre le
chiavi dei vari software e servizi
crittografati.
Tipo BluRay, Netflix e simili.
 
Pare, sempre, che ci sia gente che,
per questo motivo, evita le CPU / MB
o BIOS in cui tali bug sono sistemati.
 
Casi di hacking palese, cioe` di qualcuno
che prenda in controllo di un PC, non se
ne sono sentiti molti.
 
Io sospetto che, essendo quasi tutti i
problemi legati alla cache, in un PC
in cui succedono tante cose, la cache
non sia cosi` affidabile, come sorgente
di informazioni valide.
 
D'altro canto, avendo il controllo apriori,
si puo` pensare di circumnavigare le altre
protezioni.
 
bye,
 
-- 
 
piergiorgio

 simili che le abbiano mai sfruttate ?
 
Forse ne vedremo piu' avanti, per adesso pare che non ci sia bisogno di 
ricorrere a tecniche cosi' complicate e di casi ce ne sono:
https://en.wikipedia.org/wiki/Data_breach
 

 In realta' io ho esposto i fatti e li ho argomentati.
 
Più che prevenuto direi sospettoso. L'atteggiamento pregiudiziale mi 
sembra piuttosto il tuo, dove non mi pare che tu abbia ne' esposto fatti 
ne argomentato alcunché.

 o BIOS in cui tali bug sono sistemati.
 
Azz...questa mi mancava :))

 Azz...questa mi mancava :))
 
Infatti, si potrebbe pensare siano
davvero backdoor.
 
Ma non per spiare sulla gente, bensi`
per potersi copiare i film...
 
:-)
 
bye,
 
-- 
 
piergiorgio

 ne argomentato alcunché.
 
E vabbe' (2)...

 sostieni.
 
Questo e' l'articolo di Intel a riguardo (notare la data):
https://newsroom.intel.com/news-releases/security-first-pledge/
 
 
Sul sito ufficiale di AMD c'e' solo una promessa di rilasciare le patch 
al microcode nelle prossime settimane. Qui un articolo sull'uscita delle 
patch (notare la data):
https://www.bleepingcomputer.com/news/hardware/amd-releases-spectre-v2-microcode-updates-for-cpus-going-back-to-2011/
 
 
Mi hai dato del falso, ti ho messo i link che mi danno ragione, adesso 
aspetto le tue smentite, con altrettanti link ovviamente e se non 
arriveranno sappiamo gia' il perche'.


Te lo ripeto: le patch al microcode, sia quelle di Intel che quelle di 
AMD, *NON* risolvono tutte le vulnerabilità; sono solo mitigazioni per 
un sottoinsieme di vulnerabità corregibili perché Spectre è da 
considerarsi una classe di problemi legati alla speculative execution.
 
L'effetto di quelle patch è quello di evitare al sistema operativo di 
dover mitigare alcune problematiche e alleviare la perdita di 
performance, che comunque c'è, rimane, ed è netta.
 
In soldoni: anche con le patch al microcode, con un sistema operativo 
senza mitigazioni per Spectre, sei ugualmente esposto agli attacchi di 
quella classe di vulnerabilità.

 quella classe di vulnerabilità.
 
Resta il fatto che mi hai dato del falso, e non su questo, io aspetto 
sempre quella risposta. Per il resto continua pure ad arrampicarti sugli 
specchi se ti diverte.


Riesci a capire che le patch al microcode sono quasi inutili, che se non 
fossero uscite sarebbe cambiato poco e che i presupposti del tuo 
discorso per questo non sono validi?
 
Per renderti nota la cosa, pure le nuovissme cpu serie 10000 di intel 
hanno bisogno di mitigazioni software, eppure il microcode di queste cpu 
immagino sarà aggiornato...

 discorso per questo non sono validi?
 
No, ma vedo benissimo che ancora non sei riuscito a citare nulla a 
sostegno di quello che dici.
 
Senza considerare la grossa svista su cui hai sorvolato allegramente, e 
che la dice lunga sulla tua inesperienza. Io su questo non ho insistito, 
non mi sembrava carino, ma se vuoi comincio a farlo.
 
Quindi te lo ripeto, cita qualche articolo a sostegno come ho fatto io, 
oppure piantala di sparare fregnacce a cui non crede nessuno.

 oppure piantala di sparare fregnacce a cui non crede nessuno.
 
Certo, sisi, fregnacce.
 
Poi magari se ne vuoi ancora possiamo anche parlare di Load Value 
Injection e dell'impatto delle mitigazioni iniziali delle patch a GCC, 
roba del tipo che se si volessero applicare si ridurrebbero le 
performance della cpu al 10% del normale (attenzione: AL 10%, non del 10%)

 Injection e
Non mi interessano Le tue divagazioni, solo quello che ti ho chiesto, e 
a cui non hai ancora risposto.

 a cui non hai ancora risposto.
 
Scripta manent, è tutto scritto nel thread, ognuno tragga le sue 
conclusioni.

 varianti di Spectre.
 
Che non ho perso tempo a leggere (vedi sopra).

Vabbè, ti lascio farneticare che la quarantena è lunga...

 Vabbè, ti lascio farneticare che la quarantena è lunga...
 
Io farnetico? Ti avevo chiesto di smentire le tue balle, o di trovare 
qualcosa a sostegno, non sei stato in grado di fare ne' l'una ne' 
l'altra, ma hai gettato la spugna. Per me resti un cazzaro.
 
PS: almeno la smetterai di divagare, questo lo apprezzo :D