Pokud po o ZombieLoad panikaříte a snažíte se zjistit, jak deaktivovat funkci Intel Hyper-Threading, abyste předešli využití nové zranitelnosti podobné Spectre a Meltdown, tak se zhluboka nadechněte – oficiální pokyny od Intelu ve většině případů skutečně nedoporučují to dělat.
ZombieLoad je podobný předchozím útokům prostřednictvím „bočních kanálů“ (angl. side-channel attack), které nutí procesory Intel zpřístupnit potenciálně důvěrné informace, jež jsou obvykle izolovány a dostupné pouze pro aplikace, které je používají. Bezpečnostní výzkumníci dříve hlásili, že tato zranitelnost je přítomna ve většině čipů Intel a může být využita v systémech Windows, MacOS i Linux.
Intel se na své straně neshoduje s tím, jak vážně je hodnoceno riziko ZombieLoad. Společnost dokonce rozhodla přejmenovat ZombieLoad na Microarchitectural Data Sampling (MDS) neboli Mikroarchitektonická vzorka dat. Přiznejte, zní to mnohem méně děsivě než odkazy na nějaké zombíky.
„Zranitelnost MDS je založena na vzorkování dat, která prosakují z malých struktur v CPU při používání lokálně vykonávaného bočního kanálu spekulativního vykonávání,“ vysvětlují ve společnosti. „Praktická exploatace MDS je velmi složitá. Samotná zranitelnost neposkytuje útočníkovi způsob, jak vybrat ta data, která si přeje získat.“
„MDS byla už opravena na hardwarové úrovni u mnoha našich posledních procesorů Intel Core 8. a 9. generace, stejně jako v rodině procesorů Intel Xeon Scalable druhé generace,“ uvádí se ve zprávě společnosti. „Pro další zasažené produkty jsou opatření ke snížení rizika dostupná aktualizací mikro-kódu v kombinaci s příslušnými aktualizacemi operačního systému a softwaru hypervizora, které jsou k dispozici již dnes. Poskytli jsme na našich webových stránkách a nadále vybízíme všechny, aby udržovali své systémy aktuální, protože to je jeden z nejlepších způsobů, jak zajistit bezpečnost“.
Zástupci společnosti Intel také uvedli, že výzkumná skupina ZombieLoad spolupracovala s firmou a dalšími odborníky v oblasti PC na odstranění zranitelnosti, dříve než se o ní veřejně dozvědělo. "Chtěli bychom poděkovat výzkumníkům, kteří s námi pracovali, a našim partnerům v oboru za jejich příspěvek k koordinovanému řešení tohoto problému."
Co tedy s Hyper-Threadingem?
Intel uvedla, že deaktivace Hyper-Threadingu není pro uživatele PC povinnou a jedinou možností. Ve skutečnosti podle Intel každý zákazník sám rozhoduje, co dělat. Pokud nemůžete zaručit bezpečnost svého nainstalovaného softwaru, pak ano, pravděpodobně je dobrý nápad Hyper-Threading vypnout. Pokud je však software dodáván pouze z Microsoft Store, z IT oddělení nebo jednoduše nainstalován z důvěryhodných, podle vašeho názoru, zdrojů, pravděpodobně můžete Hyper-Threading nechat zapnutý. O skutečně záleží pouze na tom, jak moc se obáváte o svou bezpečnost.
"Vzhledem k tomu, že faktory se výrazně liší mezi různými klienty, Intel nedoporučuje vypínat Hyper-Threading, protože je důležité pochopit, že to není jediný způsob, jak zajistit ochranu před MDS a samo o sobě neposkytuje ochranu," uvedla společnost.
Zároveň se reakce výrobců operačních systémů liší.
Google vydal opravu pro Chrome OS, která ve výchozím nastavení deaktivuje Hyper-Threading pro Chromebooky. Lidé, kteří chtějí technologii vícevláknového zpracování znovu aktivovat, mohou to udělat sami, tvrdí společnost.
Apple vydal aktualizaci pro MacOS Mojave a uvedl, že zákazníci společnosti, zejména ti, kteří vyžadují vysokou úroveň zabezpečení, mohou Hyper-Threading deaktivovat sami.
Microsoft uvedl, že vydal záplaty pro svůj software, aby snížil pravděpodobnost zneužití MDS, ale také poznamenal, že zákazníci by měli dále získat aktualizace firmwaru od svých výrobců PC.
Vzhledem k tomu, že většina poskytovatelů operačních systémů se rozhodla ponechat Hyper-Threading zapnutý, hrozba ZombieLoad zjevně není tak vážná, jak se zdálo ještě před 24 hodinami. Navíc dosud neexistuje žádný známý případ využití této zranitelnosti v reálném útoku.
Nicméně použití patchů bez vypnutí technologie Hyper-Threading téměř nesnížuje výkon procesorů Intel.
Ale nebudete věřit, pokud se podíváte na Intel vliv patchů na výkon při vypnutém Hyper-Threadingu. Společnost tvrdí, že bezpečnostní opravy spolu s vypnutím Hyper-Threadingu mají podezřele malý vliv na výkon.
Portál kategoricky nesouhlasí s názorem Intelu, že vypnutí Hyper-Threadingu nepředstavuje zásadní problém, přestože Intel ve svém dokumentu ukazuje, že výkon se prakticky nezměnil. Problém spočívá v umělosti testů Intelu při vypnutí Hyper-Threadingu, protože společnost netestovala specifické vícetržní zatížení. Kdyby Intel použil testy Blender, Cinebench nebo jiné, které jsou zaměřeny na více jádrové a vícetržní procesory, okamžitě bychom viděli vážné selhání v rychlosti.
Abychom zdůraznili, jak důležitá je technologie Hyper-Threading, stačí se podívat na procesory Intel i9-9900K za 500 dolarů a i7-9700K za 375 dolarů, jejichž hlavním rozdílem je právě podpora Hyper-Threadingu. Vypnutí Hyper-Threadingu na procesorech Intel je obrovský úder pro všechny, kteří potřebují vícetržní výkon.
Ale je tu i dobrá zpráva pro ty, kteří používají nejnovější procesory Intel. Jak uvedla společnost, mnohé z jejích posledních procesorů 8. a 9. generace již mají opravy hardwarového mikrokódu, takže majitelé i9-9900K nemají důvod vypínat Hyper-Threading. Hrozba ZombieLoad je zjevně vyšší pro starší procesory. Majitelé těchto systémů se budou muset spolehnout na aktualizace operačního systému a softwaru, stejně jako na funkčnost používaných antivirových řešení, aby snížili riziko získání škodlivého kódu. A také znovu připomínáme, že dosud není známa žádná útok, který by využil ZombieLoad.
Zdroj: 3dnews.ru
