| 1.1, мяв (?), 10:08, 04/02/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 фиксится элементарно: свои ключи sb и микрокод в UKI.
проблем не вижу.
| | |
| |
| |
| 3.73, мяв (?), 21:15, 04/02/2025 [^] [^^] [^^^] [ответить]
| +/– |
?
если механизм верефикации в процессоре не работает, никто не мешает использовать механизм мат. платы для этого.
тем самым предотвратив возможность загрузки левых микрокодов(даже официальных, но не той версии, которую Вы в UKI зашили, условно) в принципе.
| | |
|
|
| 1.2, Tron is Whistling (?), 10:10, 04/02/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +7 +/– | |
- персонал датацентров и облачных провайдеров не мог изменить или проанализировать содержимое памяти защищённых гостевых систем
Impossible. Just by design.
Но вы пытайтесь.
| | |
| |
| 2.43, Аноним (43), 15:33, 04/02/2025 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> персонал датацентров
специально будут использовать (откатываться на) дырявый старый подписаннй самим amd микрокод, расказывая клиентам, владельцам защищенных впс, сказки про как все секьюрно и сертифицированно.
| | |
| |
| 3.65, Аноним (65), 19:12, 04/02/2025 [^] [^^] [^^^] [ответить]
| +/– | |
сказки про как все секьюрно и сертифицированно.
а чо для такого есть серьтификат встек?
| | |
|
| 2.94, Аноним (94), 22:21, 05/02/2025 [^] [^^] [^^^] [ответить]
| +/– |
От сИкРеТнЫхЪ инопланетных технологий взлома действительно невозможно защититься. От реальной модели угроз — а она, кстати, расписана вполне подробно, заспросите у своего аккаунт менеджера документацию — вполне защищает. Ну, пока дыру не обнаружат, но это дело такое, все ошибаются, поэтому security in depth и не полагаться на то, что щеколда удержит дверь.
| | |
|
| 1.3, Ivan_83 (ok), 10:13, 04/02/2025 [ответить] [﹢﹢﹢] [ · · · ]
| –3 +/– |
 Очередная бумажная уязвимость, до которой есть дело полутора колекам.
| | |
| |
| 2.4, нах. (?), 10:25, 04/02/2025 [^] [^^] [^^^] [ответить]
| +3 +/– | |
не, ну если бы позволяла удобно подглядывать что там у ло...состоятельного клиента виртуалочка майнит - было бы дело. Но оно ж еще и не работает...
| | |
| |
| |
| 4.42, нах. (?), 15:32, 04/02/2025 [^] [^^] [^^^] [ответить]
| –1 +/– |
>> у ло...
> ...яльного гражданина?
да не, к лояльному гражданину с паяльником просто придут. Или на шампанское пригласят.
Мы тут за провайдеров болеем а не за товарищей с длинными ушами и холодными сердцами.
| | |
| |
| 5.49, Я (??), 15:42, 04/02/2025 [^] [^^] [^^^] [ответить]
| +/– |
Лояльный гражданин приходит сам. со своим паяльником..
| | |
|
|
| |
| 4.52, нах. (?), 16:31, 04/02/2025 [^] [^^] [^^^] [ответить]
| +/– | |
Нашему приятелю из одной э... враждебной страны, кто-то ж платит за хостинг.
Значит, зачем-то нужны.
(наверное ведь не потому что состоятельные не в состоянии сами поддерживать себе инфру?)
| | |
| |
| 5.60, Ivan_83 (ok), 18:21, 04/02/2025 [^] [^^] [^^^] [ответить]
| +/– |
Так столуйтесь дома за деревянные, раз до сих пор не осилили платежи через крипту.
| | |
|
|
|
| 2.6, мяв (?), 10:26, 04/02/2025 [^] [^^] [^^^] [ответить]
| +/– |
да, всего-то теперь даже с логгерами в ramfs не надо возиться - можно сразу весь процессор брать под контроль.
а с ним - и все диски.
| | |
| |
| 3.46, Ivan_83 (ok), 15:34, 04/02/2025 [^] [^^] [^^^] [ответить]
| +/– |
Так там по условиям он и так уже под контролем.
А если учесть что речь под админа хоста виртуализации то ему проще будет самому виртуалки продырявить через их образы на дисках.
| | |
| |
| 4.53, нах. (?), 16:32, 04/02/2025 [^] [^^] [^^^] [ответить]
| +/– |
> Так там по условиям он и так уже под контролем.
> А если учесть что речь под админа хоста виртуализации то ему проще
> будет самому виртуалки продырявить через их образы на дисках.
блин, мне обещали что можно просто ж читать уже намайненые ethки! Какого хрена пердолить какие-то образы?!
| | |
| 4.88, мяв (?), 10:08, 05/02/2025 [^] [^^] [^^^] [ответить]
| +/– |
кто сказал?
диски зашифрованы(следовательно, данные неизменяемы).
а вот получить полный контроль над процессором обычной EMA - это уже неплохое заявление "на победу".
| | |
| |
| 5.96, Ivan_83 (ok), 00:50, 06/02/2025 [^] [^^] [^^^] [ответить]
| +/– | |
Ты как то странно себе представляешь процесс :)
Ну зашифрованы они, можешь ими утерется :)
Но тебе же надо чтобы там что то загрузилось, вот админ хоста виртуализации тебе может предоставить свой EFI биос, который будет содержать код который работает ну нулевом и ниже уровне защиты.
| | |
|
|
|
| 2.7, bircoph (ok), 10:26, 04/02/2025 [^] [^^] [^^^] [ответить]
| +7 +/– |
 Скорее, очередной бэкдор, который засветился и пытаются показать как случайную ошибку.
Вообще, компрометация RDRAND убивает очень много где криптографию, особенно если из-за веяний в systemd в ядре было включено доверие к RDRAND, что большинство дистрибутивов таки делает.
| | |
| |
| 3.45, Ivan_83 (ok), 15:33, 04/02/2025 [^] [^^] [^^^] [ответить]
| +/– |
RDRAND мало где является единственным источником энтропии.
Собственно я не знаю где оно единственный, обычно собирают в пул энтропии много всякого разного, и на наличие RDRAND вообще пофиг.
| | |
| 3.58, фстэк (?), 17:19, 04/02/2025 [^] [^^] [^^^] [ответить]
| +/– | |
Ну RDRAND тут просто для демонстрации.
Но какой-то чел из PT (где вскрыли AMT) еще давно пояснял что обработка исключений производится именно микрокодом (как у интела, так и у амд) и намекал на существование бекдоров, которые изначально сделаны похожими на ошибки и срабатывают при соответствии содержимого регистров определенном уравнению-условию.
А теперь нам сообщают что можно загрузить любой микрокод из-за "ошибки".
| | |
| |
| 4.89, мяв (?), 10:11, 05/02/2025 [^] [^^] [^^^] [ответить]
| +/– |
микрокод вшит в ramfs. буквально. cat'ом напрвляется дамп бинаря в конец файла.
если у Вас можно было загрузить любой ramfs - Вы _уже_ в пролете.
| | |
| |
| 5.91, Аноним (91), 15:00, 05/02/2025 [^] [^^] [^^^] [ответить]
| +/– |
Если я правильно понял фстек, то речь о том что вообще пофиг какой там микрокод и какие права, ибо чел из PT (Positive Technologies?) был прав и там вся защита в бекдорах, которые можно выдать за ошибки когда их раскроют/найдут.
| | |
|
|
|
| 2.75, Аноним (75), 21:29, 04/02/2025 [^] [^^] [^^^] [ответить]
| +/– |
Дело не в бумажности. А в том, что в датацентре по умолчанию персонал будет получать доступ к гостевым машинки. И не надо городить для этого всякие расширения. Это для сказок о том, что теперь точно ваши данные никто не увидеть, чтобы побольше получить денег с просточков.
| | |
| |
| 3.95, Аноним (94), 22:35, 05/02/2025 [^] [^^] [^^^] [ответить]
| +/– | |
> в датацентре по умолчанию персонал будет получать доступ к гостевым машинки
Ваш залитый нечистотами подвал с двумя списанными стойками — это не датацентр. Я проходил стажировку в AWS, конкретно обеспечение безопасности и операционное управление ДЦ (security and operations management). Удачи подойти к стойке достаточно близко чтобы потрогать случайный сервер руками, не говоря уже залезть и что-то там раскурочить. Персонал ДЦ и охрана за неделю знают кто придёт, где, что и почему он будет делать.
| | |
|
|
| 1.5, Анонимище (?), 10:26, 04/02/2025 [ответить] [﹢﹢﹢] [ · · · ]
| –4 +/– |
Да, нужны права админа. Но насколько понимаю, прикол железных уязвимостей вроде этой в том, что стоит только один раз малвари получить админа и уже ВСЁ, теперь ее с компьютера фиг выкуришь, комп можно смело отправлять на свалку. Ну или применить навыки работы с железом которыми 99% пользователей НЕ владеют
| | |
| |
| 2.8, мяв (?), 10:28, 04/02/2025 [^] [^^] [^^^] [ответить]
| +6 +/– |
ну или хотя бы прочесть, что такое микрокод, прежде, чем глупости писать .. тоже, как вариант.
Зы. его ОС грузит .. сама. из ramfs.
| | |
| |
| 3.9, Анонимище (?), 10:43, 04/02/2025 [^] [^^] [^^^] [ответить]
| +/– |
Спасибо, не знал. Я думал что это работает как обновление прошивки у БИОСа.
| | |
| |
| 4.59, фстэк (?), 17:25, 04/02/2025 [^] [^^] [^^^] [ответить]
| +/– | |
Ну отчасти оно так и работает, т.е. можно залезть в UEFI-БИОС и оттуда заливать "правильный" микрокод.
Только тут многое зависит от реализованных возможностей UEFI на конкретной платформе и наличию уязвимостей, см fwupdmgr.
| | |
| |
| 5.74, мяв (?), 21:17, 04/02/2025 [^] [^^] [^^^] [ответить]
| +/– |
если у Вам в efi залезди, это уже финишная.
не знаю, как у амд, а в новые интловские процессоры неподписанное зашивать в efi не дают.
| | |
|
| 4.84, Аноним (-), 09:15, 05/02/2025 [^] [^^] [^^^] [ответить]
| +/– | |
> Спасибо, не знал. Я думал что это работает как обновление прошивки у БИОСа.
У проца есть возможность грузануть новый микрокод вместо дефолтного в его ROM - в patch RAM. Накристальный.
BIOS/uefi может попользоваться возможностью и вгрузить более новый код из своего образа, если нужный микрокод там был. Дефолтный микрокод проца обычно столь кривой, что спасибо если проц вообще может хоть как-то работать. В адекват это приходит лишь через эн апдейтов микрокода как правило.
Далее - бутлоадер или ядро может и более новый микрокод вгрузить, если у них он есть. Это позволяет заметно более эффективный runtime update этого добра. Ибо рефлешить фирмвару - мало кто сподвигается.
| | |
|
|
|
| 1.12, Аноним (12), 10:52, 04/02/2025 [ответить] [﹢﹢﹢] [ · · · ]
| –3 +/– |
Новость из мира фантастики. Очень редкая уязвимость на очень редком железе. Процы в магаз завезли Ryzen 9950 по 106000 деревянных рублей, система в сборе тыщ 300 будет стоить. Что-то чуток дороговато.
| | |
| |
| 2.14, Аноним (-), 11:16, 04/02/2025 [^] [^^] [^^^] [ответить]
| –1 +/– |
> Процы в магаз завезли Ryzen 9950 по 106000 деревянных рублей,
> система в сборе тыщ 300 будет стоить.
Вполне нормальная цена в сложившейся ситуации в стране.
Любой айтишник (в МСК) может себе такое позволить не напрягаясь.
Если у вас все настолько плохо... ну поработайте по вечерам доставщиком хавки, заодно заменит тренажерку.
| | |
| |
| 3.15, ЖИРОПЕРДЯСТИК (?), 11:26, 04/02/2025 [^] [^^] [^^^] [ответить]
| +/– | |
> поработайте по вечерам доставщиком хавки
Это надо поднять задницу со стула. А зачем... когда есть такой комфортабельный Core2Duo
| | |
| |
| |
| |
| 6.82, Аноним (82), 08:35, 05/02/2025 [^] [^^] [^^^] [ответить]
| +/– |
Сижу на Искра-1030, норм, для всего хватает. Шумит только сильно, но ничего, дело привычки.
| | |
|
|
|
| 3.18, Tron is Whistling (?), 11:39, 04/02/2025 [^] [^^] [^^^] [ответить]
| –4 +/– |
(и курсик ру*** выходит все 150, что в общем и очевидно, если не считать рисованных "официальных" цифирь)
| | |
| 3.31, Аноним (31), 12:30, 04/02/2025 [^] [^^] [^^^] [ответить]
| –1 +/– |
Вообще в Москве медианная зарплата за 2024 по разным данным примерно 55000-65000. Это означает что как минимум половина Москвичей получает столько или ещё ниже. Так что не так уж много людей могут такое позволить.
| | |
| |
| 4.34, Аноним (-), 12:47, 04/02/2025 [^] [^^] [^^^] [ответить]
| +5 +/– | |
> Вообще в Москве медианная зарплата за 2024
Это "медианная зарплата", а не "медианная зарплата среди айтишников".
А там цифры немного другие.
Ну и речь же не про обычных людей - нафиг им вообще 9950x???
| | |
| 4.85, Аноним (-), 09:18, 05/02/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
> Вообще в Москве медианная зарплата за 2024 по разным данным примерно 55000-65000.
> Это означает что как минимум половина Москвичей получает столько или ещё
> ниже. Так что не так уж много людей могут такое позволить.
Пенсионеры-охранники магазинов, работники (около)бюджетных предприятий типа водопроводчиков и электриков, вместе с какими там еще работниками складов - на опеннет не ходят. Зачем оно им? Они страшно далеки от разработки софта вообще - и идей опенсорса в частности.
| | |
|
| 3.50, Аноним (50), 16:12, 04/02/2025 [^] [^^] [^^^] [ответить]
| –1 +/– |
Любой _прикормленный_ айтишник, обеспечивающий безопасность попилов и откатов. И только в МСК. Честный айтишник в любом месте планеты (!) -- нищий.
| | |
| |
| 4.80, нах. (?), 23:49, 04/02/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
> Любой _прикормленный_ айтишник, обеспечивающий безопасность попилов и откатов. И только
> в МСК. Честный айтишник в любом месте планеты (!) -- нищий.
ну логично, кому нужен айтишник, обеспечивающий айти самому себе? И зачем ему бы платили.
Как за произведение искусства? Ну, так себе перспектива, хотя... попробуй монетизацию на ютубе, у этого, вон, Линуса (не торвальдца) неплохо получается при крайне хреновых знаниях и умениях.
Причем он уже достиг той стадии нирванны, когда кривляться и танцевать ему самому каждый раз не надо, можно нанять для этого рабов подешевле и остаться в прибыли.
| | |
| |
| 5.81, ЖИРОПЕРДЯСТИК (?), 02:20, 05/02/2025 [^] [^^] [^^^] [ответить]
| +/– | |
> кому нужен айтишник, обеспечивающий айти самому себе? И зачем ему бы платили. Как за произведение искусства?
А вдруг найдется щедрый меценат, что ценит мнение экспертов Опеннета...
| | |
|
|
|
| 2.22, Шарп (ok), 11:58, 04/02/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
 >Процессор AMD Ryzen 9 9900X, OEM: 54'990 рублей
>Процессор AMD Ryzen 9 9950X, OEM: 85'990 рублей
Ты ценники в ЦУМ смотрел?
| | |
| |
| 3.23, Аноним (-), 12:00, 04/02/2025 [^] [^^] [^^^] [ответить]
| +/– | |
> Ты ценники в ЦУМ смотрел?
Ты бы лучше ссылки на магазин привел.
Потому что что написать все что угодно можно.
А потом оказывается "в наличии нет", "под заказ от четырех недель" и так далее.
| | |
| |
| |
| 5.25, Аноним (-), 12:09, 04/02/2025 [^] [^^] [^^^] [ответить]
| +/– | |
> Ситилинк, в наличии.
OEM конечно, но возражение принимается.
Тем лучше, не придется становиться яндекс-едаком))
| | |
|
|
| |
| 4.33, Аноним (-), 12:44, 04/02/2025 [^] [^^] [^^^] [ответить]
| +/– | |
> Но их почему-то несколько и с разной ценой.
- ОЕМ
- в коробке, но без куллера (не спрашивайте зачем тогда коробка...)
- в коробке и с куллером
| | |
| |
| 5.54, нах. (?), 16:35, 04/02/2025 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> - в коробке, но без куллера (не спрашивайте зачем тогда коробка...)
ну чтоб не надо было сразу засорять приротку выбрасыванием ненужной вертелки. Все равно ж башню свою ставить.
| | |
|
|
| 3.86, Аноним (-), 09:19, 05/02/2025 [^] [^^] [^^^] [ответить]
| +/– |
>>Процессор AMD Ryzen 9 9900X, OEM: 54'990 рублей
>>Процессор AMD Ryzen 9 9950X, OEM: 85'990 рублей
> Ты ценники в ЦУМ смотрел?
Может это с доставкой на какой-нибудь крайний север. Там процессор - во, горючка для самолета с большой земли - во!
| | |
|
| 2.55, фстэк (?), 17:00, 04/02/2025 [^] [^^] [^^^] [ответить]
| +/– | |
> Процы в магаз завезли Ryzen 9950 по 106000 деревянных рублей, система в сборе тыщ 300 будет стоить. Что-то чуток дороговато.
Как грязи и дешевле 100 в сборе.
Но там еще пяток уязвимостей на подходе, поэтому действительно дороговато, либо нужно с АНБ требовать отчисления ;)
| | |
| 2.61, Ivan_83 (ok), 18:26, 04/02/2025 [^] [^^] [^^^] [ответить]
| +/– |
А на амазоне что сильно дешевле?
Я в 2023 брал 5950х и 5750g в мск, потому что через али/ебэй они выходили заметно дороже, даже без учёта +20% при местной растаможке.
| | |
|
| 1.28, ОООноним (?), 12:15, 04/02/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +6 +/– | |
>Изменение приводит к возвращению инструкцией RDRAND только числа 4
Классика
int getRandomNumber()
{
return 4; // chosen by fair dice roll.
// guaranteed to be random.
}
| | |
| 1.32, Аноним (32), 12:32, 04/02/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– |
Скоро появиться новый вид уязвимостей - замена CPU
Для этого нужно иметь физический доступ к материнской плате, а так же иструменты:
- отвертка;
- паяльник;
- шприц;
- термо паста..
Уязвимости подлежит весь спектр устройств ...
| | |
| |
| 2.37, Аноним (38), 13:51, 04/02/2025 [^] [^^] [^^^] [ответить]
| +/– |
Замена проца паяльником? Я бы поорал с того как ты поставишь новый проц паяльником.
| | |
| |
| 3.39, Аноним (-), 14:06, 04/02/2025 [^] [^^] [^^^] [ответить]
| +3 +/– | |
> Я бы поорал с того как ты поставишь новый проц паяльником.
Ну ты как маленький.
Паяльник нужен для общения с админом.
И для солидности))
| | |
| |
| 4.62, Аноним (62), 19:04, 04/02/2025 [^] [^^] [^^^] [ответить]
| +2 +/– |
Скотч забыли чтоб камеры заклеивать.
И всё это сквозь охрану пронести... план понадежнее швейцарских часов)
| | |
|
|
| 2.93, Аноним (93), 17:55, 05/02/2025 [^] [^^] [^^^] [ответить]
| +/– |
Термопаста уже не нужна. Kryo Sheet даёт эффективность сравнимую с жидким металлом и не требует замены. Ломкий только, надо осторожно класть.
| | |
|
| 1.35, Аноним (35), 12:56, 04/02/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
> Изменение приводит к возвращению инструкцией RDRAND только числа 4, вместо случайной последовательности
Должно ж быть 42!
| | |
| |
| 2.44, нах. (?), 15:33, 04/02/2025 [^] [^^] [^^^] [ответить]
| +/– |
>> Изменение приводит к возвращению инструкцией RDRAND только числа 4, вместо случайной последовательности
> Должно ж быть 42!
так это ж случайное! А 4 - неслучайное!
| | |
| 2.48, Аноним (48), 15:36, 04/02/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
Должно быть именно 4, выше в комментах приведена выдержка из lore поясняющая выбор 4.
| | |
| 2.87, Аноним (-), 09:21, 05/02/2025 [^] [^^] [^^^] [ответить]
| +/– |
>> Изменение приводит к возвращению инструкцией RDRAND только числа 4, вместо случайной
>> последовательности
> Должно ж быть 42!
Это они из XKCD взяли. Там был код, что-то типа:
int get_random()
{
return 4; // Chosen by fair dice roll
}
| | |
|
| 1.41, Аноним (43), 15:22, 04/02/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– | |
Не понял смысл этой уязвимости.
Гостевая система не может проверить, что выполняется в защищенной среде? В тогда смысл AMDSEV?
Если может проверить, то гость сразу увидит, то процессор загрузил неправильно подписанный микрокод.
| | |
| |
| 2.63, Аноним (62), 19:06, 04/02/2025 [^] [^^] [^^^] [ответить]
| +3 +/– |
Прошивка заменена и она всем говорит что всё норм.
А то что при всех серв надо выключить, перепрошить, сидеть и переть\мониторить что там унутрях при всех... ну это так, детали))
| | |
|
| 1.72, Аноним (70), 20:29, 04/02/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
> В ходе атаки можно вклиниться ... AMD SEV (Secure Encrypted Virtualization) и SEV-SNP (Secure Nested Paging)
> Для устранения уязвимости на системах, в которых используется аттестация SEV-SNP...
В ядре 6.13 появился новый параметр загрузки - nosnp:
Do not enable SEV-SNP (applies to host/hypervisor only). Setting 'nosnp' avoids the RMP check overhead in memory accesses when users do not want to run SEV-SNP guests.
Не поможет? Или наоборот? )
| | |
|
