
Damir
04.01.2018
14:01:24

Славик
04.01.2018
14:02:01
а вот сам не знаю

Damir
04.01.2018
14:03:19
есть еще один вопрос

Google

Damir
04.01.2018
14:03:41
на впсках порты открыты?
мне впс нужен для работы с сокетами онли
для себя

Andrew
04.01.2018
14:04:48
Все открыто! Не переживай

Damir
04.01.2018
14:05:04
не сразу заметил

Andrew
04.01.2018
14:05:26
Конечно - это для Алены

Damir
04.01.2018
14:05:34
какой-то скайхост нашёл, https://my.skyhost.ru/cart.php?a=confproduct&i=0 кто-нибудь слышал про него?

Nastassia
04.01.2018
14:13:32
мы с Тараскиным в приват ушли просто
может и с тобою прокатит
я обезоружена

Google

Nastassia
04.01.2018
14:14:23
ведь ты очень нужен мне

Славик
04.01.2018
14:20:53
избавиться от меня хочет

Andrew
04.01.2018
14:27:55
Че есть уже по уязвимости intel экплоит то?

Славик
04.01.2018
14:28:17
а, кстати
расскажите мне
получается новый фикс для ОСей сделает компы быстрее?

Andrew
04.01.2018
14:29:20
Наоборот тормознее
процентов на 30

Славик
04.01.2018
14:29:32
и нафиг надо тогда?

Andrew
04.01.2018
14:29:59
Чтобы в памяти не лазили с помощью джаваскрипта

Сергей
04.01.2018
14:30:04

Славик
04.01.2018
14:30:21
бери виртуалку
советую

Сергей
04.01.2018
14:32:18
Кстати


rewqty
04.01.2018
14:32:30
Добро пожаловать в ад!
# Что
https://meltdownattack.com/
Meltdown / Spectre, худшие уязвимости ИТ за последние годы. Heartbleed и Krack по сравнению с ними — детский сад.
Из-за Meltdown обычный процесс может шариться во всей оперативной памяти — например, чтобы вытащить пароли или любые другие интересные данные. Подвержены все десктопные процессоры за последние десять лет, включая, судя по всему, и AMD.
Фиксить придется в операционных системах, в браузерах, словом — везде. Эксплойты есть даже на JavaScript (!).
Spectre же можно эксплуатировать вообще примерно везде, простого фикса нет и не предвидится.
Переводить детали уязвимостей не буду: кому интересно, прочитает и разберется по-английски, а кому нет — так и не надо.
# Подробнее и история
Сайт про уязвимости, с моднейшими логотипами и названиями как из фильмов про хакеров, все как полагается:
https://meltdownattack.com/
Подробнейшее описание от обнаруживших проблемы, Google Project Zero (ссылайтесь в будущем на него, а не на рандомные статьи «о господи, все пропало»)
https://security.googleblog.com/2018/01/todays-cpu-vulnerability-what-you-need.html
И JavaScript тоже:
https://twitter.com/mraleph/status/948683329359970304
https://twitter.com/migueldeicaza/status/948715833605459969
AMD поспешили заявить, что проблема в Intel (на этом фоне акции Intel упали и началась истерика). Оказывается, черта с два:
https://twitter.com/internetofshit/status/948684798570188806
Подробное и простое описание уязвимости от @FioraAeterna, инженера компиляторов и «твиттер-знаменитости»:
https://twitter.com/FioraAeterna/status/948684092333158400
Что делают команды ОС, чтобы хоть что-то заштопать:
https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=5aa90a84589282b87666f92b6c3c917c8080a9bf
https://twitter.com/aionescu/status/948818841747955713
Более-менее объяснение ситуации по-русски:
http://www.opennet.ru/opennews/art.shtml?num=47849
# И что теперь
Активно можно сделать мало что — просто накатывать обновления по мере выхода.
На уязвимость какую-то время было эмбарго, в результате которого в самых последних версиях macOS и Windows уязвимость уже немного заштопана. Amazon AWS и Azure тоже обновились.
К сожалению, от фикса все начинает работать медленнее. Я несколько не доверяю оценке в «фикс делает все на 30% медленнее», которую растиражиловали СМИ (хайп, истерика, о чем бы еще написать), кто-то даже придумал 50%, но вот есть тред от пользователей AWS, где видно, насколько все медленее:
https://twitter.com/internetofshit/status/948682685601509377
https://twitter.com/timgostony/status/948682862844248065
И, конечно, браузеры тоже подвержены проблеме: существует эксплоит аж из JavaScript.
# Что делать
Обязательно включить везде автообновления, в первую очередь на ОС и браузерах.
Придется обновиться на самые последние версии ОС. На старых версиях macOS отсидеться не получится, теперь действительно нужно обновляться на High Sierra.
Браузеры нужно обновить как только так сразу, однозначно есть уязвимость и в Google Chrome (хваленая изоляция не помогла), и в Firefox.
Часть облачных провайдеров уже обновилась, часть еще нет. В любом случае нужно ждать новых ядер для вашего дистрибутива и мгновенно обновляться. В январе ваши администраторы устроят вам перезагрузки серверов — если они не в спячке.
Все очень плохо, и масштаб проблемы (так же как и оценки того, мог ли ее кто-то эксплуатировать раньше) еще предстоит выяснить.


Сергей
04.01.2018
14:32:35
Можно сертификат для кода там купить

Andrew
04.01.2018
14:33:13
Я воообще то не описание спрашивал а сплоит
Описание мы и сами в состоянии загуглить

rewqty
04.01.2018
14:34:13

Andrew
04.01.2018
14:34:32
Надо больше подробностей! Нужен пример кода

Google

rewqty
04.01.2018
14:34:34
Чатик лень читать :/

Andrew
04.01.2018
14:35:07
KPTI исправление приносит 17 процентов ухудшения производительности
для PostgreSQL LInux заявлено
17! долбанных! процентов
Выкину нахрен свой мак щас из окна

rewqty
04.01.2018
14:37:33
Лол

Damir
04.01.2018
14:39:25
вы о чём вообще?:D

Luka Megurine
04.01.2018
14:40:41
Компьютерная графика в кино (ролик плюс статья) (geektimes.ru)

Alena
04.01.2018
14:47:45

Славик
04.01.2018
14:51:24
это ппц жестко
такие проседания в производительности

Славик
04.01.2018
14:51:47
все интел процессора попали под раздачу, да?
я блин фанат интел на свою голову
вот почему не брал amd
он же еще и дешевле

Владимир
04.01.2018
14:52:09

Славик
04.01.2018
14:52:16
сука 5 компов с i3, i5, i7

Владимир
04.01.2018
14:52:44
Или калькуляторов

Google

Славик
04.01.2018
14:53:01
да идет в жопу просто это обновление =)

Владимир
04.01.2018
14:53:22

Eduard
04.01.2018
14:53:25
Маки уже обновили или ещё нет пока? Выкидывать в окно или ещё есть надежды?

Ава
04.01.2018
14:58:33
Так-то рабочее время, Славой Жижек!
Что шаришь в I.T.? Чем можешь поделиться с чатом?

rewqty
04.01.2018
14:59:34
Амд же тоже вроде дырявые

Славик
04.01.2018
14:59:49
пруф или не было

rewqty
04.01.2018
15:00:31
Выше я для кого репостил?
https://twitter.com/internetofshit/status/948684798570188806

Admin
ERROR: S client not available

Славик
04.01.2018
15:00:57
предлагаешь мне историю чата читать?

rewqty
04.01.2018
15:01:01
Да
Ты админ так-то
хД

Славик
04.01.2018
15:01:11
этим пусть всякие там админы занимаются
делать мне больше нечего
я вот зашел в чат
что увидел, на то и реагирую
и пофиг мне, что не в тему

Nastassia
04.01.2018
15:01:33
сейчас я прочту историю...
хмм...

Google

Nastassia
04.01.2018
15:01:43
там пишут, что Славик лох

rewqty
04.01.2018
15:01:55
Лол

Славик
04.01.2018
15:02:59
ой
я думал не получится ее забанить
но получилось :D
а, нет

Nastassia
04.01.2018
15:03:36
каков лох - такой и результат

Славик
04.01.2018
15:03:37
но ппц из списка в тг пропала
визуальный баг тг!
меня подставили

Nastassia
04.01.2018
15:03:56
пруф или не было

Славик
04.01.2018
15:03:59
это ж надо так обрадоваться
а потом обломать
гребанный тг десктоп клиент

Nastassia
04.01.2018
15:04:28
пруф. или. не. было.

Славик
04.01.2018
15:04:29
видишь

Nastassia
04.01.2018
15:04:42
одного цвета еще блин

Славик
04.01.2018
15:04:46
а теперь нету

Nastassia
04.01.2018
15:04:57
как влюбленные носят одинаковую одежду