Облака: воскресный наброс
Dec. 2nd, 2018 11:40 am![[personal profile]](https://www.dreamwidth.org/img/silk/identity/user.png){kind=small}
beldmitЯ вот тут задумался, не рассеются ли облака (а то и весь shared hosting) как модель по итогам открытий текущего года в области компьютерной безопасности.
Смотрите. Всяческие уязвимости в процессорах изоляцию нарушают. Сейчас ещё подоспела пачка атак по Блейхенбахеру и подобным схемам на RSA handshake, но его хотя бы отключить можно целиком.
Контрмеры против Spectre/Meltdown/прочих существенно затормаживают процессоры — когда на 10%, когда на 5, а на некоторых задачах, Торвальдс пишет, и на 50. То есть если их все применить, то в два раза точно упадёт. Ну ок, можно сказать, что процессы с разных виртуалок мы на одно ядро не пускаем, а дальше юзер пусть сам разбирается. Но это всё равно значит, что на сервере не больше юзеров, чем ядер.
Дальше есть такая вещь, как Rowhammer. Там работа идёт с тем, что память — физическая, а не абстрактная виртуальная, и переключения битиков позволяют влиять на соседние ячейки. Есть попытки заставить Rowhammer работать по сети, довольно успешные. Никакие контрольные биты в современных планках памяти не спасают — их тоже можно пофлипать. Можно ли на уровне гипервизора выделять планку памяти конкретной виртуалке? Можно, наверное, но там те же ограничения, что и с ядрами.
Можно, конечно, понадеяться на новые архитектуры процессоров. Но атаки на старые могут успеть добить этот тип хостинга раньше, оставив вариации на тему неуловимого Джо и сервисы, в которых пользователям shell не дают.
Смотрите. Всяческие уязвимости в процессорах изоляцию нарушают. Сейчас ещё подоспела пачка атак по Блейхенбахеру и подобным схемам на RSA handshake, но его хотя бы отключить можно целиком.
Контрмеры против Spectre/Meltdown/прочих существенно затормаживают процессоры — когда на 10%, когда на 5, а на некоторых задачах, Торвальдс пишет, и на 50. То есть если их все применить, то в два раза точно упадёт. Ну ок, можно сказать, что процессы с разных виртуалок мы на одно ядро не пускаем, а дальше юзер пусть сам разбирается. Но это всё равно значит, что на сервере не больше юзеров, чем ядер.
Дальше есть такая вещь, как Rowhammer. Там работа идёт с тем, что память — физическая, а не абстрактная виртуальная, и переключения битиков позволяют влиять на соседние ячейки. Есть попытки заставить Rowhammer работать по сети, довольно успешные. Никакие контрольные биты в современных планках памяти не спасают — их тоже можно пофлипать. Можно ли на уровне гипервизора выделять планку памяти конкретной виртуалке? Можно, наверное, но там те же ограничения, что и с ядрами.
Можно, конечно, понадеяться на новые архитектуры процессоров. Но атаки на старые могут успеть добить этот тип хостинга раньше, оставив вариации на тему неуловимого Джо и сервисы, в которых пользователям shell не дают.
no subject
Date: 2018-12-02 09:06 am (UTC)Люди вообще очень толерантно относятся к уязвимостям и потерям.
no subject
Date: 2018-12-02 09:13 am (UTC)А тут в случае ущерба крупным игрокам вполне возможны варианты.
no subject
Date: 2018-12-02 09:40 am (UTC)no subject
Date: 2018-12-02 09:49 am (UTC)no subject
Date: 2018-12-02 09:47 am (UTC)no subject
Date: 2018-12-02 10:22 am (UTC)no subject
Date: 2018-12-02 08:04 pm (UTC)no subject
Date: 2018-12-02 08:48 pm (UTC)no subject
Date: 2018-12-02 01:55 pm (UTC)no subject
Date: 2018-12-02 04:04 pm (UTC)no subject
Date: 2018-12-02 04:36 pm (UTC)no subject
Date: 2018-12-02 05:12 pm (UTC)no subject
Date: 2018-12-02 06:46 pm (UTC)no subject
Date: 2018-12-04 04:55 pm (UTC)no subject
Date: 2018-12-04 08:25 pm (UTC)no subject
Date: 2018-12-02 05:14 pm (UTC)При том, что есть не в пример более дырявые. Начиная, я извиняюсь, с рекомендации не пользоваться публичным вайфаем в городе Москве, если не хочешь, чтобы тебе потом приписали чужую криминальную активность в сети. И через найденные в прошлом году проблемы в WPA2, где ни одна собака не почесалась выпустить апдейты к аппаратам старше полугода, считая с момента начала их выпуска, а в дешевом классе так и вообще.
И? Публичный вайфай в московском транспорте прикрылся? Производители дырявых телефонов разорились?
no subject
Date: 2018-12-02 06:48 pm (UTC)Про публичный Wi-Fi, в моём понимании, всё наоборот — припишут твою активность владельцу точки. Но после дела Богатова народ с проксями стал аккуратнее.
Проблема в WPA2 — пример более удачный.
no subject
Date: 2018-12-02 08:17 pm (UTC)Не. Я имею в виду тот же московский транспорт. Ты там авторизуешься, и активность приписывают тебе. Тонкость в том, что оно тупо привязывает твой вход к твоему MAC, и если супостат после твоего выхода из вагона поменял свой мак на твой, то его активность припишут тебе.
Я видел в интернетах, что есть уже программы, которые так делают. Обычно ими пользуются, чтобы проскочить мимо рекламы, а не заняться экстремизмом, но если оно, проскочив мимо рекламы, займется экстремизмом даже просто сдуру, обвинят один фиг тебя. И суд поверит адвокату провайдера.
no subject
Date: 2018-12-02 08:26 pm (UTC)no subject
Date: 2018-12-03 06:37 am (UTC)Но суть в том, что дыра большая и известная, бизнес ее игнорирует, и с ним ничего не случается. Но правда, тут, как и в случае с ДТП, если что, страдает сначала клиент, а чтобы бизнес пострадал, нужен выдающийся адвокат, либо очень массовая и эмоционально убедительная атака, чтобы массовый юзер массово побежал.
Но, опять же, в случае с облаками ситуация похожая. Нужна очень массированная атака, чтобы бизнес пострадал.
no subject
Date: 2018-12-02 07:01 pm (UTC)Собственно именно это и делают всякие докеры. Когда ты, рестартоввав контейнер автоматически получаешь его свеженьким, собранным из дистрибутивных пакетов, остается приделать вотчдог, который будет вовремя детектить ботнеты и майнеры биткойнов и дергать за ручку.
no subject
Date: 2018-12-02 08:09 pm (UTC)А вообще ты мне сейчас напомнил историю от Квитека про контору, в которой рабочий день начинался с переустановки Windows с нуля.