![[personal profile]](https://www.dreamwidth.org/img/silk/identity/user.png){kind=small}
Entry tags:
Облака: воскресный наброс
Я вот тут задумался, не рассеются ли облака (а то и весь shared hosting) как модель по итогам открытий текущего года в области компьютерной безопасности.
Смотрите. Всяческие уязвимости в процессорах изоляцию нарушают. Сейчас ещё подоспела пачка атак по Блейхенбахеру и подобным схемам на RSA handshake, но его хотя бы отключить можно целиком.
Контрмеры против Spectre/Meltdown/прочих существенно затормаживают процессоры — когда на 10%, когда на 5, а на некоторых задачах, Торвальдс пишет, и на 50. То есть если их все применить, то в два раза точно упадёт. Ну ок, можно сказать, что процессы с разных виртуалок мы на одно ядро не пускаем, а дальше юзер пусть сам разбирается. Но это всё равно значит, что на сервере не больше юзеров, чем ядер.
Дальше есть такая вещь, как Rowhammer. Там работа идёт с тем, что память — физическая, а не абстрактная виртуальная, и переключения битиков позволяют влиять на соседние ячейки. Есть попытки заставить Rowhammer работать по сети, довольно успешные. Никакие контрольные биты в современных планках памяти не спасают — их тоже можно пофлипать. Можно ли на уровне гипервизора выделять планку памяти конкретной виртуалке? Можно, наверное, но там те же ограничения, что и с ядрами.
Можно, конечно, понадеяться на новые архитектуры процессоров. Но атаки на старые могут успеть добить этот тип хостинга раньше, оставив вариации на тему неуловимого Джо и сервисы, в которых пользователям shell не дают.
Смотрите. Всяческие уязвимости в процессорах изоляцию нарушают. Сейчас ещё подоспела пачка атак по Блейхенбахеру и подобным схемам на RSA handshake, но его хотя бы отключить можно целиком.
Контрмеры против Spectre/Meltdown/прочих существенно затормаживают процессоры — когда на 10%, когда на 5, а на некоторых задачах, Торвальдс пишет, и на 50. То есть если их все применить, то в два раза точно упадёт. Ну ок, можно сказать, что процессы с разных виртуалок мы на одно ядро не пускаем, а дальше юзер пусть сам разбирается. Но это всё равно значит, что на сервере не больше юзеров, чем ядер.
Дальше есть такая вещь, как Rowhammer. Там работа идёт с тем, что память — физическая, а не абстрактная виртуальная, и переключения битиков позволяют влиять на соседние ячейки. Есть попытки заставить Rowhammer работать по сети, довольно успешные. Никакие контрольные биты в современных планках памяти не спасают — их тоже можно пофлипать. Можно ли на уровне гипервизора выделять планку памяти конкретной виртуалке? Можно, наверное, но там те же ограничения, что и с ядрами.
Можно, конечно, понадеяться на новые архитектуры процессоров. Но атаки на старые могут успеть добить этот тип хостинга раньше, оставив вариации на тему неуловимого Джо и сервисы, в которых пользователям shell не дают.
no subject
Люди вообще очень толерантно относятся к уязвимостям и потерям.
no subject
А тут в случае ущерба крупным игрокам вполне возможны варианты.
no subject
no subject
no subject
no subject
no subject
no subject
no subject
no subject
no subject
no subject
no subject
no subject
no subject
no subject
При том, что есть не в пример более дырявые. Начиная, я извиняюсь, с рекомендации не пользоваться публичным вайфаем в городе Москве, если не хочешь, чтобы тебе потом приписали чужую криминальную активность в сети. И через найденные в прошлом году проблемы в WPA2, где ни одна собака не почесалась выпустить апдейты к аппаратам старше полугода, считая с момента начала их выпуска, а в дешевом классе так и вообще.
И? Публичный вайфай в московском транспорте прикрылся? Производители дырявых телефонов разорились?
no subject
Про публичный Wi-Fi, в моём понимании, всё наоборот — припишут твою активность владельцу точки. Но после дела Богатова народ с проксями стал аккуратнее.
Проблема в WPA2 — пример более удачный.
no subject
Не. Я имею в виду тот же московский транспорт. Ты там авторизуешься, и активность приписывают тебе. Тонкость в том, что оно тупо привязывает твой вход к твоему MAC, и если супостат после твоего выхода из вагона поменял свой мак на твой, то его активность припишут тебе.
Я видел в интернетах, что есть уже программы, которые так делают. Обычно ими пользуются, чтобы проскочить мимо рекламы, а не заняться экстремизмом, но если оно, проскочив мимо рекламы, займется экстремизмом даже просто сдуру, обвинят один фиг тебя. И суд поверит адвокату провайдера.
no subject
no subject
Но суть в том, что дыра большая и известная, бизнес ее игнорирует, и с ним ничего не случается. Но правда, тут, как и в случае с ДТП, если что, страдает сначала клиент, а чтобы бизнес пострадал, нужен выдающийся адвокат, либо очень массовая и эмоционально убедительная атака, чтобы массовый юзер массово побежал.
Но, опять же, в случае с облаками ситуация похожая. Нужна очень массированная атака, чтобы бизнес пострадал.
no subject
Собственно именно это и делают всякие докеры. Когда ты, рестартоввав контейнер автоматически получаешь его свеженьким, собранным из дистрибутивных пакетов, остается приделать вотчдог, который будет вовремя детектить ботнеты и майнеры биткойнов и дергать за ручку.
no subject
А вообще ты мне сейчас напомнил историю от Квитека про контору, в которой рабочий день начинался с переустановки Windows с нуля.