Meltdown & spectre: если

Meltdown & Spectre: если бы их не было, их стоило бы придумать.

2018 год начался с ужасной для IT-мира новости: во всех процессорах Intel, выпущенных за последние 20 лет, найдена уязвимость, которая позволяет злоумышленнику получить доступ к памяти компьютера или сервера и вытащить оттуда такие данные, как введенные в настоящее время пароли или используемые ключи шифрования. Что касается AMD, то до сих пор однозначного ответа нет — разработчик не признал наличие дыры в архитектуре, а специалисты сходятся во мнении, что она там есть.

По масштабам трагедии, это самая серьезная ошибка за последние 20 лет, самая опасная и касающаяся практически любого компьютера, будь то Mac, PC или сервер под Linux. В интернете много детальной информации об уязвимостях Meltdown & Spectre, поэтому повторяться не стану: если на вашем сервере крутится 100 виртуальных машин, допустим таких как VPS для хостинга, то запуск вредоносного кода на любой из них, вытащит пароли к базам данных на всех остальных, а если вы вводите с ноутбука пароль к интернет-банку, параллельно просматривая зараженный веб-сайт, то ваш пароль уже в руках у хакера. Антивирусы в данном случае бесполезны.

Конечно же, и Microsoft, и Apple, и разработчики Linux-платформ очень быстро отреагировали на найденную дыру в безопасности, выпустив патчи для своих операционных систем. Так было много раз, но сейчас случай особенный: патчи замедляют работу машины до двух раз. Не всегда и не каждой, а вот дальше самое интересное.

В игровых и офисных приложениях разницы в скорости практически нет, а вот в программах, использующих дисковую подсистему, да еще со случайным чтением, скорость может упасть на 30-40%. То есть, уязвимость избирательно затрагивает самую платежеспособную часть потребителей — корпоративный сектор, облачные сервисы, все что связано с виртуализацией и базами данных.

Также прочитайте про:   хостинг vps серверов

За последние несколько лет в корпоративном сегменте, скорость работы дисковых систем выросла в разы и даже в десятки раз. Тут вам и переход с HDD на SSD, и с SSD на NVMe и PCI Express, и различные технологии кеширования, и 100-гигабитные интерфейсы Индустрия работала на потребности всеобщей виртуализации, и теперь один Security-патч отбрасывает весь технологический прогресс на годы назад.

На практике это означает следующее: получив уведомление о серьезной уязвимости, системный администратор устанавливает патчи безопасности и вдруг выясняется, что инфраструктура начинает работать медленнее. Что значит медленнее?

Ну на практике, 30% снижение скорости случайного чтения может привести к тому, что база данных просто откажется работать — она не сможет обслужить всех подключенных клиентов. Это — критический случай, а в более простых вариантах будет снижение скорости, заметное на уровне выполняемых задач. Проще говоря, если раньше архитектура могла обслужить 100 клиентов облака, то сейчас — не больше 80, если раньше какая-то система биллинга проводила 1000 операций в секунду, то теперь 700, ну и так далее, в том же ключе.

Ответ на вопрос, что делать, напрашивается сам собой: либо расширяться горизонтально, приобретая еще больше серверов, чтобы распределить нагрузку, либо модернизировать имеющееся оборудование новыми процессорами без Meltdown&Spectre уязвимостей, а таких процессоров пока что нет. Но и в том и в ином случае, конечные потребители IT-технологий будут вынуждены массово закупать новое оборудование.

Банки, страховые компании, интернет-компании, транспортники все те, кто работают с большими базами данных, сейчас будут искать ответ на вопрос: как бы подешевле сделать так, чтобы оно работало ну хотя бы как в Ноябре 2017.
Основными бенефициарами этого апокалипсиса безопасности окажутся крупные производители серверного оборудования: Hewlett Packard, Dell, Fujitsu, AMD и конечно же Intel.

Также прочитайте про:   Кибербезопасность современного

Вывод очень простой — уязвимости Meltdown и Spectre могут дать огромный толчок к развитию IT-индустрии, и теперь это будет новый инструмент повышения продаж. Можно находить уязвимости в чем угодно, хоть в кулерах, побуждая покупателей обновлять парк своей техники. Если Meltdown и Spectre не было, их бы стоило придумать.

4 thoughts on “Meltdown & spectre: если

  1. чeтa я ćамнèвäюcь чтò пpù ùпользованиu вupтуaлòk èсть тäkой риск…виpтуäлku ùзoлирŷеютćя дрŷг oт дрŷга…èслu на хоcтe ćтоùт процecòp òт ùнтeл, тò в ćaмòй виpтуaлkè мòӝна выcтaвить
    äбcoлютнo любой прoцeсор…я любuтeль cлоӝныx ćиćтем, пpòчuтäю eще в uнeтe…

  2. четa тàk вćе раćkрùчалućь c етoй ŷязвùмòcтью…тùпа вće ппц, взлàмaют всеx…бŷдтo бы вoдùш любòй айпu u мoӝèш выпoлнять любòй кòд на машùнkè ӝèpтвы…нy мне стàло интерeсно, u я паùсkал тщàтeльнo в uнeте, тokа нe мaгŷ нèгде найтu uнфы о том kàk прòвестù ету àтaкy, что ето такoe? вирус кakoйтo? гдè eго пòдцùпuть мòжна? kакue права дoćтупа нyӝны, вaзмоӝна eта aтakа из внè или нeòбxoдuмо физùчèckоe пpисуćтвùe?…нeчегò нe яćнò…
    ć пòмощью èтoй атаkи злoŷмышлениkù мòгŷт ykраcть, шантàӝupовать и тд, тàк я пòиćкàл ù нè нaшел инфы o тòм чтo kто тò пòcтpaдaл от нee, некого нe oбokрàлù…
    да, pèàльнo ecть eта ŷязвùмocть, eто oчeвuднò…тoка kak èè pèàлизoвàть мне нe пàнятна…мòӝет кто тò вkŷpce?

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *