Re: [情報] Intel嚴重漏洞 OS更新將會降低效能

[sachajam (子瑜我老婆)]

   假定你希望知道你老闆最近在哪裡出差，但是按照公司規定，你是無法知道老闆行
蹤的。所以你決定嘗試竊取這個秘密。

於是，你給老闆的秘書打電話說「你能不能幫我查下老闆的日程，看看老闆在哪裡出差，
再幫我去公司客戶關係管理系統裡面查下，看看那邊我名下近期需要拜訪的重點客戶，
這些可能是需要老闆幫忙拜訪的。」

秘書很敬業，先是查了老闆的日程，發現老闆在台北；然後又花了幾分鐘時間從客戶關
係管理系統裡把近期需要拜訪的台北重點客戶名單拿出來。這時，她突然反應過來你是
不應該知道老闆現在在哪裡的。於是她回電話告訴你「不好意思，我覺得你不應該瞭解
老闆去了哪裡。」

你回復道：「那好吧，忘記剛才的一切，現在我想查詢一下有哪些台北、台中、台南、
台西的重點客戶是我近期需要拜訪的？」

因為秘書剛剛已經從系統裡查到了台北對應的客戶，並且你有權限瞭解這些，她立即就回
答你：「近期需要拜訪的台北重點客戶有A,B,C…….」，幾分鐘後，她再補充：「近期需
要拜訪的台中、台南、台西重點客戶…….」

通常情況下，從系統裡面調取出這些信息需要好幾分鐘，但是秘書能立即告訴你台北的客
戶信息，於是你就知道剛才她在客戶關係管理系統裡查詢的地點是台北，所以你就可以推
測得到老闆是在台北出差。最終，秘密就這樣洩露了。

CPU執行的過程，有一個很重要的加速優化技術叫做「speculative execution」, 其實就
和以上比喻中秘書的工作方式一樣， 她只有在告訴你結果的時候，才發現你不應該瞭解
這個信息。但是此時，通過下一步執行結果的速度變化， 仍然有可能暴露重要的信息，
這就是所謂的」time based side channel attack（基於時間的旁路攻擊）」。

Intel的CPU在伺服器市場可能佔據了99%，一旦它出了問題，就意味著有很多服務
器上的敏感數據都可能洩露。 因此這是一次非常嚴重的安全事故，有可能比Heartbleed
更嚴重。

所以，似乎也解釋了為啥軟體更新後會引起性能的下降。


--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 59.115.199.137
※ 文章網址: https://www.ptt.cc/bbs/PC_Shopping/M.1515146814.A.916.html
推 s0022       : 精闢
推 zcbmaa      : 喔喔 這篇比套餐好懂XD
推 archer646   : Ok 這很科普
推 Shauter     : 套餐下面這篇跟寄物櫃的才比較對 結果套餐最多推
推 pttresident : push
推 JoyRex      : 推推
→ jeff40108   : amd說他們是禁止speculative reference 到kernel me
→ jeff40108   : moery的
→ jeff40108   : 也就是說只有intel的秘書不會查證身份就去查資料
推 Windcws9Z   : 壞壞總裁&Intel秘書
推 Jr0000      : 會不會可以寫成電影劇本了XD intel失荊州
→ StarHero    : 能不能寫個三國的!
推 qxxrbull    : 話說目前好像都看到的是在講Meltdown的 有Spectre的
→ qxxrbull    : 嗎
推 sova0809    : 這就是為啥他的商業用戶現在很緊張的原因 很麻煩
推 jonas078    : 推
推 a58524andy  : pusheen                               我是說push
推 circums     : 推推
→ StarHero    : 是說..如果早就被利用漏洞的話 現在只是知道怎麼死
推 XD119       : 懂了
推 wahaha99    : 這篇是Spectre吧? 置物櫃是Meltdown吧?
→ chenszhanx  : 這篇還是meltdown吧
推 jior        : 其實應該就像是資料在不在CPU快取的概念？
推 ronald279   : 推
推 ken720331   : 推
推 ken841520   : Spectre的話你不能指定要老闆的資料，只能碰運氣
→ ken841520   : 亂指定來碰運氣
推 sos911go    : 第一屆INTEL作文大賽正式開始
推 iloserSD    : 猛
推 kungfutofu  : 感謝說明
推 priestwhite : 感謝說明@@
推 allyourshit : 霸道總裁俏秘書之我想上你啊
推 s800525     : 所以補漏洞的方式是搜尋前先檢查許可，才會導致性能
→ s800525     : 下降嗎？
推 naya7415963 : 終於看懂了！
→ kuma660224  : 可以著重在總裁怎麼攻略俏秘書嗎?
→ TFnight     : 要比之前多做一件事情就是會比較慢阿
推 WuGouLin    : 簡單易懂 推推
→ eternal3326 : 所以不是老闆的錯，是秘書的錯，intel可以解套了
→ ChangWufei  : 都是秘書的錯 只好把祕書抓來嘿嘿嘿了
推 kme6833291  : 推啊
推 Rollnmeow   : 公司之外沒有祕書 所以對一般使用者有沒有大影響？
→ Rollnmeow   : 瀏覽器板看到Chrome為了堵漏洞會增加記憶體用量等等
推 jior        : 還加啊，chrome還不夠肥這樣
→ ericinttu   : 逼你買RAM的計毛
推 kira925     : Chrome那個應該是為了Spectre
推 soane       : 推！這篇更好懂！
推 likeyousmile: 推！ptt廢文海中的清流
推 Francix     : 推，很清楚
推 ctes940008  : 推
推 sophigo     : 推
推 eric45670   : 這篇超精簡的
推 garyyeng2   : 這篇精闢～
推 s4340392    : 推 這篇很好理解
推 cul287      : 難怪秘書都被就地正法
推 easyman     : 精闢~
推 ry3298      : 推
推 csiebbk     : 了解
推 qxxrbull    : 問個問題 如果是利用微小的時間差比對來確認並獲得
→ qxxrbull    : 重要資料 那麼跟HPET有關嗎？
推 randy061    : 只有我注意到 台西 嗎？
推 QuentinHu   : 推
推 cy4v        : 推
推 hihi29      : 秘書圖勒?
推 lalo        : 鄉民臥虎藏龍
推 madstorm    : 恩
噓 longer100   : 現在取用別人給的例子都不用註明出處了？
推 n19605gh    : 好懂 所以民主會有代價
→ lalo        : 看推文才知道不是原作 原PO加個出處比較好歐
噓 Winux       : https://goo.gl/sne8ab 無斷轉載知乎的例子當大大
→ Winux       : 還擅自亂改例子，板主這邊應該解M吧
噓 outzumin    : 抄襲喔
推 erasdfer    : 簡單易懂推
→ JoyRex      : 抄襲別人所以要補噓嗎?
噓 JoyRex      : 補噓
噓 JoyRex      : 要致敬也補下參考來源,不是的話再補回來
噓 dustlike    : 嘖嘖
推 shelfs      : 推
噓 TFnight     : 補
推 Rusnake5566 : 鄉民平常看到簡體字就開噴了  誰敢引用阿
噓 ericinttu   : 真是幫忙提供一個好藉口啊
噓 TFnight     : 樓主補來源後，我再推回來
噓 k800i13090  : 亂寫一通  我最近忙  不然讓我出馬寫一篇你們全跪
→ k800i13090  : 著看螢幕
噓 allnation   :