Zombieload impone una scelta tra prestazioni e sicurezza. Cosa farai?

Un'altra settimana, un'altra devastante, pericolosa minaccia per la sicurezza informatica. Questa settimana è particolarmente ossessionante, tuttavia – il cadavere risorto delle vulnerabilità Spectre e Meltdown, giustamente noto come ZombieLoad .

Sono passati più di 16 mesi da quando sono state svelate le vulnerabilità di Spectre e Meltdown, e poco è stato fatto per assicurarci che i nostri PC siano sicuri. Ognuno di noi deve fare una scelta tra prestazioni e sicurezza.

Questo fa davvero schifo.

Il problema Hyper-threading

A differenza del 2018 , i prodotti delle principali aziende interessate da questa vulnerabilità hanno risposto rapidamente. Dichiarazioni e patch di Microsoft, Amazon, Google, Apple e Intel sono state rilasciate il primo giorno di pubblicazione della scoperta. È bello vedere Intel annunciare con sicurezza il problema che ha scoperto e presentare le soluzioni disponibili ai propri clienti.

Ci sono, tuttavia, compromessi prestazionali per alcune di queste soluzioni.

I Dips in prestazioni ( o molto peggiori ) erano comuni nelle patch dei microcodici Spectre rilasciate da Intel nel 2018. Ciò era particolarmente vero all'inizio del processo. Come nei primi giorni della lotta contro ZombieLoad e altre vulnerabilità MicroStructure Data Sampling (MDS), stiamo assistendo a segni dello stesso problema.

Ora, Intel ha già affrontato il problema a livello hardware nei suoi recenti processori 8th e 9th-gen, ma il più grande problema di confusione è stato con il problema di Hyper-threading. È una tecnologia proprietaria Intel che porta conteggi di thread più elevati su processori con core-count elevati e consente prestazioni molto migliori in applicazioni complesse multi-thread. È una delle principali funzionalità che distingue tra processori Core i5 desktop e le più costose opzioni desktop Core i7. Ma in questo caso, Hyper-threading presenta una possibile lacuna per i sistemi di perdita di dati.

Mentre Intel afferma che il multi-threading simultaneo potrebbe aiutare a proteggere alcuni sistemi, non è assolutamente raccomandabile disabilitare la tecnologia Hyper-threading.

"Una volta applicati questi aggiornamenti, potrebbe essere appropriato per alcuni clienti prendere in considerazione ulteriori passaggi", ha affermato Intel in una nota. "Questo include i clienti che non possono garantire che il software fidato sia in esecuzione sui loro sistemi e stiano utilizzando il multi-threading simultaneo (SMT). In questi casi, i clienti dovrebbero considerare come utilizzano SMT per i loro particolari carichi di lavoro, le indicazioni fornite dai loro fornitori di software operativi e VMM e il modello di minaccia per la sicurezza per il loro particolare ambiente. Poiché questi fattori variano considerevolmente dal cliente, Intel non raccomanda che Intel HT sia disabilitato ed è importante capire che farlo non solo fornisce protezione contro MDS. "

C'è un problema serio con questa affermazione. Altre società non sono d'accordo con quella valutazione. Poiché la vulnerabilità colpisce ogni chip Intel dal 2008 (ad eccezione dei più recenti chip 8th e 9-gen di cui sopra), i produttori di laptop e gli sviluppatori di software effettuano le proprie chiamate. Google è stata la prima a rilasciare una dichiarazione ufficiale in cui si afferma che Chrome OS 74, l'ultimo aggiornamento software per Chromebook, avrà Hyper-Threading disattivato completamente.

L'iper-threading non è tutto ciò che è comune sui Chromebook, quindi potrebbe non essere un grosso problema. Ma per quanto riguarda il tuo Core i9 MacBook Pro? O che ne dici del tuo iMac Pro da € 4,000? Apple è stata la seconda a raccomandare ai suoi clienti di disabilitare Hyper-threading. Le sue istruzioni per la "completa mitigazione" della vulnerabilità includono la disabilitazione completa della funzionalità, con un conseguente calo delle prestazioni fino al 40%. Questo si basa sulle prestazioni di Apple con "test che includono carichi di lavoro multi-thread e benchmark pubblici".

Tuttavia, ottieni l'opzione. Come afferma Apple, potrebbe dipendere da come "alto rischio" è la tua sicurezza. Intel afferma che la decisione di disabilitare l'hyper-threading dipenderà "dai requisiti di sicurezza di ogni individuo". Se sei un'agenzia governativa o un istituto bancario, forse è una decisione facile. Ma per la persona media, è un po 'più ambiguo.

Quanto ti importa veramente della tua sicurezza? Questa è la domanda implorata da questo intero scenario. Basta buttare via il 40% delle prestazioni del tuo computer? Basta installare le patch del software, ma non passare attraverso la "mitigazione completa?" In alcune situazioni, ad esempio sei un editor di video freelance, il calo delle prestazioni potrebbe essere simile a buttare via profitti perché i video impiegheranno più tempo per codifica e modifica.

Devi scegliere

Quando rimpicciolisci dall'esperienza di una sola persona, il problema si accumula. La prossima versione di Hyper-threading sarà ZombieLoad-proof? E le altre tecnologie del futuro? È una crisi esistenziale per l'intero settore. Migliorare le prestazioni è stato il nome del gioco in informatica. Abbiamo bisogno di velocità che rendano difficile per aziende come Intel, AMD, Nvidia o Qualcomm prendere il gas dal pedale.

Non è diverso dalla situazione che attualmente affrontiamo con la privacy. La maggior parte di noi è fin troppo consapevole di come i nostri dati vengono presi e utilizzati, spesso senza il nostro consenso. Tuttavia, raramente siamo disposti a scambiare convenienza per la privacy. È un prezzo che molti di noi non sono disposti a pagare.

A lungo termine, ho difficoltà a vederci comportarsi diversamente quando si tratta di sicurezza. E questo potrebbe diventare un problema cataclismico per la tecnologia dei consumatori.