CPU сдаст вас с потрохами: самая серьезная дыра в безопасности за всю историю наблюдений?

Нашел на просторах интернета. Что думаете по этому поводу?)


Что случилось?

Исследователи Google опубликовали исследование "Reading privileged memory with a side-channel",(не реклама)
в котором они описывают найденную ими аппаратную уязвимость, которая затрагивает практически все современные и устаревшие процессоры вне зависимости от операционной системы. Строго говоря, уязвимостей целых две. Одной подвержены многие процессоры Intel (на них проводилось исследование). AMD с ARM также уязвимы, но атаку реализовать сложнее.

Атака позволяет получить доступ к защищенной памяти из кода, который не обладает соответствующими правами.

Пожалуй, самое вероятное и неприятное применение на данный момент — получение дампа системной памяти во время выполнения JavaScript.

Другой интересный вариант — эскалация прав чтения памяти из виртуальной машины. Как вам VPS, который ворует данные из других машин хостера?

Эксплуатация уязвимости не оставляет следов.

Насколько это серьезно?

Это очень серьезно. Мир разделится на «до» и «после». Даже если у вас вообще нет компьютера, отдельные последствия косвенно могут догнать вас в офлайне.

Как защититься?

Установить последние обновления системы и браузера. Если вы не уверены в том что дыра точно закрыта и ваша система совершенно точно в безопасности, лучше отключите JavaScript даже при посещении безопасных сайтов — они могут быть скомпроментированы. Некоторые эксперты считают, что программным образом полностью обезопаситься нельзя и единственный способ решить проблему — сменить процессор на вариант без асбеста заведомо безопасный.

Прекрасные новости, это всё?

Не все. Судя по тестам, патчи сильно повлияют на производительность существующих систем. Тесты показывают падение на 10-30% в некоторых задачах. Да-да, вы все правильно поняли, ваш мак может навсегда стать медленнее, а AWS заметно дороже.

Мой пенек загрустил сейчас(

незнаю на сколько, но во многом поможет расширение ScriptSafe v1.0.9.6 (подходит для основных браузеров, а именно Opera, лисица, хром) тем что в нем:
- Защита от отпечатков:
-Block Browser Plugin Enumeration
-Защита от отпечатков Canvas
-Блокирование отпечатков Audio
-Блокирование отпечатков WebGL
-Блокирование отпечатков батареи
-Блокирование списков устройств (по сути Webrtc)
-Блокирование доступа к шрифтам через Canvas
-Блокирует клиентские прямоугольники
-Предотвращает помехи буфера обмена
-Уменьшение отпечатков клавиатуры (установка таймингов нажатия клавиш)
- Блокирует javascript
...и другое

От себя скажу что похоже с дополнением NoScript, только с рядом плюшек , и в одной расширении, сам пользуюсь. и регуливка легко происходит если на случай не открывается сайт полностью. Все настройки находятся в опциях, по умолчанию отключены они (!!). Сам даже не знал, и не догадовался что в нем такие сильные (и важные) функции есть.
Но по сути я думаю будет лучше чем браузер от VektorT13, с его наработками (ну а вы сами смотрите)
Удачи!