Уязвимость Spectre всё ещё угрожает последним процессорам AMD и Intel

Уязвимость Spectre всё ещё угрожает последним процессорам AMD и Intel

Уязвимость Spectre всё ещё угрожает последним процессорам AMD и Intel

Об опасной аппаратной уязвимости Spectre заговорили более шести лет назад. Согласно новому исследованию, даже спустя это время последние модели процессоров от AMD и Intel остаются в зоне риска эксплуатации.

Отчёт (PDF) экспертов Швейцарской высшей технической школы Цюриха описывает обход Branch Predictor Barrier (IBPB) на x86-чипах. IBPB, как известно, является очень важной составляющей защиты от атак спекулятивного исполнения.

Например, сама Intel описывает назначение IBPB следующим образом:

«Механизм управления косвенными ветвями устанавливает своего рода барьер, не позволяющий софту, который выполняется до него, контролировать прогнозируемые цели косвенных ветвей, выполненных уже после этого барьера».

Фактически этот метод используется для противостояния вектору атаки Spectre v2 (отслеживается под идентификатором CVE-2017-5715), который задействует предсказатели косвенных ветвей для спекулятивного выполнения.

В новом исследовании специалисты демонстрируют, как с помощью бага в микроархитектуре Intel (вроде Golden Cove и Raptor Cove) можно обойти IBPB. По словам экспертов, этот вектор — первое практическое применение сквозной межпроцессовой утечки.

 

Проблеме присвоили идентификатор CVE-2023-38575 и дали 5,5 балла по шкале CVSS. Intel уже выпустила патчи микрокода.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Android Restore Credentials сохранит вход в приложения при замене телефона

Компания Google представила механизм Restore Credentials, реализованный в диспетчере учетных данных Android. Новинка автоматизирует восстановление доступа к приложениям после переноса на новое устройство, упрощая процесс настройки.

Функция Restore Credentials пока доступна в виде ознакомительной версии для разработчиков. Системные требования — Android 9 и выше.

Восстановление учетных данных не только не требует никаких действий от пользователя, но также происходит незаметно. Поменяв смартфон, юзер с ходу продолжит пользоваться своими программами и получать нотификации для быстрого доступа к содержимому.

Сама процедура технически проста. При авторизации в приложении на мобильном устройстве создается ключ восстановления (публичный ключ, совместимый с passkey и FIDO2), который шифруется и по умолчанию сохраняется в Credential Manager, а при включенном резервном копировании данных — также в облаке Google.

После переноса приложений и контента на новое устройство (или восстановления после сброса настроек) каждый сервис при первом запуске запрашивает ключ восстановления и автоматически регистрирует вход в фоновом режиме.

 

Миграция ключа восстановления, по словам Google, не потребует внесения изменений в приложения, так как ее обеспечит механизм резервного копирования и восстановления Android. Разработчики могут лишь добавить бэкап-агент и логику к обратному вызову onRestore, чтобы пользователи могли вернуть доступ, не открывая приложение.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru