Link alla notizia: https://www.hwupgrade.it/news/sicurezza-software/kernel-data-protection-kdp-rende-windows-10-piu-sicuro_90732.html

Microsoft sta testando tramite le build Windows Insider una nuova funzionalità di sicurezza chiamata Kernel Data Protection (KDP) pensata per impedire la corruzione dei dati e rendere molto difficile la vita dei malintenzionati.

Click sul link per visualizzare la notizia.

appesantire il sistema operativo è chiaro una volta il browser erano 12 mb i driver 30mb ora aggiungete uno 0 per avere cosa?

L'unico vero modo per avere windows 10 sicuro è tenerlo spento ... assodato questo, perchè continuare ad appesantire il SO? Per mettere una pezza ai tanti buchi delle cpu intel, per esempio??

Ok, tutto bello. Ma nessuno misura mai l'impatto prestazionale?

Ho capito che la "memoria contenente codice è read-only"...ma questo si faceva già prima, col bit NX.

Adesso pure sezioni critiche di dati. Ma questo dovrebbe essere compito di SGX e l'equivalente AMD. O sbaglio?

No...la virtualizzazione. Siccome il software moderno è leggero, aggiungiamo un altro livello di indirection. Altri spazi d'indirizzamento. Altre tabelle delle pagine. TLB invalidate a manetta. Branch predictor che non si mette le mani nei capelli.

Ma una speranza c'è e proprio Microsoft sta sperimentando abbastanza a fondo la soluzione. Si chiama Rust!

L'SGX non c'entra, e dall'articolo sembra che dovrebbero pure arrivare benefici prestazionali.

Ma Andrea è un utente del forum (sebbene scriva pochissimo), e magari chiarirà la questione.

Ok, tutto bello. Ma nessuno misura mai l'impatto prestazionale?

Ho capito che la "memoria contenente codice è read-only"...ma questo si faceva già prima, col bit NX.

Adesso pure sezioni critiche di dati. Ma questo dovrebbe essere compito di SGX e l'equivalente AMD. O sbaglio?

No...la virtualizzazione. Siccome il software moderno è leggero, aggiungiamo un altro livello di indirection. Altri spazi d'indirizzamento. Altre tabelle delle pagine. TLB invalidate a manetta. Branch predictor che non si mette le mani nei capelli.

Ma una speranza c'è e proprio Microsoft sta sperimentando abbastanza a fondo la soluzione. Si chiama Rust!

Pensa che Rust stanno pensando di usarlo anche per i nuovi drivers su Linux :D. Torvalds non l'ha neanche escluso.

Comunque riguardo la virtualizzazione, mi sembra tanto che MS stia cercando di spostare il core di Windows a livello hypervisor.

L'idea di per se non sarebbe neanche male.

....rendiamo ancora piu sicuro....
impediamo l'esecuzione di sofware, se non firmato da uno Store e blocchiamo la possibilità che l'utente possa eseguirlo forzatamente, magari firma con chiave hardware.. gestita da un chip.....

Faccina Ironica con Sottofondo colonna sonora di X-Files....
...mi ricorda il passato....

L'unico vero modo per avere windows 10 sicuro è tenerlo spento ... assodato questo, perchè continuare ad appesantire il SO? Per mettere una pezza ai tanti buchi delle cpu intel, per esempio??
non solo intel.
https://www.hwupgrade.it/news/sicurezza-software/scovata-una-falla-nell-agesa-di-amd-interessa-le-apu-dal-2016-al-2019_90208.html

Pensa che Rust stanno pensando di usarlo anche per i nuovi drivers su Linux :D. Torvalds non l'ha neanche escluso.

Comunque riguardo la virtualizzazione, mi sembra tanto che MS stia cercando di spostare il core di Windows a livello hypervisor.

L'idea di per se non sarebbe neanche male.

Yep, su 10X infatti le applicazioni classiche sono virtualizzate :D
Lo stesso modello è già usato anche su Xbox One: https://www.youtube.com/watch?v=U7VwtOrwceo

;46876485']....rendiamo ancora piu sicuro....
impediamo l'esecuzione di sofware, se non firmato da uno Store e blocchiamo la possibilità che l'utente possa eseguirlo forzatamente, magari firma con chiave hardware.. gestita da un chip.....

Faccina Ironica con Sottofondo colonna sonora di X-Files....
...mi ricorda il passato....

The return of Palladium? :asd:

No, per favore: sono bastate le faide di una decina d'anni fa (e più) su Palladium... :stordita:

Tutte feature che Linux ha da quando esiste,
oppure che non ha bisogno di avere :D

TPM e palladium, ogni due post di qualsiasi cosa, anche di un giradischi era impestato di queste due parole. Che ricordi.

L'unico vero modo per avere windows 10 sicuro è tenerlo spento ... assodato questo, perchè continuare ad appesantire il SO? Per mettere una pezza ai tanti buchi delle cpu intel, per esempio??

L'unica piattaforma HW sicura a prescindere dal tipo di HW, dalla tipologia del dispositivo e dal SO e SW caricato sopra, è una piattaforma non in rete.

L'unica piattaforma HW sicura a prescindere dal tipo di HW, dalla tipologia del dispositivo e dal SO e SW caricato sopra, è una piattaforma non in rete.

E nemmeno, visto che esistono i side-channel attack :D

Ottimo; a quando anche più stabile?!

Tutte feature che Linux ha da quando esiste,
oppure che non ha bisogno di avere :D

Se linux fosse usato da un maggior numero di utenti, avrebbe bisogno pure lui di pezze in qua e in là.

non solo intel.
https://www.hwupgrade.it/news/sicurezza-software/scovata-una-falla-nell-agesa-di-amd-interessa-le-apu-dal-2016-al-2019_90208.html

Lo sai vero che un bug in AGESA significa che basta un aggiornamento di bios corretto per risolvere il problema? Intel ha gli ENORMI buchi nella cpu, non nel bios.

L'unica piattaforma HW sicura a prescindere dal tipo di HW, dalla tipologia del dispositivo e dal SO e SW caricato sopra, è una piattaforma non in rete.

Nemmeno quella, visti gli attacchi via usb. L0unica macchina sicura è quella SENZA porte di ingresso, senza rete e magari spente.

Se linux fosse usato da un maggior numero di utenti, avrebbe bisogno pure lui di pezze in qua e in là.

Verissimo. Gli attacchi contro i server Linux sulla rete (e i relativi buchi) non si contano .....

Verissimo. Gli attacchi contro i server Linux sulla rete (e i relativi buchi) non si contano .....

Sui server non installi nulla una volta messo in produzione.
Non ci leggi le mail
Non ci navighi in internet
non viene usato dall'utente medio che clicka ovunque

Sia su Linux che su windows,

Verissimo. Gli attacchi contro i server Linux sulla rete (e i relativi buchi) non si contano .....

Sui server non installi nulla una volta messo in produzione.
Non ci leggi le mail
Non ci navighi in internet
non viene usato dall'utente medio che clicka ovunque

Sia su Linux che su windows, è difficilissimo che gli attacchi partano dai server. I virus stanno sui pc degli utenti e poi da lì fanno danni.

Sui server non installi nulla una volta messo in produzione.
Non ci leggi le mail
Non ci navighi in internet
non viene usato dall'utente medio che clicka ovunque

Sia su Linux che su windows, è difficilissimo che gli attacchi partano dai server. I virus stanno sui pc degli utenti e poi da lì fanno danni.

E questo secondo te significa che non ci sono buchi? Hai intenzione di farmi ridere? Non si contano gli attacchi fatti BUCANDO i server e depositando dentro dei virus di varia natura CHE POI attaccavano le macchine degli utenti, e non certo il contrario. Perchè se un server si fa corrompere da una macchina client è un VERO cesso dal punto di vista della sicurezza.

Comunque con le cpu di oggi l'impatto prestazionale potrebbe essere irrilevante....
Preferire la sicurezza alla velocità non è una filosofia sbagliata. Soprattutto in ambito server.

Se linux fosse usato da un maggior numero di utenti, avrebbe bisogno pure lui di pezze in qua e in là.

E secondo te, i 2 miliardi e rotti di utenti Android, quale kernel c'hanno sotto il cofano dei loro telefonini?

Poi dimenticate sempre che il mondo del computing è più vasto di quella nicchia fatta di gamer. Esistono computer che lavorano h24, in posti dove nemmeno li vedete. E moltissimi di questi girano su Linux.

Comunque con le cpu di oggi l'impatto prestazionale potrebbe essere irrilevante....
Preferire la sicurezza alla velocità non è una filosofia sbagliata. Soprattutto in ambito server.

Con le pezze dovute ai casini combinati da Intel e le sue allegre implementazioni di esecuzione speculativa e quant'altro, già abbiamo perso un bel pò di prestazioni.

Server e desktop hanno profili di utilizzo diversi che devono essere tenuti in considerazione quando si valuta la sicurezza.

I desktop sono "interattivi", ovvero l'utente è libero di installare un po' quello che vuole, navigare su internet e via discorrendo.

E chiaramente, se i sistemi vengono tenuti aggiornati, lì l'utente è l'anello debole della catena. Phishing e ransomware e la frittata è fatta. E non è una questione di buchi nel codice.

I server, a meno di errori di configurazione, che pur sempre possono esserci, sono molto più complessi da attaccare in quanto richiedono mediamente una falla sfruttabile da remoto.

Su Android il discorso è complesso. I dispositivi che non vengono tenuti aggiornati sono pieni di buchi.

Al momento l'unica soluzione per questi sistemi è quella di installare solo le applicazioni note dall'app store. Ma certo è un problema non da poco.

Server e desktop hanno profili di utilizzo diversi che devono essere tenuti in considerazione quando si valuta la sicurezza.

I desktop sono "interattivi", ovvero l'utente è libero di installare un po' quello che vuole, navigare su internet e via discorrendo.

E chiaramente, se i sistemi vengono tenuti aggiornati, lì l'utente è l'anello debole della catena. Phishing e ransomware e la frittata è fatta. E non è una questione di buchi nel codice.

I server, a meno di errori di configurazione, che pur sempre possono esserci, sono molto più complessi da attaccare in quanto richiedono mediamente una falla sfruttabile da remoto.

Su Android il discorso è complesso. I dispositivi che non vengono tenuti aggiornati sono pieni di buchi.

Al momento l'unica soluzione per questi sistemi è quella di installare solo le applicazioni note dall'app store. Ma certo è un problema non da poco.

Quoto totalmente. Attaccare un server è molto più complesso che attaccare un utente dell'azienda.

Per il discorso Android è come dici tu: per quanto sia linux è comunque molto più blindado di una distribuzione desktop. Ci sono comunque diverse falle, ma il grosso dei problemi derivano da app installate ad di fuori del PS.

Quoto totalmente. Attaccare un server è molto più complesso che attaccare un utente dell'azienda.

Per il discorso Android è come dici tu: per quanto sia linux è comunque molto più blindado di una distribuzione desktop. Ci sono comunque diverse falle, ma il grosso dei problemi derivano da app installate ad di fuori del PS.

Purtroppo non solo. I problemi spesso sono anche nelle componenti del runtime Android, come ad esempio le librerie multimediali, spesso oggetto di patch negli aggiornamenti di sicurezza mensili.

Chiaramente più vai in basso nello stack e peggio è: se il bug è nel runtime, tutte le app che utilizzano una certa feature sono potenzialmente a rischio, incluse ovviamente quelle del Play Store.

Questo ovviamente vale per tutti i sistemi.

Purtroppo non solo. I problemi spesso sono anche nelle componenti del runtime Android, come ad esempio le librerie multimediali, spesso oggetto di patch negli aggiornamenti di sicurezza mensili.

Chiaramente più vai in basso nello stack e peggio è: se il bug è nel runtime, tutte le app che utilizzano una certa feature sono potenzialmente a rischio, incluse ovviamente quelle del Play Store.

Questo ovviamente vale per tutti i sistemi.

Se ci pensi però alla fine è la stessa cosa: questi bug (tipo quello di libstagefright) vengono usati di solito tramite pagine web... che equivale a eseguire codice untrusted che non arriva dallo store :D

(è il motivo per cui Nintendo Switch non ha un browser, perché gli hanno bucato ogni singola console tramite quello)

...e infatti

E infatti android è un colabrodo, ma il bello è che per i dati non c'è bisogno di chissà quale hackeraggio, sono gli utenti android che li regalano tranquillamente in rete.

E infatti android è un colabrodo, ma il bello è che per i dati non c'è bisogno di chissà quale hackeraggio, sono gli utenti android che li regalano tranquillamente in rete.

Più che altro diciamo che non viene tenuto aggiornato dalla maggior parte dei produttori di cellulari, che dal mio punto di vista hanno responsabilità non da poco. Fossi l'UE e dovessi racimolare soldi da multe comincerei proprio da questi.

Solo gli Android One e alcune case tipo Nokia riescono a garantirti aggiornamenti mensili come dovrebbe essere.

Con le pezze dovute ai casini combinati da Intel e le sue allegre implementazioni di esecuzione speculativa e quant'altro, già abbiamo perso un bel pò di prestazioni.
Non esiste azienda produttrice di processori che non sia stata affetta (e continui a essere) da problematiche di tipo side-channel.

https://www.cvedetails.com/

Parlando dei sistemi conosciuti, nel 2019 i SO piu sicuri sono stati Iphone Os, Ubuntu e il Mac.
I meno sicuri Android, Debian e Windows 10.

Ma e' mettendo le vulnerabilità in ordine di GRAVITA' che si scoprono cose interessanti.

1) Android e' osceno e uno dei peggiori risulta il Mac.
2) Windows 10 e' meno sicuro di Debian
3) SO piu sicuri sono Ubuntu e Fedora.

Alla fine vince Fedora, seconda posizione per Ubuntu , terza per Debian.

Windows 10 e' il piu giovane, essendo in statistica da 5 anni , ma nonstante quello ha scalato molto velocemente le posizioni.
Quasi 240 vulnerabilità gravi in 5 anni contro le quasi 140 di Debian che pero' e' in classifica dal 1999.

Questo dimostra la forza di Linux ma anche il fatto che e' la diffusione che rende debole un sistema.

stranamente hai preso in considerazione solo alcuni dettagli specifici e non hai considerato che:

- molte delle vulenrabilita' di windows 10 sono condivise con tutti i windows (anche se i windows sono separati, le vulnerabilita' sono ripetute nell singole versioni)

- windows ha un market share desktop > 90% quindi e' il piu' appetibile, discorso simile per android (mentre il mac ha una market share < 5%)

possiamo vedere la classifica generale per prodotti
https://www.cvedetails.com/top-50-products.php

e possiamo vedere la classifica generale per vendor, in questo caso la colonna da prendere piu' in considerazione e' la seguente #Vulnerabilities/#Products , perche' come naturalmente saprai, se uno ha 1000 prodotti con una vulnerabilita' per prodotto, e' un po' diverso da avere 2 prodotti con 400 vulnerabilita' per prodotto
https://www.cvedetails.com/top-50-vendors.php

Se avessi letto tutto il mio post ti saresti accorto che ho scritto:
"....ma anche il fatto che e' la diffusione che rende debole un sistema."

Questa classifica che hai postato
https://www.cvedetails.com/top-50-products.php
non serve a molto perche fa un calderone con vulnerabilità stupide e cretine mischiate a vulnerabilità gravi e gravissime.
Ergo e' useless.

Quest'altra che hai postato
https://www.cvedetails.com/top-50-vendors.php
non serve a molto perche anche se ha la colonna Vulnerabilities/ Products ti fa cmq un calderone di prodotti.

Quella che conta per capire quanto un prodotto sia affetto o meno da gravi vulnerabilità e' semplcemente aprire la classifica dei singoli SO e leggere quante cricità gravi e gravissime essi abbiano.
Hanno un filtro fatto apposta. :read:

Secure Pool Internals : Dynamic KDP Behind The Hood (https://windows-internals.com/secure-pool/)