La tecnologia Intel SGX usata dai ricercatori per creare malware non rintracciabile dagli antivirus

[sintopatataelettronica]

Originariamente inviato da cdimauro

SGX è una funzionalità che ha un ben preciso funzionamento, e come tale può essere utilizzata a fini benefici (com'è stata originariamente progettata) o meno.

E' un po' come la storia del software: c'è chi scrive applicazioni (utili), e chi purtroppo scrive malware. Visto che su un computer possono girare gli uni e gli altri, che facciamo? Proibiamo la scrittura del software?

A parte che io non ho mai parlato di proibire alcunché...

C'è comunque una differenza sostanziale nell'analogia che impropriamente fai: un PC è un mero strumento, qualcosa di "neutro", non un mezzo o strumento che è stato inventato o implementato per aumentare la sicurezza di qualcosa d'altro, come lo sono (o dovrebbero essere) queste tecnologie.

E invece ognuna di esse oltre a fallire miseramente riguardo allo scopo e intento per cui sono create, diventa per di più una - più o meno potenziale - criticità e vulnerabilità ulteriore che può anche richiedere fix mica da ridere ( vedi quel che è successo l'anno scorso con Spectre e Meltdown ) .. ed è questo che personalmente trovo assai preoccupante.

[cdimauro]

Spectre e Meltdown sono esempi completamente sbagliati e non hanno nulla a che vedere né sono comparabili con tecnologie come SGX.

L'esempio corretto sarebbe potuto essere fra SGX e la modalità supervisore (o kernel mode che dir si voglia): entrambe nascono per offrire maggior sicurezza (rispetto al solo user mode).

Ma se avere strumenti del genere non ti soddisfa, che ti posso dire: torna ai tempi in cui c'era il solo user mode a disposizione, e lascia pure la porta spalancata a tutto e tutti.

[sintopatataelettronica]

Originariamente inviato da cdimauro

L'esempio corretto sarebbe potuto essere fra SGX e la modalità supervisore (o kernel mode che dir si voglia): entrambe nascono per offrire maggior sicurezza (rispetto al solo user mode).

Ma se avere strumenti del genere non ti soddisfa, che ti posso dire: torna ai tempi in cui c'era il solo user mode a disposizione, e lascia pure la porta spalancata a tutto e tutti.

Come ho già scritto.. io non mi son lamentato che qualcosa esista; ho solo espresso le mie personali perplessità e preoccupazioni a riguardo di questi sistemi creati e pensati al fine di garantire maggior sicurezza ma che poi invece nel concreto non ci riescono ed arrivano a fornire pure potenziali strumenti ai malware per diventare meno rintracciabili o eludibili.

[cdimauro]

Sai cos'è un rootkit? E perché si chiami così?

[sintopatataelettronica]

Originariamente inviato da cdimauro

Sai cos'è un rootkit? E perché si chiami così?

Sì, lo so.. ma la mia riflessione ad alta voce riguardava tutte quelle tecnologie implementate nelle cpu in teoria per aumentare la sicurezza del sistema ma che poi in realtà diventano solamente fonti di possibili ulteriori - E GRAVI - problemi di sicurezza in più, non genericamente tutti i malware non rilevabili dall'OS.

E come ho detto era una mia riflessione personale, non una critica a qualcosa o qualcuno.

[cdimauro]

Questo l'avevo capito, ma il punto è che applicando il tuo ragionamento dovremmo far fuori TUTTI i meccanismi di sicurezza finora implementati (visto che non c'è alcuna certezza che in futuro non si possano usare per qualcosa di malevolo).

Il che implica tornare dritti dritti alla sola modalità utente per l'esecuzione del codice (niente supervisor/kernel mode, niente hypervisor, niente paginazione coi flag di protezione, niente SGX, niente MPX, e quant'altro abbia dimenticato).

Ma utilizzare la sola modalità utente significa tornare ai tempi bui dell'informatica, dove potevi beccarti malware in qualunque momento, visto che tutto il codice gira(va) coi massimi privilegi (leggi: può fare quello che vuole).

E' questo che vorresti? Se non ti piacesse dovresti accettare per forza qualche meccanismo di protezione, e ricadremmo sul dilemma per eccellenza: quali misure sarebbero "più sicure" di altre (e dunque adottabili)? Domanda a cui, come dovresti immaginare, non c'è una risposta, perché alla base NON esiste una definizione oggettiva e incontrovertibile di sistema sicuro, né tanto meno una possibile misura (leggi: dovresti definire una metrica. Anche qui oggettiva e incontrovertibile) di "quanto sicuro" possa essere un sistema.

Long story short: le speculazioni lasciano il tempo che trovano in mancanza di valutazioni oggettive di come funzioni un sistema e le tecnologie che utilizza.

[giovanni69]

Originariamente inviato da giovanni69

Grazie per il tuo commento; dunque se è morto lo è solo in ambiente Linux oppure non esiste alcun rischio SME con AMD in generale anche sotto Windows?

UP!

[pabloski]

Originariamente inviato da giovanni69

UP!

Riguarda Linux. Su Windows non saprei, ma penso sia supportata.