アカウント名:
パスワード:
ぶっかけ、今回の問題で何が脅威かというと
パーソナルユースでは、情報漏洩程度でおわるが（程度？？アプライアンス製品としてXeonとかセロリンとか搭載されているファイアウォールとかだと、乗っ取りされる可能性がぁ、、、、
あー一部の製品では発表されてたな（ボーヨミ
乗っ取られはせんでしょ。メモリが参照されるだけ。
メモリを延々と読まれたらアカウントのパスワードくらい手に入るんじゃない？
パスワードよりも、何らかの秘密鍵を狙う方が容易っぽいかもしらない。だから、クラウド方面が必死になっているふいんきなわけで。
任意の（悪意のある）ソフトを走らせられることが前提で、通常アクセスできない領域のメモリの内容を読み取れるのが今回の問題。仮想環境を使うクラウドだと、複数の顧客のソフトを同一CPU上で走らせるから、悪意のある顧客が別の顧客のデータを盗めるし、もっと言えばハイパーバイザにもアクセスできるから致命的。
パーソナルユースだと、任意の（悪意のある）ソフトを走らせられる時点で、キーロガー仕込むなり秘密鍵転送するなり好きにすればいいわけで、この脆弱性は関係ない。パーソナルユースで関係あるとすれば、この脆弱性を利用してDRM突破するとかかな？
実装次第なところがあるけど、HW仮想化環境でも、この脆弱性は影響が有るのかな？無さそうな気がするする。例えば、隠したい領域をMMUから見えなくすれば防げるだろうし。
思いっきり影響があります。隠したい領域を隠せないことが問題なわけで。というか、Project Zeroの解説にハイパーバイザへの攻撃が書いてあるでしょ？読んでないのかな。
なぜのかXenのpara virtualization modeを挙げているのに、full virtualization modeを挙げない。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
ソースを見ろ -- ある4桁UID
Re:ぶかっけ何が強烈かと言ってしまうと (スコア:0)
ぶっかけ、今回の問題で何が脅威かというと
パーソナルユースでは、情報漏洩程度でおわるが（程度？？
アプライアンス製品としてXeonとかセロリンとか搭載されている
ファイアウォールとかだと、乗っ取りされる可能性がぁ、、、、
あー一部の製品では発表されてたな（ボーヨミ
Re: (スコア:0)
乗っ取られはせんでしょ。
メモリが参照されるだけ。
Re: (スコア:0)
メモリを延々と読まれたらアカウントのパスワードくらい手に入るんじゃない？
Re: (スコア:2)
パスワードよりも、何らかの秘密鍵を狙う方が容易っぽいかもしらない。
だから、クラウド方面が必死になっているふいんきなわけで。
Re: (スコア:0)
任意の（悪意のある）ソフトを走らせられることが前提で、通常アクセスできない領域のメモリの内容を読み取れるのが今回の問題。
仮想環境を使うクラウドだと、複数の顧客のソフトを同一CPU上で走らせるから、悪意のある顧客が別の顧客のデータを盗めるし、もっと言えばハイパーバイザにもアクセスできるから致命的。
パーソナルユースだと、任意の（悪意のある）ソフトを走らせられる時点で、キーロガー仕込むなり秘密鍵転送するなり好きにすればいいわけで、この脆弱性は関係ない。
パーソナルユースで関係あるとすれば、この脆弱性を利用してDRM突破するとかかな？
Re: (スコア:2)
実装次第なところがあるけど、HW仮想化環境でも、この脆弱性は影響が有るのかな？
無さそうな気がするする。
例えば、隠したい領域をMMUから見えなくすれば防げるだろうし。
Re:ぶかっけ何が強烈かと言ってしまうと (スコア:0)
思いっきり影響があります。隠したい領域を隠せないことが問題なわけで。
というか、Project Zeroの解説にハイパーバイザへの攻撃が書いてあるでしょ？読んでないのかな。
Re:ぶかっけ何が強烈かと言ってしまうと (スコア:2)
なぜのかXenのpara virtualization modeを挙げているのに、full virtualization modeを挙げない。