Жду новый пост

Серия «Доступно об АйТи»

Найти уязвимость в процессоре — это сильно. Но именно это случилось в середине 2017 года — появилась уязвимость Meltdown, теоретически открывающая доступ к системной памяти. Позже появилась и Spectre, более сложная, но теоретически позволяющая забраться в память другой программы. Поскольку теоретически уязвимы все, шума было много, но нет данных о реальном использовании этих уязвимостей.

Извлечением разведывательных данных из открытых каналов шпионы занимались давно. С 2022 очень многие умеют сопоставлять снимки местности с гуглокартами (я не умею). И потому считается, что любое военное фото и видео лучше выкладывать несколько дней спустя, когда извлечённая информация будет неактуальной. И именно это — утечка данных через открытый канал — случилось почти со всеми x86. К Meltdown были уязвимы все Intel начиная с Core, к Spectre — вообще все.

Вкратце о виртуальной памяти. Появилась на процессоре 80386 (1985), даёт каждой программе подобие выделенного процессора с 4 гигабайтами памяти (если процессор 32-битный). Таблицы преобразования из виртуальных адресов памяти (доступных программисту) в физические (какая ячейка ОЗУ) находятся всё в том же медленном ОЗУ.

Программе иногда приходится обращаться к функциям ОС — например, чтобы получить имя текущего пользователя. Эта функция обязана обращаться и к системной памяти (там находится имя), и к пользовательской (чтобы скопировать имя туда). Решено это так: часть системной памяти внесена в виртуальную память программы, но доступ к ней разрешён только из системных функций. Именно эту память, которую «видит око, да зуб неймёт», читает Meltdown. Отсюда название — эта уязвимость «плавит» границы памяти.

Закон дырявых абстракций

Чтобы прочитать эту память, нужны определённые технологии процессора.

• Чтобы поменьше обращаться к медленному ОЗУ, у процессора есть быстрая маленькая кэш-память. У современных процессоров есть три уровня кэш-памяти, нас интересует кэш 1-го уровня (ближайший к процессору, несколько килобайт объёмом, работает не с физическими адресами памяти, а с виртуальными).

• Процессор умеет выполнять операции наперёд. Но в любой программе есть команды ветвления — скажем, «если D<0, то уравнение решения не имеет, иначе корни такие-то». Все современные x86 ещё до того, как вычислят D, пробуют пройти по одной из веток (а то и по обеим).

• При этом процессор не знает наперёд, имеет ли он право выполнять эту операцию: для этого надо заглядывать в таблицы преобразования, а они если не в оперативной памяти, то в особом кэше преобразования адресов, который сидит между 1-м и 2-м уровнями. Так что просто выполняет — а потом уже разбирает, имеет ли он право это делать.

• Для высокоточного отсчёта времени (для мультимедиа, игр и прочего) в процессоре есть счётчик тактов.

Джоэль Спольский придумал так называемый «закон дырявых абстракций». Звучит он примерно так:

Если за простым фасадом сложная технология, тонкости этой технологии будут вылезать наружу.

Вот пример из автомобилей: чтобы машина с ДВС умела стоять, а также ездить на разных скоростях в разных режимах мотора, к двигателю приделана коробка передач. Переключать её — дело неблагодарное, и в околовоенные годы придумали автоматическую коробку. Удобно — нажал-поехал — но то, что за всем этим старые добрые мотор и коробка, вылезает сплошь и рядом.

Дисклеймер: я о традиционной коробке типа «гидроавтомат» без электронных помощников. Да простят меня обладатели вариаторов и роботов.

• ДВС не умеет стоять: коленвал остановился — двигатель заглох. А поскольку в автомате вместо сцепления две турбины, автоматическая машина всегда ползёт, если недостаточно сильно давить на тормоз.

• Чем выше оказалась случайно стрелка тахометра в момент T, тем лучше тянет машина, если резко нажать газ.

• А если нужно разогнаться максимально резко — дай коробке время переключиться, чтобы тахометр ушёл в 4000+ об/мин.

• Ну и целая куча тонкостей в сложных и экстремальных режимах езды.

Как работает Meltdown

Есть очень длинный массив, больше, чем кэш-память. Скажем, на 1001 позицию — от 0 до 1000. Программа будет такая.

Сбросить кэш-память

Если некое условие (гарантированно не выполняющееся)

……Считать число из запретного адреса

……Извлечь из числа один бит (то есть 0 или 1)

……Загрузить из массива элемент № (бит·1000) — то есть № 0 или № 1000

Иначе

……Загрузить из массива элемент № 0, измерить время доступа

……Загрузить из массива элемент № 1000, измерить время доступа

Условие гарантированно не выполняется, но надо заставить процессор пройти наперёд именно по первой ветке — и он выполняет её наперёд, не зная, что адрес запретный. Заодно перекидывая элемент № 0 или № 1000 в кэш. Массив длинный, оба сразу в кэш не попадут.

Если из запретного адреса считан 0, доступ к элементу № 0 будет быстрым (он в кэше), а к элементу № 1000 — медленный. И наоборот.

И так бит за битом читают запретную память.

Spectre

Сбросить кэш-память

Если некое условие (гарантированно не выполняющееся, с доступом к ОЗУ)

……Считать число из адреса, совпадающего с виртуальным адресом жертвы

……Извлечь из числа один бит (то есть 0 или 1)

……Загрузить из массива элемент № (бит·1000) — то есть № 0 или № 1000

Иначе

……Загрузить из массива элемент № 0, измерить время доступа

……Загрузить из массива элемент № 1000, измерить время доступа

Самый известный вариант Spectre очень похож на Meltdown, и главная разница такова: а) мы хотим получить доступ к памяти другой (атакуемой) программы, и мы знаем желаемый адрес в её виртуальной памяти; б) атакуемая программа постоянно имеет дело с этим адресом — и потому секретный байт в кэше (напоминаю, кэш 1-го уровня имеет дело с виртуальными адресами); в) «некое условие» вычисляется по формулам, требующим доступа к ОЗУ; г) запретный адрес тоже вычисляется по формулам, но более простым и быстрым.

Следите за руками. Не видя способа быстро рассчитать условие, процессор начинает наперёд крутить ветку «то». Вычисляет адрес, считывает из него число, а пока оно ползёт из ОЗУ, пробует прокрутить следующие шаги с тем числом, что завалялось в кэше . Число из ОЗУ не успеет прийти («если некое условие» будет вычислено раньше), но эти шаги, опять-таки, приведут к тому, что либо № 0, либо № 1000 будет закэширован и доступ к одному будет быстрый, а к другому — нет.

Название Spectre («призрак») происходит из-за крайней сложности ошибки (уязвимы почти все x86, программно не закрывается, и ожидалось, что она ещё некоторое время будет преследовать) и технологии «выполнение наперёд» (speculative execution).

К чему это привело

Разработчики ОС экстренно закрыли Meltdown так. Сделали две таблицы преобразования адресов: одну сокращённую для программы, другую полную для системных функций. Это несколько замедлило систему, но закрыло уязвимость. В дальнейшем её закрыли на уровне процессоров и забыли.

Разработчики браузеров внесли свою лепту — дело в том, что в современном браузере JavaScript частично компилируется в машинный код! И они подкорректировали компиляцию так, чтобы шансы на удачную эксплуатацию были минимальны.

Больше всего напряглись провайдеры виртуальных машин и контейнерных служб (Microsoft Azure и прочие) — они-то и напрягли производителей процессоров. И виртуальная машина, и контейнер позволяют запускать любой машинный код в изолированной среде (например, чтобы сделать нестандартный или высоконагруженный сервер), но в виртуальной машине ядро ОС отдельное, а в контейнере — общее на все контейнеры.

Spectre в 2018 начали понемногу прикрывать на уровне процессора. В 2021 году появилась информация о новой версии Spectre, к которой якобы уязвимы даже те процессоры, что закрыли в 2018.

Поскольку среднестатистический «кулхацкер» довольно туп, код из статей про Spectre быстро стал ловиться антивирусами. Но в любом случае ничего не известно о реальной эксплуатации ошибки.

Для Лиги лени: сохранность оригиналов; средний электрофон качественнее среднего плеера; цифровой звук, вероятно, был сжат с потерями и/или обработан компрессором; некачественная аппаратура, вносящая ностальгию и дополняющая лёгкую музыку.

Копипаста из «Вокруг света»

Дело в сохранности оригиналов. При прочих равных цифровой звук CD-качества по всем параметрам превосходит аналоговые записи на виниле. Однако редко удается сравнить записи, произведенные в одинаковых условиях. Например, пластинки групп 1960–70-х делались со свежих студийных мастер-лент и могут звучать лучше CD, которые изготавливались позже с уже изношенных оригиналов, а то и с виниловых пластинок.

Современные записи изначально делаются в цифре и на виниле неизбежно что-то теряют. Но за счёт моды на винил пластинки чаще прокручивают на аппаратуре высокого класса, тогда как цифровой звук воспроизводят дешёвыми плеерами, которые обрезают частоты. Нередко цифровые записи ещё и сжимают для трансляции через интернет. Отсюда впечатление, будто винил лучше цифры, хотя объективно это не так.

…Но это не только! Моё дополнение

В аналоговом звуке есть оптимальная средняя громкость, по максимуму использующая возможности микрофона, звукоснимателя и усилителя. А максимум нежёсткий: качество звуков плавно теряется с увеличением громкости, в крайних случаях давая так называемое аналоговое запирание, овердрайв или перегруз, так любимый в рок-музыке.

Цифре всё едино, покуда пики вписываются в диапазон от −100% до 100% — но если из-за цифровой обработки они выйдут за диапазон, будет так называемое цифровое запирание, не любимое никем и звучащее как треск.

Потому с переходом на цифру (80-е и 90-е) началась война громкости: записи прогоняли через так называемый компрессор, оставляющий пики как есть, но делающий тихие звуки громче. К тому же компрессия улучшает слышимость на некачественной аппаратуре или в шуме, за это любима водителями (позволит выровнять музыку под звуки дороги, и ничего не будет слишком громким/тихим) — но качества и выразительности звуку она не добавит.

Для изготовления рингтонов, которые должны быть громкими на ОЧЕНЬ плохом динамике, музыку прогоняют через сильный компрессор.

Слова «сжатие» и «компрессия» часто взаимозаменяемы, но их нельзя путать: уменьшение размера файла в первом случае и уменьшение разницы между громким и тихим во втором.

Шумы старой аппаратуры также вносят свою лепту во впечатление от музыки — особенно если там мало инструментов.

Лиз Инглэнд. Дверной вопрос в геймдизайне (перевод с сайта «Посмотрели», большей частью мой)

«Так что ты, геймдизайнер, делаешь? Ты рисуешь персонажей, пишешь сюжет? Или, постой, ты программист?»

Геймдизайн — такой же туманный для непосвящённых термин, как для меня «астрофизик». И это моя работа, так что я объясню, всем — даже тем, кто вообще не видел игр — что такое геймдизайн.

Дверной вопрос

Мне нравится объяснять свою работу в терминах «дверного вопроса». Дано: вы делаете игру.

• Будут ли там двери?

• Может ли игрок их открывать?

• Может ли человек открыть любую дверь, или там будут двери для красоты?

• Как мы объясним разницу? Может, открывающиеся будут зелёными, а вечно закрытые — красными? Или неоткрывающиеся будут завалены мусором? А может, просто уберём с неоткрывающихся ручки, и всё?

• Можно ли двери запирать и отпирать?

• Что говорит о том, что дверь заперта, но когда-нибудь откроется — в отличие от двери, которая не откроется никогда?

• Знает ли игрок, как открыть дверь? Нужен ключ? Нужно взломать пульт? Нужно решить головоломку? Дождаться какого-то сюжетного момента?

• Есть ли двери, которые можно открыть, но нельзя войти?

• Откуда появляются враги? Из дверей? Запираются ли двери после этого?

• Как игрок открывает дверь? Просто подходит, а она сдвигается? Или распахивается на петлях? Нужно ли нажимать на кнопку, чтобы открыть дверь?

• Закрывается ли дверь за спиной игрока?

• Что будет, если в игре двое? Нужно ли запирать дверь, когда пройдут оба?

• А что, если уровень СОВСЕМ ГРОМАДНЫЙ и всё не умещается в памяти? Если один игрок отстанет, не исчезнет ли пол под ним?

• Нужно ли как-то приостанавливать прохождение первого, пока второй не войдёт в комнату?

• Нужно ли телепортировать отставшего?

• Какого размера дверь?

• Нужно ли ей быть достаточного размера, чтобы игрок прошёл?

• Когда один игрок встанет в проёме, помешает ли это второму?

• А что, если за вами идут компьютерные союзники? Сколько их должно проходить сквозь дверь без застреваний?

• А что с врагами? Должны ли минибоссы, которые крупнее человека, помещаться в дверь?

И это классическая проблема дизайна. Кто-то должен решить «дверной вопрос», и этот «кто-то» — геймдизайнер.

Другие дверные вопросы

Чтобы помочь людям понять разделение труда в большой компании, я иногда углубляюсь в детали: как другие имеют дело с дверями.

• Творческий директор: Да, нам нужны двери.

• Менеджер по проекту: Я отведу в графике время на двери.

• Геймдизайнер: Я написал документ, уточняющий, что нам нужно от дверей.

• Концепт-художник: Я нарисовал роскошные образцы дверей.

• Арт-директор: На третьей картинке именно та дверь, которая нам нужна.

• 3D-моделер: По картинке я смоделировал дверь.

• Аниматор: Я сделал, чтобы дверь открывалась и закрывалась.

• Шумовик: Я сделал звуки открытия-закрытия дверей.

• Специалист по звуковой подсистеме: Звуки будут меняться в зависимости от того, где игрок и в какую сторону он будет смотреть.

• Композитор: Я сделал музыку для дверей.

• Художник по эффектам: Я добавил искорки, когда дверь открывается.

• Писатель: Когда дверь открывается, игрок скажет: «Смотрите, дверь открылась!»

• Осветитель: Когда дверь заперта, она будет подсвечена красным, когда открыта — зелёным.

• Юрист: 3D-моделер нарисовал на двери эмблему «Макдональдса». Её придётся убрать, чтобы не засудили.

• Художник по персонажам: Меня дверь не волнует, пока она не будет носить шляпы.

• Геймплейный программист: Дверь открывается и закрывается в зависимости от расстояния до игрока. Также её можно отпереть-запереть скриптом.

• Программист искусственного интеллекта: Враги и союзники будут знать, есть ли дверь и можно ли пройти.

• Программист сетевого кода: Нужно ли, чтобы все одновременно видели дверь открытой или закрытой?

• Инженер по выпуску: Чтобы дверь попала на золото, её нужно закончить к 15:00.

• Программист движка: Я оптимизировал код, и теперь может быть до 1024 дверей.

• Программист-утилитчик: Я переделал редактор, теперь ставить двери проще.

• Конструктор уровней: Я поставил запертую дверь. После события она откроется.

• Дизайнер интерфейса: Теперь на самóй двери и на карте есть значок цели.

• Постановщик боёв: Враги появляются за дверью; часть входит в комнату, часть остаются прикрывать огнём. Если игрок смотрит за дверь, они появятся за другой дверью.

• Дизайнер систем: Игрок 4-го уровня тратит 3 золота и получает 148 опыта за открывание двери.

• Специалист по монетизации: С игрока берём 99¢, чтобы он вошёл в дверь. После 24 часов ожидания — бесплатно.

• Тестер: Я вошёл в дверь. Я вбежал в дверь. Я впрыгнул в дверь. Я постоял в проёме и дождался, пока она закроется. Я сохранился, перезагрузился и вошёл в дверь. Я умер, загрузился и вошёл в дверь. Я бросил гранату в дверь.

• Исследователь по эргономике: Я выложил объявление: добровольцы будут входить в двери, и посмотрим, какие вылезут проблемы.

• Переводчик: Дверь. Door. Puerta. Porta. Porte. Tür. Dør. Deur. Drzwi. Drws. 문

• Продюсер: Мы дадим эту дверь всем или оставим как бонус за предзаказ?

• Издатель: Эта дверь выделит игру из линейки аналогичных, вышедших этой осенью.

• Генеральный директор: Я хочу поблагодарить всех за время и усилия, потраченные на двери.

• Пиарщик: Всем поклонникам, вы сойдёте с ума от нашего нового пресс-релиза #геймдев #двери #некстген #ретвит

• Менеджер по сообществу: Всем поклонникам, проблемы с дверью решим в следующем патче.

• Техподдержка: Писал игрок, непонятки с дверями. Сбросил ему детальную инструкцию, как ими пользоваться.

• Игрок: А дверь-то я и не приметил!

Одна из причин, за что я люблю этот пример — он такой обыденный. Часто думают, что разработка игр — это блестяще и круто, и буйство фантазии, и всегда интересно. Но когда я говорю: «Давайте начнём с дверей»,— всё сдувается до повседневных практических вопросов.

Комментарии пользователей(всё вперемешку, и с Гамасутры, и из блога Лиз)

• Аниматор: Я сделал, чтобы дверь открывалась и закрывалась.

• Менеджер проекта: Ты сделал анимацию, чтобы персонаж открывал дверь, или это дверь как в «Звёздном пути»?

• Программист: Когда игрок сдаёт назад, что будет, если сзади кто-то окажется?

• Программист физики: Сталкиваются ли двери с рэгдоллами? Может ли рэгдолл заблокировать дверь?

• Программист, занимающийся камерой: Должна ли камера проходить сквозь дверь? Нужно ли ей особое поведение вокруг дверей?

• Художник по спецэффектам: Игроки вечно пропускают дверь, я добавил искорок на ручку.

• Конструктор уровней: С обеих сторон двери нужно поставить области стриминга, чтобы подгружать новый кусок уровня, а при проходе через дверь сделать перебивку.

• Моделер сеток: Мне нужны двери и дверные коробки модульные и одинаковых размеров, чтобы корректно ставить на уровне.

• Аниматор: Мне нужны ручки в одинаковых местах, чтобы выровнять анимации открытия дверей.

• Художник по персонажам: Надо сделать дверь повыше, не все персонажи умещаются.

• Техподдержка: У нас проблемы с людьми, которые открывают-закрывают двери и не дают другим входить.

• Технический художник: На другой стороне двери нет геометрии, это портал. Нужно ли добавлять геометрию на другую сторону всех дверей?

• Инди-разработчик: Надо соединить две комнаты. Нужна дверь? Нет, я просто сделаю, чтобы из одного прохода не было видно больше двух комнат. Готово.

• Пользователь Steam: Вы просите x$ на игру о дверях? Простите, я пас. Если бы вы просили вдвое меньше, вы продали бы стопятьсот триллионов копий.

• Разработчик на Kickstarter: Сейчас у нас 20 дверей. Если мы соберём 150000 $, мы добавим ещё десять за то, что вы помогли нашей разработке!

• Бизнес-исследователь: Средний игрок открывает 23 двери в час.

• Безопасник: Боты с лёгкостью могут эксплуатировать двери.

• Инженер по масштабируемости: Когда 1 млн человек одновременно закроют двери, игра «упадёт».

• Менеджер по бренду: Вот размытое видео: стриженый ёжиком мужик открывает дверь, и она взрывается.

• Веб-дизайнер: Я написал руководство по всем дверям в игре.

• SEOшник: Дверь, портал, проход, вход, выход, арка, ворота, калитка, люк.

• Специалист по продажам: Для BestBuy нужны синие двери, для Target — красные.

• Историк: Дверной молоток появился только через 200 лет после событий в игре.

• Технический художник 1: Я сделал модульный риг, который можно присоединить к любой двери в игре.

• Технический художник 2: Я разбил текстуру двери на цвет и свечение, чтобы один набор можно было использовать на все двери в игре.

• Технический художник 3: Я написал утилиту для Maya, которая за 30 секунд генерирует 1000 разных дверных сеток.

• Технический художник 4: Я написал убер-шейдер, который прибавляет прозрачность, когда игрок приближается, превращает дверь в голограмму и анимирует UV, чтобы был эффект ряби.

• Технический художник 5: Я переписал соглашения по именованию. Теперь двери находятся в Environments/Props/Doors и называются «[префикс_мира]_prop_door_[размер_двери]_[open_или_closed]_mesh.[filetype]».

• Исследователь по играм: Проверено ли научно, что двери в жизни ведут себя именно так?

• Внештатный историк: Дверь Второй мировой войны так не выглядит. Пластмассу тогда ещё не изобрели.

• Аналитик по продажам: Наша таблица говорит, что двери сейчас не цепляют. Нельзя ли превратить их в китов?

• Тестер по локализации: Увеличьте дверь на 1 уровне, надпись «Выход» часто вдвое длиннее, чем в английском — например, по-фински «poistua».

• Заказчик «серьёзной игры»: Если вы сделаете одну дверь бесплатно, мы заработаем с ней больше денег!

• Специалист по вирусной рекламе: Можете снять FRAPS’ом открывающуюся дверь, чтобы я выложил на YouTube?

• Юрист Apple: Мы подаём в суд за нарушение патента «Движущееся бинарное многообразие в трёхмерном пространстве».

• Инди-разработчик: Я могу делать по одной двери в неделю. Остальное время я работаю в «макдональдсе», чтобы платить за квартиру.

• Амбициозный инди-единоличник (реальная цитата из проекта, прошедшего Greenlight и канувшего в Лету): Пре-альфа 0.4 вышла. У меня не было времени как следует реализовать создаваемые пользователем воксельные двери переменного размера с проводкой, механикой и хакерством, это будет в следующем выпуске.

• Художник комикса: Всё не так! В моём комиксе дверь была ярко-красной! Потому он и называется «Красная-красная дверь».

• Стажёр по 3D: Не понимаю. Почему на двери не может быть 10 000 треугольников?

• Игрок-дальтоник: Я не могу различить, открыта ли дверь, спасибо тебе, осветитель!

• Игрожур: В заключение: открывание дверей не было увлекательным, но если отбросить этот недостаток, фанатам дверей понравится. 7/10.

• Спидраннер 1: Если дверь меня будет дамажить, у меня будут прибавляться хп. Это одна конкретная дверь, у которой перепутали показатель урона и сделали его отрицательным.

• Спидраннер 2: Если смотреть на крайнюю правую искорку, высекаемую дверью при закрытии, и по звуку скрипа на втором лязге подпрыгнуть, стоя на стыке текстур порога двери и пола, то дверь выпихнет за пределы уровня… изи ран

• Главный босс: Мы запаздываем на 6 месяцев. Вот дверь!