| · | 12.07 | Оценка эффективности применения AI-инструментов выявила замедление, а не ускорение разработки (182 +37) |
|
Исследовательская группа METR (Model Evaluation & Threat Research) опубликовала результаты эксперимента по оценке эффективности применения AI-инструментов для написания кода. Вопреки ожиданиям, исследование показало, что AI-помощники не ускоряют, а замедляют решение поставленных задач, при том, что субъективно участники эксперимента считали, что AI ускорил их работу.
Фактически при использовании AI-помощника на решение задачи в среднем было потрачено на 19% больше времени, в то время как участники полагали, что благодаря AI смогли выполнить работу на 20% быстрее, а до начала работы считали, что AI поможет им ускорить работу на 24%. Результаты также значительно расходятся с прогнозами экспертов в области экономики и машинного обучения, которые предсказывали экономию времени при использовании AI на 39% и 38%, соответственно.
 В ходе эксперимента 16 разработчикам открытых проектов, имеющим средний опыт работы с AI-инструментами, было предложено решить 246 задач, связанных с исправлением ошибок и добавлением новых возможностей. Задачи были сформированы на основе реальных issue в GitHub-репозиториях проектов, с которыми у выбранных разработчиков был опыт работы не менее 5 лет. Случайным образом часть задач предлагалось решить вручную, а часть с использованием любого AI-помощника на выбор разработчика (большинство предпочли редактор кода Cursor с моделью Claude 3.5/3.7 Sonnet). В эксперимент, который проводился с февраля по июнь 2025 года, были вовлечены такие открытые проекты, как mito, stdlib, ghc, cabal, flair, jsdom, hypothesis, trieve, scikit-learn, gpt-neox и transformers. В среднем задействованные проекты имели 23 тысячи звёзд на GitHub, 1.1 млн строк кода, 20 тысяч коммитов и 710 участников.  Упоминаются следующие возможные причины замедления решения задач при использовании AI:
Итоговый вывод: при использовании AI-инструментов разработчики тратят меньше времени на написание кода, поиск информации и чтение документации, но данная экономия сводится на нет из-за повышенных затрат времени на формирование запросов к AI, разбор подсказок, ожидание результата, рецензирование предложений и бездействие. Вместо генерации кода время уходит на взаимодействие с AI, изучение результатов и проверку предложенного кода. Не исключено, что при участии в эксперименте менее опытных разработчиков, не столь ответственно относящихся к проверке кода или работающих с незнакомой кодовой базой, были бы получены иные показатели эффективности разработки. Дополнительно можно отметить опрос 609 разработчиков, применяющих AI при написании кода, проведённый компанией Qodo. 78% отметили увеличение производительности труда после применения AI, 60% отметили повышение общего качества кода благодаря AI, 20% указали на снижение качества кода после применения AI. При этом 76% отметили, что они не задействуют код от AI без предварительного ручного рецензирования. В статье также отмечается, что отдельные разработчики чувствуют себя значительно лучше при использовании AI, так как могут предоставить больше кода, но ценой этого становится увеличение нагрузки на тех, кто отвечает за приём кода в проекты, рецензирование изменений и проверку качества.
| ||
|
Обсуждение (182 +37) |
Тип: К сведению |
| ||
| · | 12.07 | В KDE улучшена настройка переключения между дневным и ночным оформлением (27 +6) |
Нейт Грэм (Nate Graham), разработчик, занимающийся контролем качества в проекте KDE, опубликовал очередной отчёт о разработке KDE. Среди недавних изменений в кодовой базе, формирующей будущий релиз KDE Plasma 6.5:
| ||
|
Обсуждение (27 +6) |
Тип: К сведению |
| ||
| · | 12.07 | Выпуск labwc 0.9.0, композитного сервера для Wayland (55 +3) |
|
Опубликован выпуск проекта labwc 0.9.0 (Lab Wayland Compositor), развивающего композитный сервер для Wayland с возможностями, напоминающими оконный менеджер Openbox (проект преподносится как попытка создания альтернативы Openbox для Wayland). Из особенностей labwc упоминается минимализм, компактная реализация, широкие возможности настройки и высокая производительность. Анимированные эффекты, градиенты и пиктограммы, за исключением кнопок для окон, не поддерживаются принципиально. Код проекта написан на языке Си и распространяется под лицензией GPLv2.
В качестве основы используется библиотека wlroots, развиваемая разработчиками пользовательского окружения Sway и предоставляющая базовые функции для организации работы композитного менеджера на базе Wayland. Возможно подключение надстроек с реализацией таких функций, как создание скриншотов, отображение обоев на рабочем столе, размещение панели и меню. Для запуска X11-приложений в окружении на базе протокола Wayland поддерживается использование DDX-компонента XWayland. Тема оформления, базовое меню и горячие клавиши настраиваются через файлы конфигурации в формате xml. Имеется встроенная поддержка экранов с высокой плотностью пикселей (HiDPI). Помимо встроенного корневого меню, настраиваемого через файл menu.xml, можно подключить сторонние реализации меню приложений, такие как bemenu, fuzzel и wofi. В качестве панели можно использовать Waybar, sfwbar, Yambar или LavaLauncher. Для управления подключением мониторов и изменением их параметров предлагается использовать wlr-randr или kanshi. Блокировка экрана осуществляется при помощи swaylock. Композитный менеджер задействован в графическом окружении дистрибутива Raspberry Pi OS и опционально поддерживается в средах рабочего стола Xfce и LXQt. В новой версии:
 
| ||
|
Обсуждение (55 +3) |
Тип: Программы |
| ||
| · | 11.07 | Выпуск Wine 10.12 (38 +6) |
|
Опубликован экспериментальный выпуск открытой реализации Win32 API - Wine 10.12. С момента выпуска 10.11 было закрыто 17 отчётов об ошибках и внесено 210 изменений.
Наиболее важные изменения:
| ||
|
Обсуждение (38 +6) |
Тип: Программы |
| ||
| · | 11.07 | Выпуск дистрибутива Альт Виртуализация 11.0 (77 –9) |
|
Состоялся выпуск дистрибутива Альт Виртуализация 11.0, построенного на основе 11 платформы ALT (p11). Дистрибутив предназначен для использования на серверах и реализации функций виртуализации в корпоративной инфраструктуре. Сборки подготовлены для платформ x86_64 и AArch64. Продукт поставляется в рамках Лицензионного договора, который предоставляет возможность свободного использования физическими лицами, но юридическим лицам допускается только тестирование, а для использования требуется приобрести коммерческую лицензию или заключить лицензионный договор в письменной форме.
Начиная с одиннадцатой версии дистрибутив выпускается в двух редакциях - virtualization-pve и virtualization-one, базирующихся на платформах Proxmox Virtual Environment (PVE) и OpenNebula. На данный момент для загрузки доступна только редакция PVE, использующая инструменты, поставляемые дистрибутивом Proxmox VE, и предназначенная для управления виртуальными машинами и контейнерами при помощи гипервизора KVM и инструментария LXC (инструменты контейнеризации Kubernetes, Docker, CRI-O и Podman перенесены в дистрибутив "Альт Сервер"). Основные изменения:
| ||
|
Обсуждение (77 –9) |
Тип: Программы |
| ||
| · | 11.07 | Браузерные дополнения вовлекают в построение распределённой сети скрапинга для AI-ботов (118 +19) |
|
Исследователи безопасности из компании Secure Annex обратили внимание на рост популярности нового метода монетизации браузерных дополнений, при котором из пользователей дополнений формируется распределённая сеть, применяемая для скрапинга (индексации содержимого сайтов). Системы пользователей используют в качестве web-ботов и прокси для скачивания содержимого сайтов - установленное браузерное дополнение получает с внешнего сервера инструкции по индексации сайтов, после чего в отдельном скрытом iframe запускает загрузку запрошенного контента и передаёт полученные данные внешнему сервису. В каталогах Chrome, Firefox и Edge применение данной схемы монетизации выявлено в 245 дополнениях, в сумме насчитывающих 909 тысяч установок.
Работа организуется через включение в код браузерных дополнений открытой JavaScript-библиотеки mellowtel.js, поставляемой под лицензией LGPLv3. Библиотека развивается проектом Mellowtel, продвигающим новую платформу монетизации, которая кроме браузерных дополнений может применяться в программах на базе фреймворков Flutter и Electron. Основная идея платформы в том, что разработчики браузерных дополнений и приложений могут зарабатывать деньги не через показ рекламы или сомнительные методы, такие как продажа данных, ущемляющих приватность пользователей, а через выполнение задач по индексации web-контента для обучения AI-систем. Потребность AI-компаний в данных для обучения моделей привела к появлению многочисленных ботов, индексирующих сайты без разумного ограничения интенсивности отправки запросов и игнорируя правила индексирования robots.txt. Так как данные боты создают огромную паразитную нагрузку на серверы, нарушают нормальную работоспособность систем и отнимают время администраторов, последнее время их начинают активно блокировать. Например, сеть доставки контента Cloudflare реализовала опцию для блокирования подобных ботов по умолчанию, а многие проекты внедрили систему защиты от ботов Anubis, допускающую вход только после подбора на языке JavaScript значения, хэш SHA-256 от которого в сочетании с выданной сервером строкой содержит определённое число лидирующих нулей (данная задача требует ресурсов CPU для решения, но не требует ресурсов для проверки). AI-компании готовы платить за индексацию и платформа Mellowtel предоставила возможность удовлетворить подобную потребность через вовлечение обычных пользователей в процесс сбора данных с сайтов. Платформа передаёт владельцам дополнений 55% от средств, вырученных от сотрудничества с AI-компаниями. Проект полностью легитимен и настаивает на том, что участие в скрапинге должно быть добровольным и активироваться только после явного согласия пользователя. Подразумевается, что пользователь в качестве благодарности к разработчикам дополнения может включить режим скрапинга и оказать им косвенную финансовую поддержку. Проблема в том, что не все разработчики дополнений готовы работать честно и в открытую. В некоторых дополнениях пытаются скрыто от пользователя включить монетизацию Mellowtel в обход правил сервиса, что приводит к тому, что пользователь без явного согласия становится участником распределённой сети для загрузки данных с сайтов. Из 45 дополнений к Chrome, применяющих Mellowtel, 12 уже заблокированы Google за вредоносную активность. В каталоге Microsoft из 129 дополнений заблокировано 8, а в каталоге Mozilla из 71 дополнения заблокировано 2. Причины удаления не детализируются, но не исключается, что поводом стало некорректное использование Mellowtel. Разработчик Mellowtel заявил, что для решения проблемы с возможным скрытым включением скрапинга сервис переходит на обязательную проверку всех дополнений, применяющих Mellowtel, на предмет обязательного отключения скрапинга по умолчанию (активация только после явного согласия пользователя) и наличия видимой кнопки для отключения. Запросы на получение заданий от дополнений не прошедших проверку будут помещаться в карантин и игнорироваться. В процессе работы дополнения, использующие библиотеку Mellowtel, устанавливают websocket-соединение к внешнему серверу, размещённому в облаке AWS, через которое передают сведения о доступности пользователя, стране, пропускной способности канала связи и активации поддержки скрапинга пользователем. Периодически через соединение отправляются heartbeat-запросы, проверяющие доступность клиента. При появлении заданий на загрузку контента в просматриваемые пользователем страницы подставляется скрытый iframe, из которого осуществляется скрапинг. Для загрузки внешних страниц из iframe, подставляемом при просмотре других сайтов, библиотека временно обходит предоставляемую в браузере защиту от загрузки стороннего контента, вырезая HTTP-заголовки Content-Security-Policy и X-Frame-Options и возвращая их после того, как нужная страница загружена. Вырезание осуществляется через модификацию сетевых запросов при помощи API declarativeNetRequest (для доступа к данному API дополнения запрашивают отдельное полномочие). Временное отключение заголовков Content-Security-Policy и X-Frame-Options негативно влияет на безопасность, так как на какое-то время убирает штатную защиту от атак с использованием межсайтового скриптинга (XSS). Платформа Mellowtel аффилирована с компанией Olostep, предлагающей API для скрапинга, способный обходить защиту от ботов и параллельно выполнять до 100 тысяч запросов в минуту. Подобную активность сервиса, применённую в контексте одного сайта, можно сравнить с проведением распределённой DoS-атаки. Сервис также потенциально может использовать пользователей как прокси для извлечения контента из приватных сайтов, доступных только в подсетях, к которым пользователь получает доступ через VPN.
| ||
|
Обсуждение (118 +19) |
Тип: Проблемы безопасности |
Интересно
| ||
| · | 11.07 | Google заменил Android Developer Preview на непрерывно обновляемую ветку Canary (32 +4) |
|
Компания Google объявила об изменении организации тестирования находящихся в разработке будущих выпусков платформы Android. Прекращена публикация отдельных предварительных выпусков Android Developer Preview, вместо которых предложена отдельная постоянно существующая ветка Android Canary, позволяющая разработчикам приложений на ранних стадиях тестировать вносимые в API изменения и улучшения. Формирование бета-выпусков Android, в которых акцент делается не на ознакомлении с новыми API, а на тестировании видимой пользователю функциональности, продолжится без изменений.
Ключевое отличие новой модели в том, что выпуски Developer Preview формировались по отдельности и их требовалось каждый раз специально прошивать на устройства, в то время как Canary является параллельно поддерживаемой тестовой веткой, непрерывно обновляемой (rolling stream) и отражающей актуальное состояние разработки платформы. Достаточно один раз прошить устройство на ветку Canary и все дальнейшие обновления с изменениями будут устанавливаться автоматически в режиме OTA (over-the-air). Сборки с веткой Canary подготовлены для прошивки на устройства Pixel и скоро станут доступны в Android Emulator (пока доступны только в тестовых версиях Android Studio и Android SDK). Достоинством отдельной Canary-ветки также является независимость от релизов, что позволяет продолжить тестирования новых API после перехода очередного выпуска Android на стадию бета-тестирования. Ранее сборки Developer Preview привязывались к следующему релизу и прекращали формироваться после появления бета выпусков, что не позволяло продолжить тестирование экспериментальных API, которые не успели довести до готовности включения в бета-версию. В Canary такой проблемы не возникает и разработчики могут продолжать экспериментировать с ещё сырыми API, независимо от стадии подготовки будущего релиза. При этом не гарантируется, что все доступные в ветке Canary экспериментальные возможности попадут в состав ближайшего релиза.
| ||
|
Обсуждение (32 +4) |
Тип: К сведению |
| ||
| · | 10.07 | Релиз http-сервера Apache 2.4.64 с устранением 8 уязвимостей (64 +12) |
|
Представлен релиз HTTP-сервера Apache 2.4.64, в котором устранено 8 уязвимостей и внесено 19 изменений.
Устранённые уязвимости (первые 4 имеют умеренный уровень опасности, а остальные низкий):
Среди не связанных с безопасностью улучшений:
| ||
|
Обсуждение (64 +12) |
Тип: Программы |
| ||
| · | 10.07 | Разработчик KWin объявил альтернативные X-серверы нежелательными в KDE (317 –24) |
|
На wiki-сайте KDE Community в раздел нежелательных для установки пакетов добавлены альтернативные реализации X.org, такие как XLibre. Согласно примечанию, для обеспечения работы сеанса KDE на базе X11 будут поддерживаться только официальный X.Org Server и XWayland. Примечание добавил Ксавьер Хугл (Xaver Hugl), один из ключевых разработчиков композитного менеджера Kwin, занимающий второе место по числу коммитов после 2020 года. До этого проект XLibre считал KDE поддерживаемой средой рабочего стола.
| ||
| · | 10.07 | Сравнение производительности сеансов KDE Plasma на базе X11 и Wayland (457 +92) |
|
Игорь Любунчич (Igor Ljubuncic), до 2024 года отвечавший в компании Canonical за продукты, связанные с высокопроизводительными вычислениями, провёл тестирование производительности и энергопотребления сеансов KDE Plasma 6.4 на базе X11 и Wayland. В конце июня Игорь опубликовал обзор возможностей KDE Plasma 6.4, в котором пришёл к выводу, что сеанс на базе Wayland уступает в производительности и больше нагружает CPU и GPU, чем сеанс на базе X11. В серии новых статей Игорь попытался более глубоко протестировать производительность обоих сеансов.
Изначально было отмечено, что при тестировании на ноутбуке Lenovo IdeaPad 3 с интегрированным GPU AMD в сеансе Wayland процессор постоянно нагружен примерно на 8% независимо от активности, а каждые 2-3 секунды наблюдается скачок, полностью нагружающий GPU. В сеансе X11 нагрузка на CPU и GPU во время простоя была на нуле. Дальнейшая проверка утилитой radeontop показала большее потребление ресурсов в сеансе Wayland, особенно при включении профиля "Color Accuracy" в настройках экрана. В таблице ниже указана создаваемая средняя нагрузка на GPU в процентах при аналогичном наборе запущенных приложений и сборе данных каждую секунду в течение 60 секунд. Тестирование потребления энергии утилитой powertop также показало преимущество сеанса X11: энергопотребление сеанса Wayland составило 6.09 ватт, Wayland с профилем "Color Accuracy" 6.05-6.08 ватт, а X11 - 5.67-5.87 ватт. В целом сделан вывод, что сеанс X11 расходует на 3-7% меньше заряда аккумулятора, чем Wayland. Проверка нагрузки на CPU утилитой vmstat показала, что во время простоя сеанс X11 потреблял 1.83% CPU, а Wayland - 1.97% (2.1% с профилем Color Accuracy). Утилита была запущена на свежесозданных сеансах в терминале Konsole, подсчитывалось среднее значение при ежесекундной выборке на протяжении 60 секунд. Нагрузка на CPU при использовании Wayland оказалась выше на 7.6% (в режиме Color Accuracy на 14%), чем при использовании сеанса X11. В сеансе Wayland зафиксировано на 25% больше прерываний и на 48% больше переключений контекста. Затем при помощи утилиты perf был проведён анализ вызовов во время простоя. KWin_wayland потреблял примерно 1% (1.5%) процессорного времени, а KWin_X11 - 0.44%. Обращения к amdgpu составляли 0.77% (1%) для Wayland и 0.65% для X11. В режиме простоя в сеансе X11 было выполнено примерно в два раза меньше процессорных инструкций, чем в сеансе на базе Wayland. В следующей статье тесты были повторены в конфигурации c Kubuntu 24.04 с устаревшим выпуском KDE Plasma 5.27 и ноутбуком Lenovo Y50-70 с CPU Intel и видеокартой NVIDIA. Результаты оказались примерно теми же - сеанс Wayland оказался менее эффективен, чем X11: потребление энергии 22.42 ватт в Wayland и 21.86 ватт в X11, нагрузка на CPU в режиме простоя 0.067% против 0.050%, число переключений контекста - 43.835/s против 34.133/s, нагрузка при просмотре 4K видео в VLC - 12.54% против 4.26%, производительность WebGL - 16 FPS против 29 FPS. Далее аналогичные тесты VLC и WebGL были воспроизведены на ноутбуке Lenovo IdeaPad 3 с CPU/GPU AMD с использованием свежей сборки от проекта KDE Neon.
В конечном счёте был проведён ещё один эксперимент, на этот раз охватывающий GNOME из Fedora 42 и KDE Plasma 6.4 из KDE neon. Тестирование проведено на ноутбуке Lenovo IdeaPad 3 c CPU/GPU AMD. Окружения для тестирования GNOME и KDE отличаются, как на уровне ядра и системных компонентов, так и на уровне процессов и настроек, обеспечивающих работу графических сеансов. Измерения не претендуют на точность и на них могут оказываться влияние множество факторов, но они могут отражать общие тенденции в производительности конфигураций по умолчанию на одном и том же оборудовании.
По итогам тестирования сделан вывод, что X11 ещё рано сбрасывать со счетов, а решения на базе Wayland требуют дополнительной оптимизации. X11 отмечается как по-прежнему самое оптимальное решение с точки зрения производительности. Реализация Wayland в KDE предположительно лучше, чем в GNOME - сеанс GNOME Wayland, реализованный в Fedora, судя по тестам менее производителен, чем сеанс KDE Wayland, который в свою очередь отстаёт от KDE X11.
| ||
|
Обсуждение (457 +92) |
Тип: К сведению |
| ||
| · | 09.07 | Доступна система обнаружения атак Suricata 8.0 (41 +13) |
|
После двух лет разработки организация OISF (Open Information Security Foundation) опубликовала релиз системы обнаружения и предотвращения сетевых вторжений Suricata 8.0, которая предоставляет средства инспектирования различных видов трафика. В конфигурациях Suricata допустимо задействование базы сигнатур, развиваемой проектом Snort, а также наборов правил Emerging Threats и Emerging Threats Pro. Исходные тексты проекта распространяются под лицензией GPLv2.
Основные изменения:
Особенности Suricata:
| ||
|
Обсуждение (41 +13) |
Тип: Программы |
| ||
| · | 09.07 | TikTok опубликовал шрифт TikTokSans под открытой лицензией OFL (80 +12) |
|
Компания ByteDance представила шрифт TikTokSans, оптимизированный для отображения мобильных интерфейсов на экранах с высокой плотностью пикселей и создания субтитров к видео (шрифт уже применяется по умолчанию при отображении субтитров в видео, размещаемом в сервисе TikTok). TikTokSans также хорошо подходит для применения в Web и в интерфейсах пользователя. Исходные компоненты шрифта открыты под лицензией OFL 1.1 (Open Font License), позволяющей неограниченно модифицировать шрифт, использовать его также для коммерческих целей, печати и на сайтах в Web.
В шрифте поддерживается более 460 языков, в том числе языки на основе кириллицы. Шрифт является вариативным и допускает гибкое изменение стилистических характеристик, например, можно менять настройки угла наклона, толщины, высоты, отступа и других параметров. Предлагается 14 базовых стилей, более 1000 глифов и 4 начертания без засечек (Regular, Italic, Expanded и Condensed). 
| ||
|
Обсуждение (80 +12) |
Тип: К сведению |
| ||
| · | 09.07 | Red Hat представил бесплатный вариант RHEL для разработки приложений на предприятиях (38) |
|
Компания Red Hat анонсировала инициативу Red Hat Enterprise Linux for Business Developers, позволяющую бесплатно загрузить и использовать дистрибутив Red Hat Enterprise Linux 10 на предприятиях с целью разработки и тестирования приложений. Каждому участнику программы Red Hat Developer разрешается бесплатное использование до 25 экземпляров дистрибутива.
Инициатива расширяет ранее действующую программу Red Hat Developer, позволяющую бесплатно использовать RHEL в окружениях индивидуальных разработчиков, насчитывающих до 16 виртуальных или физических систем. Новый вариант расширяет данную опцию на коммерческие предприятия, но в отличие от программы Red Hat Developer не позволяет использовать бесплатные копии дистрибутива для рабочих внедрений, а ограничивается только процессом разработки и проведением тестирования. Для получения бесплатных экземпляров RHEL для целей разработки предприятию достаточно зарегистрироваться с корпоративным email, принять соглашение (Enterprise Agreement) и загрузить iso-образ. Поддержка бесплатных экземпляров дистрибутива осуществляется предприятием самостоятельно (self-serve). Возможна загрузка сборок для всех поддерживаемых архитектур (в Red Hat Developer допускалась только загрузка сборок для x86_64 и ARM). Использование предоставленных 25 экземпляров разрешается на физических компьютерах, в облачных окружениях и в системах виртуализации.
| ||
|
Обсуждение (38) |
Тип: К сведению |
| ||
| · | 09.07 | Выпуск miracle-wm 0.6, композитного менеджера на базе Wayland и Mir (22 +2) |
|
Мэтью Косарек (Matthew Kosarek), разработчик из компании Canonical, опубликовал выпуск композитного менеджера miracle-wm 0.6, использующего протокол Wayland и компоненты для построения композитных менеджеров Mir. Miracle-wm поддерживает мозаичную (tiling) компоновку окон, схожую с аналогичной в проектах i3 и Sway. В качестве панели может применяться Waybar. Код проекта написан на языке C++ и распространяется под лицензией GPLv3. Готовые сборки сформированы в формате snap, а также в пакетах rpm и deb для Fedora и Ubuntu.
Целью miracle-wm является создание композитного сервера, применяющего мозаичное управление окнами, но более функционального и стильного, чем такие продукты, как Swayfx. При этом проект позволяет использовать и классические приёмы работы с плавающими окнами, например, можно размещать отдельные окна поверх мозаичной сетки или закреплять окна к определённому месту на рабочем столе. Поддерживается виртуальные рабочие столы с возможностью выставления для каждого рабочего стола своего режима работы с окнами по умолчанию (мозаичная компоновка или плавающие окна). Предполагается, что miracle-wm может оказаться полезным пользователям, которые отдают предпочтение мозаичной компоновке, но желают получить визуальные эффекты и более яркое графическое оформление с плавными переходами и цветами. Конфигурация определяется в формате YAML. Для установки miracle-wm можно использовать команду "sudo snap install miracle-wm --classic".  Основные новшества:
| ||
|
Обсуждение (22 +2) |
Тип: Программы |
| ||
| · | 09.07 | Атака TSA, приводящая к утечке информации из микроархитектурных структур CPU AMD (41 +13) |
|
Компания AMD раскрыла информацию о новом классе микроархитектурных атак на свои процессоры - TSA (Transient Scheduler Attack). Атака позволяет злоумышленнику обойти механизмы изоляции CPU и определить данные, обрабатываемые в других контекстах, например, из пространства пользователя определить информацию, обрабатываемую на уровне ядра, или из гостевой системы узнать данные, используемые в другой гостевой системе.
Уязвимости выявлены в ходе разработки инструментария, созданного исследователями из Microsoft и Швейцарской высшей технической школы Цюриха для стресс-тестирования микроархитектурной изоляции между различными зонами разграничений доступа, такими как ядро, виртуальные машины и процессы. Метод атаки основан на зависимости времени выполнения некоторых инструкций от состояния микроархитектурных структур. Когда процессор ожидает быстрого завершения инструкции чтения данных из памяти (например, полагая, что данные есть в кэше L1), но не удаётся успешно получить данные, возникает состояние "ложного завершения" инструкции (false completion). При этом процессор ещё до определения этого состояния может запланировать спекулятивное выполнение других операций, зависящих от результата выполнения инструкции загрузки из памяти. Так как загрузка оказалась не завершена, ассоциированные с ней данные признаются процессором недействительными, а операция загрузки позднее повторяется ещё раз. Зависимые операции также повторно выполняются после готовности корректных данных. При этом сброс конвейера (pipeline flush) после выполнения инструкции, для которой зафиксировано состояние "ложного завершения", не производится, и некорректные данные могут быть перенаправлены в зависимые операции. Выполнение подобных операций не меняет состояние кэша и TLB (Translation Lookaside Buffer), т.е. данные не могут быть восстановлены при помощи традиционных методов определения состояния кэша. Но эти данные влияют на время выполнения других инструкций. Анализ времени выполнения может использоваться как источник утечки информации из микроархитектурных структур, оставшейся после спекулятивного выполнения других операций. В зависимости от источника извлечения остаточных данных выделены две уязвимости:
Уязвимости проявляются в семействе процессоров AMD (Fam19h) на базе микроархитектур Zen 3 и Zen 4. Например, проблема присутствует в сериях CPU AMD Ryzen 5000/6000/7000/8000, AMD EPYC Milan/Milan-X/Genoa/Genoa-X/Bergamo/Siena, AMD Instinct MI300A, AMD Ryzen Threadripper PRO 7000 WX, AMD EPYC Embedded 7003/8004/9004/97X4, AMD Ryzen Embedded 5000/7000/V3000. Необходимые для блокирования уязвимости изменения включены в состав декабрьского обновления микрокода и PI-прошивок (Platform Initialization), переданных OEM-производителям. Патчи для защиты от уязвимости переданы для включения в состав ядра Linux (для отключения защиты, негативно влияющей на производительность, предусмотрена опция командной строки ядра "tsa=off"). Исправление также добавлено в гипервизор Xen. Для блокирования уязвимости требуется одновременно как обновление микрокода, так и включение режима защиты на уровне ядра или гипервизора.
| ||
|
Обсуждение (41 +13) |
Тип: Проблемы безопасности |
| ||
| Следующая страница (раньше) >> | ||
