Память DDR4 уязвима для атаки Rowhammer

Память DDR4 уязвима для атаки Rowhammer

Память DDR4 уязвима для атаки Rowhammer

В 2014 году исследователи из университета Карнеги-Меллона разработали атаку Rowhammer. Ее суть сводилась к тому, что определенное воздействие на ячейки памяти может привести к тому, что электромагнитное излучение повлияет на соседние ячейки, и значения битов в них изменятся.

Новое исследование компании Third I/O показало, что атаки такого рода могут влиять также на новейшую память DDR3 и DDR4.

Первыми работающий эксплоит для Rowhammer в 2015 году показали специалисты Google Project Zero. Следом за ними группа исследователей из Франции и Австрии продемонстрировала (PDF) эксплуатацию уязвимости с пользованием кода на JavaScript. Тогда сообщалось, что перед такими атаками уязвима практически любая память DDR3, пишет xakep.ru.

Новое исследование компании Third I/O было представлено на конференции Semicon China в минувшие выходные. Оказалось, что проблема Rowhammer распространяется на новую память DDR3, а также  DDR4, невзирая на все принятые меры безопасности. Эксперты рассказали, что им даже удалось выявить комбинацию данных, при помощи которой можно воздействовать на DDR4 наиболее эффективно, – она позволяет добиваться ошибок на 50% чаще, чем случайная  комбинация. Отчет гласит:

«Убийственная комбинация данных, это, на самом деле, архаичный паттерн, который когда-то давно использовался для тестирования Gigabit Ethernet. Паттерн таков: 492492492492492492492492492492492492492492492492 в hex или при конвертации в бинарный вид:

 

0100100100100100100100100100100100100100100100100100100100100100
1001001001001001001001001001001001001001001001001001001001001001
0010010010010010010010010010010010010010010010010010010010010010».

Тем не менее, эксперты пишут, что это вовсе не универсальное решение: учитывая все различия архитектур, убийственная комбинация должна быть специфична и уникальна для каждой системы. Приведенный выше пример тоже показал себя лучше случайных комбинаций далеко не во всех случаях. Поэтому основным инструментом для проведения тестов все же должны оставаться случайные комбинации, считают в Third I/O.

Сообщается, что специалисты Third I/O протестировали двенадцать различных чипов DDR4 (включая Micron и Crucial Ballistix) и успешно скомпрометировали восемь из них. Устойчивость к атаке продемонстрировали G.Skill и Geil Super.

Базу IMEI будут использовать для обеления серых устройств

С 2027 года в России планируют ввести платную регистрацию смартфонов и других устройств с поддержкой мобильной связи. Размер сбора будет зависеть от стоимости гаджета. А уже с 2028 года незарегистрированные устройства могут лишиться возможности работать в сетях российских операторов.

О подготовке такого механизма сообщили «Коммерсанту» в Минцифры. Инициатива направлена на «обеление» рынка мобильных устройств, объём которого, по оценкам ведомства, достигает 1 трлн рублей.

«Сейчас прорабатывается несколько моделей регистрации устройств в базе. В том числе обсуждается взимание небольшой фиксированной платы для официально ввезённых устройств, а для ввезенных “всерую” — сбора в виде определённого процента от стоимости», — сообщили в пресс-службе Минцифры в ответ на запрос издания.

Порядок регистрации и конкретные тарифы пока находятся в стадии обсуждения. В министерстве ожидают, что нормативная база будет утверждена в 2027 году, а с 2028-го доступ к сетям получат только устройства, внесённые в реестр.

«Конкретный IMEI будет указываться в договоре с абонентом. Для пользователя это означает, что вставить сим-карту в устройство, IMEI которого не прописан в договоре, будет невозможно», — пояснил один из источников издания.

Средства, собранные за регистрацию устройств, по данным источников «Коммерсанта», либо направят в федеральный бюджет, либо в резерв универсального обслуживания. Из него, в частности, финансируется строительство базовых станций в малых населённых пунктах.

Объём «серого» рынка мобильных устройств в России оценивается почти в 1 трлн рублей. При этом повышение НДС, по мнению собеседников издания, может дополнительно простимулировать рост неофициального импорта.

«Среди устройств стоимостью выше 100 тыс. рублей как минимум половина завозится по карго-схемам и через трансграничную электронную коммерцию. Это не менее 200 млрд рублей. Разница в цене делает долю серого импорта крайне высокой», — отмечают в Inventive Retail Group. Аналогичных оценок придерживаются и в МТС.

«Незарегистрированные устройства просто перестанут работать в сетях операторов, что лишает смысла контрабандный ввоз. При этом привязка устройств к абонентам расширяет возможности идентификации пользователей. Но если база IMEI окажется недоступной, это может парализовать мобильную связь — система станет единой точкой отказа», — считает партнёр практики «Цифровая трансформация» Strategy Partners Сергей Кудряшов.

Единую базу IMEI в России планируют запустить уже в 2026 году. О её создании объявили 17 декабря на заседании Общественного совета при Минцифры.

RSS: Новости на портале Anti-Malware.ru