немного больше инфы про meltdown уязвимость intel и spectre уязвимость походу очень многих процессоров)
https://geektimes.ru/post/297029/
https://geektimes.ru/post/297031/
вкратце - был я неправ и это жопа, нарушен основной считавшийся незыблемым принцип - одна непривелигерованная программа не может иметь доступа к данным другой. 35 лет считалось что это обеспечивает CPU (а не ядро OS) - поэтому просрано все
meltdown вроде как закрывают патчами, а вот от уязвимостей серии spectre на уровне ядра OS принципиально невозможно защититься
думаю скоро подтянется воровство ключей
ledger выглядит все лучше, но в целом и холодный кошелек неплох выжечь ключи на дощечке
если серьезно - становится актуальным отдельный комп на linux (а желательно на MIPS архитектуре типа https://www.mips.com/blog/mips-creator-ci20-development-board-now-available/ ), с минимальным дистрибутивом, без браузера и js вообще, только кошельками и выходом в инет. С физическим доступом к нему, и закрытый фаерволом на все входящие
upd - вроде как старые raspberry pi на ARM7 тоже в безопасности, раскупайте остатки, скоро дефицит будет
upd2 - немного подумав, понял что в целом можно и без физического доступа к этому отдельному компу. Чтото типа визуального доступа через rdp/vnc дает уже достаточную защиту от этой проблемы
в обозримой перспективе повышается вероятность взлома бирж
хотя дела серьезные, все клауд сервисы перестают гарантировать безопасность (ибо виртуализация) - много чего посыпаться может пожирнее крипторынка
но крипторынок - весьма уязвим с тыщами кошельков и компьютерно неграмотных хомяков
такие дела
https://geektimes.ru/post/297029/
https://geektimes.ru/post/297031/
вкратце - был я неправ и это жопа, нарушен основной считавшийся незыблемым принцип - одна непривелигерованная программа не может иметь доступа к данным другой. 35 лет считалось что это обеспечивает CPU (а не ядро OS) - поэтому просрано все
meltdown вроде как закрывают патчами, а вот от уязвимостей серии spectre на уровне ядра OS принципиально невозможно защититься
думаю скоро подтянется воровство ключей
ledger выглядит все лучше, но в целом и холодный кошелек неплох выжечь ключи на дощечке
если серьезно - становится актуальным отдельный комп на linux (а желательно на MIPS архитектуре типа https://www.mips.com/blog/mips-creator-ci20-development-board-now-available/ ), с минимальным дистрибутивом, без браузера и js вообще, только кошельками и выходом в инет. С физическим доступом к нему, и закрытый фаерволом на все входящие
upd - вроде как старые raspberry pi на ARM7 тоже в безопасности, раскупайте остатки, скоро дефицит будет
upd2 - немного подумав, понял что в целом можно и без физического доступа к этому отдельному компу. Чтото типа визуального доступа через rdp/vnc дает уже достаточную защиту от этой проблемы
в обозримой перспективе повышается вероятность взлома бирж
хотя дела серьезные, все клауд сервисы перестают гарантировать безопасность (ибо виртуализация) - много чего посыпаться может пожирнее крипторынка
но крипторынок - весьма уязвим с тыщами кошельков и компьютерно неграмотных хомяков
такие дела
Мне кажется это только теоретически красиво всё описано, но практически здесь придётся вычитывать всё ядро и потом этот дамп анализировать. И получается что для вычитывания одного байта нужно сделать цикл из ста ложных повторений. А память уже гигабайтами измеряется, насколько же придётся загрузить процессор? Думаю на построение дампа памяти тут потребуется несколько часов как минимум.
А если пытаться это сделать всё через джаваскрипт, который в разы медленее простого кода, тут уже в сутках будет измеряться... И всё это время проц будет нагружен так что не заметить это будет просто невозможно.