WebAssembly 新标准可能导致幽灵熔断修复程序无效
据 Forcepoint 的安全研究员 John Bergbom 称，即将增加的 WebAssembly 标准可能会使浏览器级别的一些针对 Meltdown 和 Specter 的修复程序无用。 WebAssembly（WA 或 WA *** ）目前支持所有主流浏览器，如 Chrome，Edge，Firefox 和 Safari。
该技术是一种二进制语言，浏览器将转换成机器码并直接在 CPU 上运行。浏览器制造商创建 WebAssembly 以提高 JavaScript 代码的交付速度和性能，他们还为开发人员创建了一种移植 *** ，可将来自其他高级语言（ 如C，C++ 和其他）的代码移植到 WA *** ，然后在浏览器中运行它。
总而言之，WebAssembly 标准在 *** 开发社区中被视为成功的标准，并且一直在为其提供赞誉。
但是像所有的技术一样，它也带来了一些无法预料的小麻烦和滥用案例。 对于初学者来说，浏览器内的加密货币矿工（cryptojacking 脚本）的兴起可以追溯到主要浏览器中添加 WebAssembly，因为所有浏览器中的矿工都运行在 WebAssembly 之上，而不是纯粹的 JavaScript。
现在，Bergbom 认为，WebAssembly 还会给 Web 用户带来另一个小麻烦：
一旦 WA 获得对共享内存线程的支持（这已经在 WA 路线图上），可以创建非常准确的[JavaScript]定时器，这可能会导致浏览器缓解某些 CPU 端通道攻击失效。
在这份声明中，Bergbom 更准确地提到了“定时攻击”，这是一类旁路攻击。定时攻击是一类密码攻击，第三方观察者可以通过记录和分析执行加密算法所花费的时间来推断加密数据的内容。
最近披露的 Meltdown 和 Spectre CPU 漏洞以及它们的许多变化都是其核心的定时攻击。他们依赖攻击者测量精确时间间隔的能力，这是执行侧向通道攻击所需的参数，并从加密的数据块中恢复足够的信息以确定其余部分。
稿源：开源中国，封面源自 *** ；
“WebAssembly 新标准可能导致幽灵熔断修复程序无效” 的相关文章
英伟达泄露数据正被用来制作伪装成驱动的病毒
由于自称为 Lapsus$ 的组织泄露了与英伟达黑客攻击相关的数据，被盗的代码签名证书被用于远程访问未受保护的 PC，其他情况下则被用来部署恶意软件。 根据 Techpowerup 的报道，这些证书被用于“开发一种新型恶意软件”，BleepingComputer 将 Cobalt Strike...
关键 SonicOS 漏洞影响 SonicWall 防火墙设备
Hackernews 编译，转载请注明出处： SonicWall 发布了安全更新，其中包含一个跨多个防火墙设备的关键漏洞，未经身份验证的远程攻击者可以将其武器化，以执行任意代码并导致拒绝服务(DoS)情况。 根据CVE-2022-22274 (CVSS 得分: 9.4)的跟踪记录，...
研究发现 Linux 和树莓派成为凭证黑客攻击的首要目标
新的研究表明，黑客经常使用相同的常用密码，通常是默认密码获得服务器的访问权。来自Bulletproof的数据还显示，在黑客使用的顶级默认凭证列表中，默认的Raspberry Pi用户名和登录信息占据了突出位置。 在整个2021年，利用蜜罐进行的研究表明，目前总网络活动的70%是机器人流量。随着黑客越...
DNS 曝高危漏洞，影响数百万物联网设备
近日，Nozomi Networks发出警告，uClibc库的域名系统 (DNS) 组件中存在一个高危漏洞，编号为CVE-2022-05-02，该漏洞将影响所有版本uClibc-ng库的域名系统（DNS），因此，数百万台使用uClibc库的物联网设备都也将受到影响。 资料显示，uClibc库专门为...
研究人员谈论潜在的没有性能成本的 CPU 安全漏洞缓解措施
一位安全研究员在上周末的自由和开源软件开发者欧洲会议（FOSDEM）上围绕缓解像Spectre和Meltdown这样的处理器漏洞发表演讲，所提出的方式力求让性能成本可以忽略不计。 Cyberus科技公司的Sebastian Eydam在2022年FOSDEM会议上发言，谈到有可能在几乎没有性能成本...
38 亿条涉及 Clubhouse 和 Facebook 的综合个人信息正在暗网出售
7月24日爆出的Clubhouse漏洞和Facebook用户资料的数据被用来编制成一个38亿条的巨量数据库，暗网售价10万美元，不仅如此，如果买家资金紧张，卖家还愿意分割它。CyberNews研究团队发现了一个9月4日的黑客论坛帖子，该帖子提供了这些数据。发帖人称，这些记录包括姓名、电话号码、Clu...
评论列表
发表评论
