文章提交注意事项：
请在发布文章时用HTML代码加上至少一条新闻来源的链接；原创性消息，可加入相关信息（如涉及公司的网址）的链接。有任何问题，邮件至：he.fang#zhiding.cn
注意：收到邮件乱码的用户请修改客户端的默认字体编码，从"简体中文（GB2312）"修改为"Unicode（UTF-8）"。
solidot新版网站常见问题，请点击这里查看。
Solidot 公告
投 票
热门文章
-
- Denuvo 起诉黑客违反 DMCA 反规避条款 (0)
- PS2 Fat 使用的安全芯片在时隔 26 年被破解 (0)
- 付费给大学生睡足七小时提高了他们的学习成绩 (0)
- 卫星数据显示过去 47 年格陵兰岛和南极洲损失 12.5 万亿吨冰 (0)
- 广州提议禁止公共交通内外放声音 (0)
- 商船再次安装基于风帆的推进系统 (0)
- 人脑类器官在小鼠体内形成神经网络 (0)
- GNOME 51 释出 (0)
- 地球正变得不那么扁平 (0)
- 今年上线的微短剧逾九成是 AI 剧 (0)
热门评论
- 很正常 (1 points, 一般) by Craynic 在 2026年07月27日13时22分 星期一 评论到 古代语言的多样性远超今日
- 发电不需要油吗 (1 points, 一般) by Craynic 在 2026年06月03日13时51分 星期三 评论到 能源危机推动 37 个国家的电动汽车销量创新高
- 所以firefox 已经路边一条，对用户的需求漠视的结果就是这样了 (1 points, 一般) by solidot1745479987 在 2026年04月20日11时14分 星期一 评论到 Firefox 加入了对 Web Serial API 的支持
- (1 points, 一般) by solidot1775703930 在 2026年04月09日11时09分 星期四 评论到 Sam Altman 能被信任吗？
- 很难想象现代Linux居然还能跑在i486上 (1 points, 一般) by Craynic 在 2026年04月07日19时41分 星期二 评论到 Linux 准备移除对 i486 CPU 的支持
- 很多单词已经不再实用 (1 points, 一般) by Craynic 在 2026年04月07日13时22分 星期二 评论到 人们日常说话的单词量比上一年减少 300 个单词
- 表示方向不还是得有那么多个维度吗 (1 points, 一般) by Craynic 在 2026年03月30日13时35分 星期一 评论到 Google TurboQuant AI 压缩算法大幅减少大模型内存使用
- sora的核心用户是内容创作者 (1 points, 一般) by Craynic 在 2026年03月27日13时16分 星期五 评论到 Sora 为何失败：每天推理成本最高 1500 万美元总收入仅为 210 万美元
- 夏天骑摩托的时候，最喜欢带着有线耳机听相声或小说 (1 points, 一般) by kracker1911 在 2026年03月17日09时36分 星期二 评论到 有线耳机销量暴增
- 不如用网易邮箱 (1 points, 一般) by Craynic 在 2026年03月10日11时20分 星期二 评论到 FBI 通过 Proton Mail 识别抗议者身份
HardenedLinux 写道 "最近Linux内核v5.10合并了Nitro Enclaves的代码。Nitro Enclaves( NE)是AWS EC2的enclave（飞地）方案，针对敏感业务和常规EC2实例虚拟主机之间进行隔离的同时也可以提供远程证明等安全服务，主VM启动后可以派生一个enclave后进行资源分配（CPU，内存），每个enclave会映射一个运行于主VM的进程从而使用ioctl()和NE driver进行通信，每个enclave都运行独立的OS，即一个小型版本的GNU/Linux系统，这个系统会把内核镜像，ramdisk等都打包成统一的EIF（Enclave Image Format）格式。Enclave基本上是一个和Atomic类似的只读系统，这降低了攻击平面，而远程证明可以通过AWS的KMS服务完成，其威胁建模中最大的风险来自于虚机逃逸漏洞和云厂商的作恶，从这个层面上看，未来AWS的EC2公有云用户可以收益于NE，但真正的福音恐怕是AWS Outposts的用户。从NE的设计和实现可以看出，AWS对于用户的需求和场景定位非常清晰，这避免了Intel SGX设计过度复杂导致的一系列问题。"
HardenedLinux 写道 "继ARMv8.3的Pointer Authentication后最近Linux内核v5.10合并了ARMv8.5-A的一个重要特性：MTE( Memory Tagging Extension)，由于ARM64并未完全使用64位的地址空间而是48位（4级页表+4KB页大小）或者52位（3级页表+64KB页大小），借助于TBI（ Top Byte Ignore）忽略掉最高有效位得以让MTE使用56--59的4位作为tag，每个tag对应16-byte作为TG（ Tag Granule），由新指令IRG生成“密钥”随机数存储到tag部分的4位地址，相关内存访问都会对比tag部分的“密钥”，如果失败则发起异常处理。4位地址极其有限不可能保证地址空间中没有重合，但MTE的目标是保证临近地址的至不同即可。目前Linux内核v5.10支持用户空间的程序使用MTE，内核本身的支持还需要一段时间，用户空间的程序可以通过简单的mmap()，mprotect()以及prctl()系统调用实现 。现在还没有公开发售的支持ARMv8.5-A的硬件，软件生态的完善可以为未来（ 2021?）的硬件有更好的支持。在过去超过30年的内存攻防对抗的头10年攻击的一方一直占据优势，直到PaX的问世开启了操作系统的防御之路，于2003年公开的pax-future.txt中谈到了内存污染攻击的三大方法，其中"添加/执行任意代码"和"执行现有代码，但是打破了程序原本的执行顺序"已经通过PAX_PAGEEXEC/KERNEXEC/NX以及PAX_RAP相关CFI实现等mitigation解决，而data-only attacks虽然已经抑制到较小的维度但依然没有完全解决，毕竟类似KERNSEAL实现如果没有硬件加速的前提下性能的表现不被大部分用户所接受所以只能应用于非通用场景，不论如何，MTE的确是过去17年系统安全领域最重要的里程碑之一（即使实现和工程打磨还需要不少的时间），未来的QA流程以及生产环境安全方面都会大幅度提升软件质量以及安全性。"
