• úvod
  • témata
  • události
  • tržiště
  • diskuze
  • nástěnka
    • přihlásit
    registrace
    ztracené heslo?
    KOJAProgramovani 40+
    JANFROG
    JANFROG --- ---
    +2
    E2E4: Uz chapu, proc si nerozumime.

    Ty rikas, ze ve JavaScript VM je kvantitativne vic problemu nez v hypervisorech. S tim souhlasim.

    Vetu
    že tenhle druh problémů např izolace hosta od hypervisoru nemá, z principu?
    jsem si vykladal tak, ze tam k problemu dojit nemuze (tj, a neexistuje a nemuze ani jeden pripad). Ze SW hypervisoru a vseho pod time je neco kvalitativne jineho. Neni.

    Ale kazdopadne se shodneme, ze dal uz to nema cenu rozvijet :-)
    ALMAD
    ALMAD --- ---
    2 odpovědi
    ANT_39: Nicmene meli nedavno celkem zarez s openssl

    AISLE Discovered 12 out of 12 OpenSSL Vulnerabilities | AISLE
    https://aisle.com/blog/aisle-discovered-12-out-of-12-openssl-vulnerabilities
    ALMAD
    ALMAD --- ---
    ANT_39: Nemam, jenom tam znam lidi (a ty brzo taky :) ).

    A ten zbytek, no, ono je to o kontextu kde a jak se to pouziva a to ovlivnit zavani slovama, po kterejch to z kazdy praskliny vyleze aspon jeden libertarian :)
    E2E4
    E2E4 --- ---
    1 odpověď
    JANFROG: 2011, srsly? :) nema si kam sahnout je relativni pojem, proste attack surface je vyrazne mensi..

    naproti tomu, jen za poslednich 12 mesicu jsem nasel 2 tezky zranitelnosti v V8, vesmes exploitovany.

    CVE-2025-5419 - V8 out-of-bounds read/write
    CVE-2026-1862 - V8 type confusion

    a 2 sandbox escapy

    CVE-2025-2783 (Mojo) — sandbox escape
    CVE-2025-6558 (ANGLE/GPU) — sandbox escape

    A to jen v Chrome. Oproti jednotkam VM escape / hypervisor RCE za poslednich 15 let na vsech moznych virtualizacnich platformach..

    No nic, pokud to nevidis ani ted, ze toho je o rad vic a ze ten attack surface je vetsi, kdyz procesujes neco co je untrusted _code_, oproti hardwarem dany izolaci, tak uz te asi nepresvedci nic. :)
    JANFROG
    JANFROG --- ---
    1 odpověď
    E2E4:
    VM si nema kam si sahnout.
    Fakt ne? CVE-2011-1751, CVE-2017-4901, CVE-2021-29657, CVE-2022-31705, ...
    LUDWIG_
    LUDWIG_ --- ---
    +5
    AMBIENTIUM: super clanek. a to jsem povazoval starcraft (v porovnani s jinyma hrama z ty doby) za celkem robustni ci asi dobre nakodovany, ale tak to bylo po velkem poctu patchu, plus jak pise ke konci:

    > In the end we buckled down and stopped adding features long enough to ship the game, and players never saw the horror show underneath. Perhaps that’s another benefit of compiled languages over scripted ones like JavaScript — end users never see the train wreck!
    E2E4
    E2E4 --- ---
    1 odpověď
    JANFROG: Z principu, ze VM izolace je vic tvrda a hardwarova. VM si nema kam si sahnout. (ty BMC apod z VM nejsou dostupne.) Zatimco u JS engine jakejkoliv kod co to spusti se ty izolace muze dotknout, je tam spousta predpokladu..

    CPU uArch zranitelnosti.. to je dost rana pod pas. :) Ty nikdo necekal a hlavne rozbijeji zakladni predpoklady typu "do cizi pameti nevidim".. Navic se nastesti pomerne tezko exploatujou (ve srovnani s tema browserovejma unikama ze sandboxu). A krome toho, fungujou i z browseru - Spectre 1 fungovala, dokud nezakazali v browserech ultrajemny hodiny :)

    Samozrejme tam taky nejakou correctness mit musis mit u VM taky a jsou v tom diry, ale u JS engine / JIT kompilatoru ty korektnosti musis mit velky mnozstvi.. Kdyz ti .. Taky tech der je o rad dva vice. :)
    JANFROG
    JANFROG --- ---
    1 odpověď+2
    E2E4: Jak nema z principu? Co vsechny ty metdowny, spectre, vsechny ty problemy v SGE, nebo nedavno VSOCK? A kolik SW veci bezi jeste pod hypervisorem (ruznej firmware, M-mode handlery apod) nebo vedle nej - vsechny ty IME, iLO. Pak tu mas IDRAC ci jak se vsechny byt BMC jmenujou. To vsechno ma ty stejne problemy.
    SATAI
    SATAI --- ---
    +4
    ANT_39:

    Ale jak se říká - řádky jsou spotřebované, je to jako chlubit se při konstrukci letadla spotřebovanými kg titanu ;-)
    PES
    PES --- ---
    +2
    E2E4: nekecej a podívej se na biologický vývoj - kolik rovnáků na vohejbák nejen přežilo, ale zůstalo jako vývojový funkční prvek (ve stylu "takhle to stačí, nemusí to být mistrovské dílo")
    PISKVOR
    PISKVOR --- ---
    ANT_39: Jen je to víc vidět, protože ANT_39: Když dojde na chrlení šlichty, je počítač nepřekonatelný. To už jsme si ostatně ověřili u spamu.

    (ale ano, celkem rozumím, že když to obrácení v prdel probíhá bezobslužně, tak je to mnohem otravnější, právě jen tím masivním objemem)
    PISKVOR
    PISKVOR --- ---
    JANFROG: No, to taky neříkám, sorry, asi to tak ode mě vyznělo.

    Spíš jsem chtěl říct, že letos budeme opět vynalézat The Mythical Man-Month, nebo hůř, ptát se Charlese Babbage, jestli ze stroje vyleze správná odpověď, když ho nakrmím brajglem. Tohle se dosud nezměnilo, jen se zvětšuje počet lidí, kteří k tomu krmení strojů mají přístup...
    ANT_39
    ANT_39 --- ---
    2 odpovědi+3
    JANFROG:
    produktivitu... mnozstvi kodu za jednotku casu
    Hej, presne moje myslenka. Z hlediska KLOC/$ jsou ty AIcka neporazitelny :)
    E2E4
    E2E4 --- ---
    1 odpověď+1
    JANFROG: ad correctness - jako jo ale souhlasíš se mnou, že tenhle druh problémů např izolace hosta od hypervisoru nemá, z principu?
    JANFROG
    JANFROG --- ---
    +1
    JANFROG: A na rozdil od ANTa ja zcela jiste dedkovatim :-)
    JANFROG
    JANFROG --- ---
    4 odpovědi+3
    PISKVOR: Ja nikde netvrdim ze agenti maji psat jen v Ade :-)
    E2E4: Ja ani netvrdim, ze korektnosti ma byt dosazeno rucne :-) A zrovna ten JavaScript sandbox v browseru je to o cem Michael mluvil - berou to vazne, delaji to dlouho ale stejne je ten sandbox deravej a vetsina tech der co jsou jim zname byl "correctness problem" nekde, casto v prekladaci, nekdy v GC...

    Takze my nevime jak delat SW udrzovatelne, bez funkcnich ci bezpecnostnich chyb a jak si rikal najednou nekdo rekne, ze to je jedno ("lidi take delaj chyby") hlavne ze to zlepsi produktivitu (resp, tu nejblbejsi metriku produktivity - mnozstvi kodu za jednotku casu). A do me na tom desi nejvic je ze (nekteri) "programatori" na to skacou a zerou to i s navijakem.
    E2E4
    E2E4 --- ---
    +2
    ANT_39: no to je ale přesně to - v pár use casech je AI super, ve většině ale jen generuje bordel a nekvalitu, přičemž to druhý je silněji incentivizovano..
    ANT_39
    ANT_39 --- ---
    4 odpovědi+1
    ALMAD: Hm, je to tak. Vedle obecne shitoznosti se to projevi konkretne bezpecnostnima problemama.
    Ad AISLE, neslysel jsem, koukam na web. Zni to hezky, no. Mas s tim zkusenosti?
    Napada me k tomu nedavna kauza kolem curl bug bounty programu, kterej byl tak dlouho nevybirave zaplavovanej vyhalucinovanym AI shitem, az ho zrusili. Vetsina toho shitu byla ale asi spis od nejakyho starsiho chatGPT, nez od recentniho Clauda.
    Z druhy strany, Claude mi nedavno nasel realnou bugu v kernelim patchi. Sice bez security implikace, ale presto.
    Uvidime, no. Mozna jen dedkovatim, ale posledni dobou mam podezreni, ze svet se v prdel obraci.
    E2E4
    E2E4 --- ---
    1 odpověď
    JANFROG: no, smyslem správnyho security designu je, aby nemuselo bejt všechno korektní jaksi ručně. typu porovnej izolaci VM, aplikaci v mobilu, kontejneru a JavaScriptu v browseru..
    E2E4
    E2E4 --- ---
    1 odpověď
    PES: evoluce by zabila vohejbak a místo něj by se prosadilo něco co je od základu rovný :)

    ale jak tu někdo psal, software je velky bordel, nekvalitní, 2000x vynalézání kola, a chybami a s bezpečnostními dírami atd protože se holt preferuje rychlost před kvalitou. AI / vibe coding obzvlášť je jen další krok na tyhle cestě.. ;)
    Kliknutím sem můžete změnit nastavení reklam