News Meltdown & Spectre: Details und Bench­marks zu den Sicherheits­lücken in CPUs

[fipsi1]

Vor allem existiert die Lücke seit 20 Jahren und erst jetzt hat man sie (öffentlich) erkannt - so schlimm kanns nicht sein.

Naja, eventuell haben es die falschen enteckt - die es nicht erkennen sollten, bzw. keinen nutzen daraus ziehen können.

 

[Dark Matter]

Ja, aber Antivirenprogrammen wird eine viel zu hohe Bedeutung beigemessen. Sie sind ein Baustein, aber viel wichtiger sind zum Beispiel regelmäßige Software-Updates.

Nur weil ich einen anderen AV benutze als Defender, weißt du das ich dem AV eine viel zu hohen Bedeutung beimesse?

Ich mache jedes Software-/Windows-Update sobald verfügbar. Dazu µBlock & Co. im Browser, keine Dubiosen Seiten und Quellen nutzen und wöchentliche Backups vom System + 1 sauberes Backup nach dem Windows erstmalig installiert wurde.
Ihr Schlangenöl-Verschwörer seid ziemlich von euch eingenommen und alle anderen AV-Nutzer, die nicht den Defender wollen, sind in euren Augen wohl nur DAU´s

Ich wollte nur Wissen ob wir Privat-User Spectre vollkommen ausgeliefert sind, und ein AV dagegen vollkommen machtlos ist.
Aber man wird sofort als Schlangenöl-Nutzer betitelt, schon traurig das ganze...

 

[Steffen]

Ich verstehe, dass Spectre nicht per Microcode behoben werden kann.

Nein, Spectre Variant 2 kann per Microcode-Update behoben werden. Siehe das News-Update von gestern Abend 21:29 Uhr.

Nur weil ich einen anderen AV benutze als Defender, weißt du das ich dem AV eine viel zu hohen Bedeutung beimesse?

Ich habe dir persönlich nichts vorgeworfen. Du wirfst mir Dinge an den Kopf, weil dir meine Einschätzung der Wirkung von Antvirenprogrammen gegen Meltdown und Spectre nicht passt. Das ist keine Diskussionsgrundlage und wie sinnvoll Antivirensoftware im Allgemeinen ist, ist hier off-topic.

 

[coldBug]

Also was ich mich frage mit Meltdown Exploit kann man theoretisch 1 GB RAM in einer Stunde auslesen, Frage ist wie oft sich der Inhalt der Speicheradressen in dieser Zeit ändern Tausenden male? wie erwischt man dann ein PW genau in der Milisekunde? in der dies im Klartext im Speicher ist.

Einige User schreiben Zugriff auf Dateien im System Hä? Seit wann kann der Exploit Code ausführen? Wenn das File nicht (vollständig?) gerade im Speicher ist wie soll man das abgreifen können?

Also so ein Speicherdump schaut ja recht schön aus aber ohne Tabelle an welcher Speicherstelle was gespeichert hat kann man eher nur im Trüben fischen, wobei man bei der aktuellen Rechenleistung natürlich denken kann das man das irgendwie analysieren kann.

Es geht hier nicht direkt darum Passwörter oder Dateien abzufangen! Wie im Artikel auch schon erklärt kann mit Meltdown KASLR, also Kernel Address Space Layout Randomization, ausgehebelt werden. Die Idee bei ASLR ist das Speicherbereiche für jeden Programmaufruf zufällig vergeben werden. Das ist bei 64-Bit Systemen ein ganz schön riesiger Bereich! Wenn jedoch jetzt eine Adresse einer Funktion im Kernel geleakt wird, kann mit dieser Adresse und den festen Offsetwerten die Positionen jeder gewünschten Funktion ermittelt werden...

 

[engine]

sehr schöne diskussion, allerdings für den laien wie mich tlw. schwer verständlich bzw. nicht abschätzbar, was das für mich bedeutet..

meine frage: ich nutze windows 7 und einen xeon 1231V3.
muss ich das update ausführen? falls ich mich dagegen entschließe, um mein system nicht zu verlangsamen, welche konkreten gefahren setze ich mich aus? inwiefern wäre ein virenschutz hilfreich (aktuell nur windows defender)?

MS bietet ein Update für W7.
Du musst jedoch auch ein passendes aktuelles BIOS-Update deines Systems installieren, wenn durch die folgende Überprüfung eine Meldung ausgegenen wird:

... Suggested actions

* Install BIOS/firmware update provided by your device OEM that enables hardware support for the branch target injection mitigation.

* Follow the guidance for enabling Windows support for speculation control mitigations are described in
https://support.microsoft.com/help/4072698 ...

https://www.bleepingcomputer.com/ne...stems-for-the-meltdown-and-spectre-cpu-flaws/


Der Defender schadet wenigstens nicht allzu sehr !

 

[Bad Ghost]

Für mein Win 7 Ultimate gibt es jetzt auch ein Update nach Suche.
2018-01 – Monatliches Sicherheitsqualitätsrollup für Windows 7 für x64-basierte Systeme (KB4056894)
Downloadgröße: 231,4 MB - da kommt was Dickes rein .

Firefox auch auf 57.0.4 (64-Bit)

N24 Info – laut Intel liegt der Leistungsabfall bei 2-3%

 

[Bixol]

@ CB Team:
super berichterstattung! echt tolle und enorme leistung von euch!


was mich betrifft, soweit ich das verstanden habe sollte mein i7-860 auch davon betroffen sein, und nach deim update für Win7 werde ich relativ grosse leistungseinbussen haben da die CPU for der 4xxx generation ist.
Bin gespannt wie sich dann der aktualisierte 8xxx gegen Ryzen+ schlägt.

 

[Mr. Incredible]

Bei mir kommt folgendes raus. Ist das gut oder schlecht?

 

[Herdware]

Da haben sie auf jeden Fall echt noch mal Schwein gehabt.

So richtig bitter wäre es gewesen, wenn die Sicherheitslücke in einer elementaren, unverzichtbaren Funktion gelegen hätte und es keinen akzeptablen Software-Workaround geben würde. Z.B. wenn die ganze Speichervirtualisierung (ohne die kein modernes Betriebssystem funktioniert) nicht mehr verwendet werden könnte, ohne die Systemsicherheit komplett zu untergraben.

Dann müssten wir ein paar Jahre, bis neu designte CPUs auf dem Markt kommen, entweder ganz ohne Computer auskommen, was unsere Zivilisation wohl nahezu zusammenbrechen lassen würde. Oder es gäbe halt keinerlei Datensicherheit mehr, was fast auf das selbe hinaus laufen würde, denn ohne sicheren Datenverkehr z.B. zwischen Banken usw. wird unser Wirtschaftssystem auch nicht funktionieren.

Das wäre dann nahezu ein Mad Max-Szenario.

 

[Hotstepper]

Vorbildliche Transparenz bei ARM

Wenn irgendwas vorbildlich hier ist, dann ist es Steffens Berichterstattung! Ich habe schon sehr lange nichts vergleichbar neutrales, schnelles und lesenswertes hier gelesen. Auch wenn ich erst seit Dez. registiert bin lese ich hier schon einige Jahre. Da wird sich nicht mit den Lesern in den Kommentaren gestritten sondern konstruktiv kommentiert und auf fragen eingegangen, sowie fragen und kritik in die Updates mit aufgenommen.

Vorbildlich in jeder Art. Mehr davon und mehr von Steffen!

 

[echoDave]

Wie siehts eigentlich mit Android aus ?
Gibts da schon Sicherheitspatches ? Ich meine ja imemrhin haben sies entdeckt da erwarte es sind die ersten die Patchen?

 

[Helge01]

Bei mir kommt folgendes raus. Ist das gut oder schlecht?

So sollte es aussehen, also gut.

 

[estros]

Wie siehts eigentlich mit Android aus ?
Gibts da schon Sicherheitspatches ? Ich meine ja imemrhin haben sies entdeckt da erwarte es sind die ersten die Patchen?

Steht alles in der News.

 

[Steffen]

Wenn irgendwas vorbildlich hier ist, dann ist es Steffens Berichterstattung!

Danke für die Blumen.

Wie siehts eigentlich mit Android aus ?
Gibts da schon Sicherheitspatches ? Ich meine ja imemrhin haben sies entdeckt da erwarte es sind die ersten die Patchen?

Siehe das Update von vorgestern Abend 23:51 Uhr. Für Nexus- und Pixel-Geräte gibt es schon Updates, für alle anderen soweit ich weiß noch nicht.

 

[Xmechanisator]

Ich mache jedes Software-/Windows-Update sobald verfügbar. Dazu µBlock & Co. im Browser, keine Dubiosen Seiten und Quellen nutzen und wöchentliche Backups vom System + 1 sauberes Backup nach dem Windows erstmalig installiert wurde.
Ihr Schlangenöl-Verschwörer seid ziemlich von euch eingenommen und alle anderen AV-Nutzer, die nicht den Defender wollen, sind in euren Augen wohl nur DAU´s

Najaaaaa, ich sag mal ein bisschen over the Top mit einem wöchentlichen Backup des Systems, eigentlich sollten dir nur die Daten und nicht das System ansich wichtig sein, aber jedem das seine. Während ich Steffen beipflichten muss, dass Antivirenprogrammen oft eine zu hohe Bedeutung beigemessen wird (und deshalb die Leute unvorsichtiger werden, denn man hat ja den Antivirenschutz!) ist es gerade dieses unvorsichtiger werden, welches einem um dich zu zitieren "DAU" in den Augen der Schlangenöl-Verschwörer machen. Ich persönlich würde dieses Verhalten von Teilen der "anderen AV-Nutzer" eher als "unvorsichtig und mit eventuell späteren Lerneffekt" bezeichnen als alle AV-Nutzer direkt als DAUs zu bezeichnen. Ich erlebe es leider auch oft genug, dass es wenn es mal knallt heißt "Ja, aber ich hatte doch Antivirenschutz?!" /offtopic ende

Mein Nexus 5X hat auch soeben geupdatet, auch hier merke ich spontan keine Leistungsunterschiede

 

[DFFVB]

@Steffen:

Danke für die Info... Ich denke auch, dass mit den Browsern schon mal ein sehr wichtiger Baustein geschlossen ist (wird), des weiteren wird man mit Sicherheitssoftware halt etwas vorsichtig umgehen müssen, bis diese auch gepatcht ist...

@all - Intel verklagen

Also hier verweise ich mal auf die gesetzliche Gewährleistung von zwei Jahren... aber das müsste man einklagen... wer macht das schon wegen 300 EUR (Rechtsschutzversicherung hat auch Selbstbehalt von 150 EUR)? Zumal Intel vor Gericht sagen würde, dass der Mangel aufgrund des Updates nachgebessert sei... Im Zweifel müsste der Nutzer dann darlegen, dass mit vertretbarem Aufwand, die Lücke dann noch immer genutzt werden könnte... dann kommt Dir ein Richter von annodazumal und sagt: Na dann installier dir halt nur dien Browser und Word, bzw. wende Dich an die Softwarehersteller...

 

[Benji18]

@Steffen
Sehr guter Artikel, Top Arbeit von CB und von dir das du dir hier so viel mühe gibst das ganze fein säuberlich zu Dokumentieren und zu rechericheren.

@ Dark Matter

das sind so die Szenarien die ich mir so Vorstellen kann:
•Webseite hostet Angriff per JavaScript, Benutzer surft Seite an die alle Passwörter ausliest und On-the-Fly Key-loggt.
•Bei einem Webhoster mit 50 Kunden auf einem Server liest ein Kunde alle privaten (SSH/SSL) Schlüssel aus dem RAM aus und kann viele/alle kompromittieren.
•In Cloudumgebungen ist die Separierung der Tenants „gebrochen“, ich kann Zugangsdaten anderer auf meinen CPUs auslesen und diese kompromittieren.
•In Cloudumgebungen kann ich auf den Hypervisor zugreifen und diesen (komplett) übernehmen/kompromittieren.
•Emails oder Emailanhänge die den Code ausführen lesen Geheimnisse aus dem Speicher aus und schicken sie an den Angreifer.
•Webanwendungen die das hochladen von Code ermöglichen (per se nicht gut) können von einem Angreifer dazu verwendet werden Sessions anderer User zu stehlen.
•Es gibt sicher Szenarien wo man Bitcoin mint *g*.
•Eine Malicious App schafft es in den Apple AppStore und liest auf iPhones das Master Passwort von Passwort Managern aus und stiehlt alle danach alle Passwörter.

Insofern die meisten AVs kein IPS/IDS im klasischen sinnen sind bezweifle ich das ein AV Scanner hier wirkliche "Sicherheit" schafft.

 

[Mcr-King]

Ja da wird es auf den Handy-Hersteller an kommen aber die Realität sieht meistens so aus dass man sich einfach ein neues kaufen muss. So ist es und nicht wie andere hier behaupten Samsung zum Beispiel bei den einstieg's Modellen.

 

[Ciraxis]

Android hat doch ein Sicherheitsupdate gekriegt? Oder war das zu alt?

@Steffen Ah okay das macht Sinn.

 

[engine]

So sollte es aussehen, also gut.

Nein, so sollte es aussehen: