News Meltdown & Spectre: Details und Bench­marks zu den Sicherheits­lücken in CPUs

[AAS]

@kisser:
Doch sieht Linus anders. Sonst würde er nicht auch zu mehr Ehrlichkeit aufrufen.
Steffen sagte es trefflich, es Ist ein Hardware Bug und Intel betreibt relativierung

Intel wird nie einen Fehler zugeben, wie immer.

 

[kisser]

@kisser:

Lies mein vorheriges Postung und versuche es zu verstehen!

 

[xexex]

•Webseite hostet Angriff per JavaScript, Benutzer surft Seite an die alle Passwörter ausliest und On-the-Fly Key-loggt.

Alle Passwörter ausliest von was? Das klappt nur wenn die Passwörter im Klartext im RAM stehen würden. Keylogger wäre unter Umständen möglich, aber Meltdown benötigt Leistung und müsste die ganze Zeit im Hintergrund im Browser mitlaufen. Hier wird durch die Änderungen an der Browsern entgegen gewirkt, weil man für die erfolgreiche Ausführung genaue Timer benötigt.

Das "Problem" an dieser Stelle ist also an weitere Faktoren geknüpft. Wer ungepatchte Browser verwendet, seine Kennwörter im Notepad speichert oder einem schlecht programmierten Browser Add-on und dabei noch irgendwelche dubiosen Seiten besucht hat definitiv ein Problem, aber nicht erst seit Meltdown.

•Bei einem Webhoster mit 50 Kunden auf einem Server liest ein Kunde alle privaten (SSH/SSL) Schlüssel aus dem RAM aus und kann viele/alle kompromittieren.
•In Cloudumgebungen ist die Separierung der Tenants „gebrochen“, ich kann Zugangsdaten anderer auf meinen CPUs auslesen und diese kompromittieren.

Diese Szenarien am gefährlichsten und sind das eigentliche Problem. Deshalb haben alle größeren Hoster schnellstmöglich die Patches eingespielt.

•In Cloudumgebungen kann ich auf den Hypervisor zugreifen und diesen (komplett) übernehmen/kompromittieren.

Nein! Es lassen sich Sachen aus dem Speicher LESEN. Dafür würde man einen Schreibzugriff benötigen. Man könnte bestenfalls die ergatterten Kennwörtern oder Schlüssel für einen Angriff verwenden, trotzdem würde man jedoch eine anderen Möglichkeit benötigen um auf den Hypervisor zugreifen zu können.

•Eine Malicious App schafft es in den Apple AppStore und liest auf iPhones das Master Passwort von Passwort Managern aus und stiehlt alle danach alle Passwörter.

Das sehe ich als ein großes Problem aller bisherigen App Systeme, wobei hier die Android Geräte wohl eher gefährdet sind, da die meisten nie ein Update bekommen werden. Es stellt sich jedoch die Frage inwiefern es überhaupt möglich ist solche tiefgreifenden Systemzugriffe mit einer App durchzuführen. Sowas sollte eine App auf einem Smartphone ohne Jailbreak gar nicht durchführen können.

 

[psYcho-edgE]

@psYcho-edgE

laut CB (Steffen) kann Specture Variante 2 per Microcode Update behoben werden, ergo bleibt nur mehr Variante 1 über die die Entwickler dann patchen müssen.

Korinthenkackerei, aber ist Microcode nicht auch einfach nur Software?

 

[Andi07]

Hallo zusammen!

Vermutlich habt ihr das schon mitbekommen bzgl. den angeblichen Verkauf der Intel-Aktien bei Beibehaltung nur einer Mindestmenge an Aktien. Und das angeblich trotz der Kenntnis über die Sicherheitslücken seit Juni 2017. Habe das heute nur so nebenbei bei einem Nachrichtensender mitbekommen.

Hier mal ein Artikel dazu beispielsweise aus http://www.sueddeutsche.de/wirtschaft/it-sicherheit-bevor-sicherheitsluecke-bekannt-wurde-intel-chef-verkaufte-seine-aktien-1.3813982

Ergänzung: Und das Blöde ist außerdem, das Intel nur Updates, z.B. intel-micro-code, nur für Prozessoren herausgeben will, die innerhalb der letzten 5 Jahre erschienen sind. Somit fällt mein IvyBridge leider heraus, der im April 2012 erschienen ist.

https://newsroom.intel.com/news-releases/intel-issues-updates-protect-systems-security-exploits/

Gruß Andi

 

[Volkimann]

Bug ist hier nicht der richtige Begriff, weil die Hardware ja genau so funktioniert, wie sie designed wurde. DAS ist der Punkt. Flaw ist hier der passendere Begriff.

Also es ist kein "Bug", sondern ein "Flaw".... also eine Schwachstelle.... ein Fehler.

Wortklauberei

 

[mkdr]

Ach noch was zum Glück läuft mein Sat-Receiver mit Mips power. Nur mal so am Rande sind eigentlich auch Autos und Sat-Receiver, Router und co mit ARM technik auch betroffen? Wenn ja müssen eine bald ein Sicherheitspatch auf ihrem Auto installieren.

Autos surfen normalerweise (noch nicht) über Chrome im Internet. Wenn man ein System hat, das nicht am Internet hängt, ist es egal wie unsicher die Software ist, die da drauf läuft.

 

[Benji18]

Korinthenkackerei, aber ist Microcode nicht auch einfach nur Software?

ich würde sagen Firmware des Prozessors, ka ob es da jemals einen HW fix geben wird >> damit ist man zumindest hier nicht auf SW entwickler angewiesen.

 

[Steffen]

Bug ist hier nicht der richtige Begriff, weil die Hardware ja genau so funktioniert, wie sie designed wurde. DAS ist der Punkt. Flaw ist hier der passendere Begriff.

Ok, es gab keinen Fehler in der Fertigung, sondern die CPU arbeitet genauso wie sie designed wurde. Dann ist aber das Design fehlerhaft. Bei Software-Bugs kann sich ein Hersteller auch nicht damit herausreden, dass der Fehler ja schon in der Architektur stecke und zur Software sagen "works as designed".

Ich kann verstehen, dass Intel die Schuld nicht alleine auf sich nehmen möchte, weil quasi alle CPUs (also auch die anderer Hersteller) betroffen sind und nicht nur die von Intel. Das ändert in meinen Augen aber nichts daran, dass das ein Bug / Flaw / ... in Intel-CPUs ist. Genauso wie es ein Bug / Flaw / ... in AMD- und ARM-CPUs ist (die sind zwar von Meltdown nicht betroffen, aber von Spectre).

Update: Berechtiger Einwand von reimar, dass vermutlich nur Meltdown als Hardware-Bug zu klassifizieren ist und Spectre eher nicht, einen Hardware-Bug gäbe es demnach nur bei Intel und nicht bei AMD und ARM (von einzelnen Cortex-Kernen abgesehen): https://www.computerbase.de/forum/t...luecken-in-cpus.1737683/page-77#post-20802246

 

[Rockstar85]

@Xedos99
Abgeguckt ja, kopiert eher nicht.

Oder eher das System war damals als sicher eingestuft worden, weil man nicht die Möglichkeit hatte für einen Angriff.
Ich denke auch das AMDs PSP irgendwann geknackt wird. Deswegen kommt es immer auf die schwere des vorfalles an. Und hier sind eben Server stärker betroffen.

@kisser:
Ich Verweise an Steffen, das wird mir zu blöd mit deiner Aussage
Wenn du kein Interesse hast konstruktiv beizutragen, dann bitte geh.

 

[.mojo]

zum them bug oder nicht:
Wenn ich das alles halbwegs richtig durchdrungen habe hat intel mit ihrer Aussage damit doch gar nicht so unrecht, oder?
So scheint es doch ein Problem am grundsätzlichen Design dieser Technology zu sein, und nicht ein Fehler bei der Implementierung?

Natürlich jetzt rein akademisch gedacht.
Das intel sich mit der Aussage real keine Gefallen tut ist natürlich was anderes, aber ich kann auch verstehen dass man das so nicht auf sich sitzen lassen will, sollte es denn so sein.


Die Frage ist wer hat sich dieses Design erdacht und wieso ist es derart fehlerbehaftet in so gut wie allem was transistoren hat implementiert worden.
​

 

[knoxxi]

Zitat Heise Online über NVidia:

"Nvidia hat sich auf Anfrage von heise online ebenfalls zu dem Problem geäußert und erklärt, dass man glaube, dass zumindest die GPU-Hardware – die schließlich über CUDA und OpenCL auch für universelle Berechnungen eingesetzt wird – nicht anfällig für die Sicherheitslücken sei. Allerdings aktualisiere man die Grafiktreiber, um das CPU-Sicherheitsproblem zu entschärfen.

Anders sieht die Situation bei Nvidias Tegra-Prozessoren aus, die etwa in der Wohnzimmer-Streaming-Box Nvidia Shield TV, in der portablen Shield-Console, im Shield Tablet und in einigen älteren Smartphones stecken. Nvidia hat dazu eine Erklärung veröffentlicht, in der es heißt: "Was unsere SoCs mit Arm-CPUs anbelangt, so haben wir sie analysiert, um festzustellen, welche davon betroffen sind, und bereiten entsprechende Risikobegrenzungen vor."

Hmm der Passus "welche davon betroffen sind, und bereiten entsprechende Risikobegrenzungen vor" klingt so als wären auch Tegras betroffen, aber man muss noch überprüfen welche genau...

 

[Tamatebako]

So ich bin auch durch. Bluescreen hatte ich keinen. Mein Antivirschutzprogramm war auch schon geflaggt. Allerdings habe ich einen älteren Prozessor der in den entsprechenden Betroffenheitslisten auttaucht (Bloomfield i7-950). Geld für neuen Prozessor habe ich nach schwerer OP nun absolut nicht. Nun frage ich mich: Gibt es eigentlich Benchmarkprogramme die mir anzeigen, ob ich von evlt. Leistungseinbußen betroffen bin? (Sorry wenn ich die 75 Seiten nicht durchgelesen habe).

 

[nebulus]

Hab vorhin im ARD gesehen, dass ein Intel-Chef fast all seine Intel-Aktien kurz vor Weihnachten verkauft hat. Im Wert von 25 Millionen Euro!
Die wussten locker schon viel länger Bescheid über diese Lücken!

Die Lücke ist seit Juni 2017 bekannt. Wurde nur jetzt erst publik.

 

[Xedos99]

@Tamatabeko -Wenn Deine Software in etwa so läuft wie vorher,brauchst Du doch keine Benchs machen.Haupsächlich gab es ja bei Linux extreme Einbrüche.
Dazu kommt das virtuelle Server Umgebungen mit vielen Parallelen Workloads vorrangig von Leistungs Einbußen bis 20% betroffen sind.

 

[TheLastHotfix]

Is this* a bug in Intel hardware or processor design?

No. This* is not a bug or a flaw in Intel products. These* new exploits

* Intel bleibt schön unspezifisch und bezieht sich nur auf spectre.
(1500 )

 

[Rockstar85]

Hmm der Passus "welche davon betroffen sind, und bereiten entsprechende Risikobegrenzungen vor" klingt so als wären auch Tegras betroffen, aber man muss noch überprüfen welche genau...

Es gibt dazu nen Link von ARM:
https://twitter.com/misc0110/status/948706387491786752

und da Tegra nunmal ARM ist, sind sogar die PX Drive betroffen.

 

[Sun_set_1]

Tut er nicht. Aber das verstehst du wohl nicht.

Sehr geil. Eine Aussage ohne Begründung.
Ich weiß nicht, wer von uns beiden in den English-Kurs sollte, aber ich finde

[...] somebody inside of Intel needs to really take a long hard look
at their CPU's, and actually admit that they have issues instead of
writing PR blurbs that say that everything works as designed.

doch relativ eindeutig. Es kann durchaus möglich sein, dass Du mehr im Thema steckst als der technische Leiter der ComputerBase-Redaktion und der Mann, der Linux entwickelt hat.

Ich persönlich tendiere eher zu Steffen und Linus, nichts persönliches though.

 

[Mcr-King]

Ja dann wäre ja auch die Switch betroffen und ja man kann mit modernen Autos im Internet surfen und die haben sogar einen eigenes LTE Modem. Nur mal so am rande.

Klar ist es im Polo und co noch nicht drin aber in anderen großen Modellen schon.

Ergänzung (5. Januar 2018)

Aber so wie es aussieht ist dass doch eine ziemliche Bombe die hier grade mal ao hoch geht.

 

[Alphanerd]

Was noch überhaupt nicht beantwortet wurde ist, ob ein AV-Programm nicht anschlagen müßte wenn die Lücken mit Schadcode (Virus/Trojaner) ausgenutzt werden?

Wann schlagen denn AV Programme überhaupt an, außer bei false positives?

Wie wahrscheinlich ist es denn, dass sich letztlich die Sache als CPU-Fehler herausstellt. Hat dann Intel ein Problem und jeder Besitzer einer Intel-CPU darf auf Tausch hoffen/klagen/einfordern?

Es ist ein Fehler in der CPU. In den USA wirst du wohl bald Ersatz/Entschädigung(gibt ja keine fehlerfreien) bekommen.

Was du als deutscher Kunde erwarten kannst, weißt du bestimmt selbst.