Du verwendest einen veralteten Browser. Es ist möglich, dass diese oder andere Websites nicht korrekt angezeigt werden. Du solltest ein Upgrade durchführen oder einen alternativen Browser verwenden.
NewsCPU-Sicherheitslücken: Mehrere neue Spectre-Varianten, Meltdown trifft AMD
Klar ist das nicht förderlich, aber das besondere an Meltdown war ja genau dieser Punkt. Das Kernelspace nicht aus dem Userspace lesbar sein sollte, hat ja ganz offensichtliche Gründe/bringt viel tiefergehende Gefahren mit sich wie Du schon oben schreibst. User - User Leak ist halt sehr von der Anwendung abhängig. Das kann dramatisch oder trivial sein.
Dem Rest stimme ich komplett zu.
Ergänzung: Der Mist ist halt, dass es bei einigen Einsatzszenarien völlig egal ist ob das wahrscheinlich ist oder nicht. Wir haben hier beispielsweise personalisierte Patientendaten und im Prinzip müssten wir rein rechtlich die Kiste jedesmal vom Netzwerk trennen wenn nicht klar ist ob sie Dicht ist oder nicht. Das macht echt Kopfschmerzen!
Ich bin von vielen Meltown & Spectrelücken mittlerweile auch ziemlich geflasht. Beruflich und Privat finde ich das schon wichtig aber ich weis ehrlich gesagt nicht wie ich noch drauf reagieren soll ausser die Kisten aus dem Fenster zu hauen, ist fast so wie mit meinem Diesel .
EDIT: Sorry für die übergroßen Bilder - dachte die kommen kleiner raus :-).
Vielleicht sollte ich hier doch noch eine kleine Klarstellung posten bevor CB hier "gelynched" wird, da mein Post von 3DC aufgegriffen wurde. Allerdings könnte und sollte man die News evtl. doch ein bisschen anpassen.
Erstmal etwas Background:
Canella und Kollegen haben ein sehr sinnvolles und übersichtliches Review der bekannten und z.t. auch noch nicht bekannten Lücken beschriebenund ERSTMALS ALLE diese Lücken einheitlich "bezeichnet" und "klassifiziert" nach der Ursache bzw. Quelle des Fehler in der CPU.
Wird eine "Exception" durch den Exploit getriggered aber von der CPU dadurch nicht die Ausführung von weiteren davon abhängigen bzw. speculativ und/oder out-of-order ausgeführten Befehlen unterbunden heisst man die Lücke nun "Meltdown-Type".
So weit so korrekt.
Denn bei Spectre werfen die Exploits ja nur "Page Faults" und fallen sonst nicht weiter auf.
Dieser unterschied ist schön hier dargestellt:
Jedoch sollte man verstehen dass Canella und Kollegen dann weiterhin eigentlich Meltdown in 2-Große Familien von Lücken unterteilen.
Nämlich jene wo der Meltdown Exploit eine Exception wirft und diese inkorrekt verarbeitet oder ignoriert wird mit Current-Privilege-Level (CPL) Escalation - also der Ausweitung der Prozessrechte von User Space auf "alles". Und jene bei denen der Meltdown Exploit eine Exception wirft aber KEINE CPL stattfinden kann.
Mit einer CPL Verletzung bricht man jede Virtualisierung, jede Sandbox, jede sonst so erdachte CPU-Sicherheitsmaßnahme vor dem "heimlichen" Ausspähen von Informationen (im inneren einer CPU).
OHNE CPL Verletzung ist man ungefähr nur so "mächtig" wie der Prozess der sie ausführt und kann vor allen Dingen nie und niemals nicht aus einer Virtuellen Machine (VM) heraus z.B. den Kernel der eigentlichen CPU die diese VM "betreibt" auslesen.
Das ist eine völlig andere "Kategorie" von Gefährlich.
Diese beiden Meltdown-Familien beschreiben Canella und Kollegen hier:
Man beachte dabei dass Meltdown sowie die ARM-Variante (3a) als auch Foreshadow und Lazy FP - die bedeutendsten der Meltdown-Lücken die bisher auftraten...allesamt CPL-Verletzend sind.
Jetzt ratet mal auf welche "Meltdown"-Lücke AMD nun doch anfällig ist:
Nur Meltdown-BR eine wie sie im Text erläutern von ihnen selbst neue gefundene Lücke die eine Abwandlung/Weiterentwicklung von Meltdown-RW darstellt (-RW wurde als Spectre V1.2 berühmt vor nicht allzu langer Zeit).
Meltdown-BR stellt auch die EINZIGE neue Meltdown-Lücke dar die Canella und Kollegen noch finden konnten. Alle anderen tragen weiße Sterne was bedeutet dass sie nachweisen konnten dass diese von ihnen erstmals beschriebenen theoretischen Lücken nicht auf den bisher getesten CPUs funktioniert haben.
Ergänzung ()
Nachtrag:
Da das Kriterium zur Unterscheidung von Meltdown und Spectre-Type nach der Art der "Ursache" des Fehlers der in der CPU auftritt ist sehr sinnvoll wie ich finde.
Aber es sollte einem zu denken geben dass Intel CPUs seit Core2 von ALLEN CPL-Verletzenden Meltdown-Varianten angreifbar sind.
AMD CPUs seit Bulldozer hingegen nur von einer einzigen welche obendrein KEINE CPL-Verletzung erlaubt.
Das ist auch der Grund warum man diese Lücken ohne CPL-Verletzung zunächst eigentlich zu den "Spectre's" gezählt hat.
Aber im Grunde haben Canella und Co schon auch recht dass die "Exception"-Gebenden Lücken wohl besser unter Meltdown subsummiert werden.
Am besten wäre es aber wohl gewesen sie hätten lieber die nicht CPL-Verletzenden Lücken in eine eigene Kategorie geworfen, z.B. Micro-Meltdown oder so...
Nicht nur das: Mein ThinkPad T520 mit SandyBridge-CPU hatte Ende Juni ein BIOS-Update für Spectre 3 und 4a bekommen, mein Intel(!) Mainboard (DH67CL) ebenfalls mit SandyBridge-CPU Ende Oktober.
Meine nächsten CPUs werden definitiv nicht von Intel designt und/oder gefertigt...
Es wäre absurd zu glauben, das es bei AMD keine Lücken gibt.
Und auch in Zukunft werden immer wieder neue Lücken geben, egal bei welcher Architektur.
Die Frage ist viel mehr: wie Relevant sind diese Lücken und was kann man dagegen unternehmen bzw. wie (schnell) kann man sie schließen.
Irgendwelche realitätsfremden Szenarien, wie es oft bei Sicherheitslücken der Fall ist, interessieren mich da herzlich wenig und größere Unternehmen vermutlich ebenso.
Als 08/15 User ohne nennenswertes Vermögen ist man eh kein attraktives Ziel.
Nur weil du und anderer es immer wieder wiederholen wird es nicht richtiger.
Der Homeuser ist sehr wohl betroffen, und zwar in dem man Webdienste, Onlineshops, Cloud-Speicher etc. nutzt.
Der Blick über den eigenen Monitorrand hinaus würde manchmal nicht schaden.
Ist mir jetzt nicht ganz klar, wie du das meinst. Das sind doch alles Information Disclosure Lücken oder nicht? Wie sollen die dazu geeignet sein Dokumente zu verseuchen?
Mit solchen Aussagen wäre ich vorsichtig, weil jedes Script, das du läds und ausführst (z.B. JavaScript Code im Browser) ein potentieller Angriffsvector ist, selbst wenn das eigentlich in einer Sandbox passiert.
Mit solchen Aussagen wäre ich vorsichtig, weil jedes Script, das du läds und ausführst (z.B. JavaScript Code im Browser) ein potentieller Angriffsvector ist, selbst wenn das eigentlich in einer Sandbox passiert.
Und genau deshalb sind die Meltdown mit Cross-CPL Lücken ja auch so gefährlich relativ zu Meltdown ohne CPL-Verletzung oder auch vielen Spectre varianten. Denn die Sandbox ist in dem Fall wirkungslos.
Und wenn die Geschichte eines gelehrt hat dann das sich im Wohlstand garnichts von selbst einpendeln wird, dafür ist der sogenannte zivilisierte Mensch ganz einfach zu gierig.
Und warum haben alle Industrienationen eine Geburtenrate unter 2? Das einzige was sich einpendeln wird ist m.M.n. die Geburtenrate und damit die Population. Das ist aber unabhängig von der menschlichen Gier nach Vermögen.
ganze Kulturen darauf aufbauen das man im Alter von seinen Kindern versorgt wird (viel spass beim Vorhaben ganze Kulturen und Traditionen zu verändern)
Das war in Europa bis zur Modernisierung Usus. Lässt sich auch an jedem Schwellenland der letzten 50 Jahre ablesen: Lebensstandard und Lebenserhaltungskosten steigen, Geburtenrate sinkt. Es ist in Industrienationen zu teuer viele Kinder zu haben. Egal ob als Muslim oder als Atheist. Keiner muss da was ändern - ausreichend Geld zählt für jeden mehr als seine Kultur - dafür ist der sogenannte ziviliserte Mensch ganz einfach zu gierig.
und sich der Ressourcenbedarf durch die Angleichung des Lebensstandards nach oben selbst bei stagnierender Weltbevölkerung vervielfacht
Deshalb rede ich ja davon, dass das Problem unseres Ressourcenverbrauchs angegangen werden muss, sowohl um einerseits den unverhältnismäßigen Verbrauch in den jetzigen Industrienationen herunterzudrehen als auch präventiv für nachrückende Industrienationen. Sprech ich chinesisch?
@Volker könntest du bitte auf die Nachfragen im Thread reagieren? Die Erklärung warum plötzlich AMD von Meltdown betroffen sein soll gehört m.E.n. definitiv ergänzt.
Irgendwie vermisse ich im Artikel ein Verweis darauf, wie man sein möglichstes tun kann um den Rechner abzusichern. Finde das gehört zu einer News über Sicherheitslücken.
Ich sehe da derzeit nicht durch. Einerseits wird gesagt, dass man den derzeit besten Schutz schon mit dem Microcode-Updates, die über Windows-Updates auageliefert werden, hat.
Anderseits sagt Microsoft, dass man auch Microcode über Biosupdates einspielen soll.
Was stimmt den nun überhaupt?
Wozu soll ich Microcode über Bios einspielen wenn die ganzen Seiten im Mai feiern, dass es den Microcode nun auch über WinUpdates gibt?
Irgendwie vermisse ich im Artikel ein Verweis darauf, wie man sein möglichstes tun kann um den Rechner abzusichern. Finde das gehört zu einer News über Sicherheitslücken.
Vielen Dank für Deine Ausführungen hier! Sehr hilfreich! Ein paar Fragen hätte ich: Wie einfach ist es denn nun durch beispielsweise Spectre oder diese neuen nicht Cross-CPL fähigen Meltdown Exploits auf den Userspace einer anderen VM zuzugreifen, die auf der gleichen Hardware läuft. Braucht es für solche Zugriffe zwischen unterschiedlichen VMs Kernelspace Access oder reicht Userspace Access. Ist mir bislang nicht wirklich klar geworden.
Und Nebenschauplatz. Wie verhalten sich eigentlich Systeme in denen die einzelnen Kerne keinen shared Cache haben. Beispielsweise alte Athlon Systeme. Das waren ja um Prinzip noch zwei/vier dedizierte CPUs auf einem Silizium, die sich nur den Speichercontroler geteilt haben. Oder bringt es sicherheitstechnisch Vorteile, die VMs auf einem beispielsweise Epyc System einzelnen CCX zuzuordnen. (rein als theoretische Überlegungen)
.
. Sie haben ja eine ganze Reihe weiterer "Vektoren" durchprobiert. Daher dann auch das Klassifizierungsschema.
