News CPU-Sicherheitslücken: Mehrere neue Spectre-Varianten, Meltdown trifft AMD

[b1nb4sh]

Wenn deine Haustür offensteht, heisst es zwar nicht, dass jemand das ausnutzt, aber möchtest sie nicht lieber schliessen?

Falls er überhaupt eine Haustüre hat... Bei der Einstellung...

Ergänzung (15. November 2018)

Du hast den Studiengang dafür vergessen: Meltdown & Spectre Bachelor of Science.

Und die Lehre des Meltdown und die Spectrelogie...

 

[Bigfoot29]

Zum Thema "Homeuser betrifft das nicht": Aha. Also ich hab mir durchaus schon von daheim Dokumente in die Firma geschickt, um sie dort zu nutzen/zu bearbeiten. Viele der Lücken sind durchaus in der Lage, das Heimsystem zu kompromittieren und die verschickten Dokumente zu verseuchen. Ich wünsche dann viel Spaß, das der Firmensicherheit zu erklären, dass das a) nicht DU und b) selbst wenn, dann "nicht wirklich DU" warst. Schlimmer wird es für die Leute, die daheim an ihren Forschungsdaten schreiben. Meint ihr nicht, das wäre für so manche Firma oder Staat interessant? Oder Deine Zugangsdaten aus dem lokalen Passwort-Safe (Browser oder z.B. KeePass), um mit Deinen Online-Identitäten Blödsinn zu betreiben? Oder gleich die Kreditkartendaten?

Tut mir Leid, aber so lustig das auch klingen mag: JEDE CPU-Lücke sollte für JEDEN Nutzer ein Grund zur Besorgnis sein. Denn selbst, wenn man auf einer Büchse nur Minecraft spielt, erlauben die Lücken ggf, von dem PC aus weitere Systeme zu infizieren, da man sich via der Lücken Zugangsschlüssel zum lokalen System erspähen konnte und via Root-Rechten dann jede beliebige Malware installieren kann.

Regards, Bigfoot29

 

[cbtestarossa]

Joa diese Tabelle ist echt seltsam.

Und noch seltsamer sind die Posts die meinen MELTDOWN beträfe niemanden.
SPECTRE betrifft vielleicht weniger Leute aber MELTDOWN so gut wie jeden.

Sie bekommen das auch nicht mehr in den Griff.
Zeit für etwas ganz Neues ist reif.

 

[Wadenbeisser]

@SP1D3RM4N
Pssst, jetzt rüttel doch nicht an der heilen Welt in der man sich keine Gedanken um nichts machen muss und in der nur die anderen betroffen sind.

 

[ChuckBROOzeG]

Die CPU Sicherheitslücken gehen mir echt langsam auf die Nerven. Die Teile sind für Homeuser sowas von irrelevant. Ich habe bisher noch nicht mitbekommen das die in irgendeiner weise ausgenutzt werden würden.
Alles nur Panikmache!

Die sind dafür da um Intel ans Bei zu pinkeln und bei anderen zu ignorieren ^^.
Genau wie die fehlenden ausgenutzten Angriffsvektoren.

 

[redfirediablo]

"erstmals auch eine Meltdown-Lücke, die auf AMD-Prozessoren funktioniert."

Das ist FALSCH

Es würde lediglich eine Spectre Lücke neu klassifiziert bzw. umbenannt!

Bitte umgehend fehlerhaften Artikel korrigieren!

 

[psYcho-edgE]

JEDE CPU-Lücke sollte für JEDEN Nutzer ein Grund zur Besorgnis sein. Denn selbst, wenn man auf einer Büchse nur Minecraft spielt, erlauben die Lücken ggf, von dem PC aus weitere Systeme zu infizieren

Manchmal glaube ich, das sind die gleichen Gedankengänge, wie sie Impfgegner haben. "Was geht mich das an, ich werde doch eh nie krank."

 

[R4ID]

Wer immer weiter danach sucht wird auch mehr Sicherheitslücken finden.
Aber für uns normalos Wayne

 

[13579]

Wufff, wieder neue Lücken wo wieder der Kunde der mit der Ar*chkarte ist, langsam glaube ich das ist reine PR sodass man sich neue Hardware kaufen soll, "Kauft euch jetzt den Prozessor XYZ, er ist ein wenig sicherer als der andere, kauft sofort"... Scherz beiseite, aber wenn das so weiter geht bekommen wir bald Modelle im Handel die sich speziell darauf konzentrieren das sie keine derartigen Lücken haben, zum Beispiel mit einem "S"-Kürzel für Sicher/Secure, die haben dann weit weniger Leistung aber können bedenkenlos gekauft werden, die üblichen Spionagelücken die man einbauen muss natürlich ausgenommen.

 

[Gnah]

@Volker

Bisher hieß es, dass AMDs Prozessoren von den Meltdown-Sicherheitsproblemen gefeilt sind und „nur“ für Spectre anfällig sind.

Es heißt "gefeit sein", nicht "gefeilt sein".

 

[Shoryuken94]

Die CPU Sicherheitslücken gehen mir echt langsam auf die Nerven. Die Teile sind für Homeuser sowas von irrelevant.

Gewagte Sichtweise. Du nutzt keinerlei Online Services, die evtl davon betroffen sind? Würde mich stark wundern. Dein Rechner zu Hause ist halt relativ langweilig für Potentielle Angreifer. Ein Rechner worüber z.B. (auch dein) Onlinebanking, Kreditkartenabrechnunge etc. laufen schon eher. Sobald man das internet nutzt, ist man mehr oder weniger betroffen.

Mit der Sichtweise ist die Welt aber super. Ich meine, was stören mich Kriege, Naturkatastrophen, hungernde Kinder, Seuchen etc, solange ich gemütlich zu Hause sitze?

Wen sowas nicht interessiert, der liest es halt nicht. Hier gibts aber durchaus eiige Leute die sich dafür interessieren. Warum klickt man auf sowas und hinterlässt einen Kommentar, wenn doch alles nur irrelevante Panikmache ist? Ich lese auch nicht irgendwelche Promi- oder Modenews.

 

[Nureinnickname!]

Wenn deine Haustür offensteht, heisst es zwar nicht, dass jemand das ausnutzt, aber möchtest sie nicht lieber schliessen?

Relativ schlechter vergleich, bei deiner offnen Haustür, "kann" jeder x beliebige depp der daran vorbei geht, ins Haus eindringen.

Bei den CPU sicherheits lücken "kann" noch lange nicht jeder diese auch ausnutzen. Trotzdem muss jeder mist wieder gepatcht werden, und kostet hier 5% Leistung, da 5%, usw und sofort, ehe man sich versieht kannste den i9 9900K quasi mit nem Pentium 4 gleichsetzen xD

CPUs werden immer Komplexer, ergo treten auch häufiger fehler auf, gibt eine Liste im Internet wieviele fehler so ein Intel CPU hat, glaube das waren weit über 100

 

[Naennon]

Korrigiert mich wenn ich falsch liege. Aber jeder, der auch nur ansatzweise Dinge in der Cloud tut. Zum Beispiel Apps die auf dieser laufen (Tinder, WhatsApp, Telegram usw.) könnte doch hier probleme bekommen? Die Apps laufen ja auch auf VMs/Containern. Also kann hier einer, der sich eine VM nebenan mietet direkt mitlesen.

Bin ich hier falsch gewickelt?

ja bist du

 

[Wadenbeisser]

Manchmal glaube ich, das sind die gleichen Gedankengänge, wie sie Impfgegner haben. "Was geht mich das an, ich werde doch eh nie krank."

Sei doch froh. das ist ihr persönlicher Beitrag im Kampf gegen die Überbevölkerung.

Ergänzung (15. November 2018)

Relativ schlechter vergleich, bei deiner offnen Haustür, "kann" jeder x beliebige depp der daran vorbei geht, ins Haus eindringen.

Der Vergleich passt doch recht gut, jeder Depp der weiss wie man die Tür findet kann durchmarschieren oder latscht die gesammte Weltbevölkerung an deiner Haustür vorbei?

 

[Revan1710]

Für mich ist weniger von Belang, ob die CPUs von Herseller X von der Sicherheitslücke Y betroffen sind, sondern viel mehr, welche Maßnahmen X dazu ergreift, um Y zu verhindern und welche Auswirkungen das hat.
Dass die Sicherheitslücke umgehend geschlossen wird, sollte selbstverständlich sein.

Mir fehlt bei den Meltdown-Varianten die Information, ob diese Lücken jetzt eigentlich geschlossen sind

 

[Nureinnickname!]

@Wadenbeisser Komplett Zitieren, sonst macht das keinen Sinn ;-)

 

[guggi4]

@Volker
Vielleicht sollte man im Artikel doch erwähnen, dass die "neue" Meltdown Lücke auf AMD eigentlich eine bereits bekannte Spectre Lücke ist, welche nur umbenannt wurde. Ansonsten ist der Artikel ja doch leicht irreführend.

 

[psYcho-edgE]

Sei doch froh. das ist ihr persönlicher Beitrag im Kampf gegen die Überbevölkerung.

Bin ich nicht, Überbevölkerung ist ein Mythos bzw. eine zu kurz gegriffene Erklärung dafür, dass wir andere Probleme nicht in den Griff kriegen. An vermeidbaren Krankheiten sterbende Kinder sind hingegen kein Mythos.

 

[cm87]

Naja ganz richtig ist das ja nicht...
https://www.forum-3dcenter.org/vbulletin/showthread.php?p=11853073#post11853073
Es wurde umbenannt und betrifft deshalb jetzt als meltdown AMD...

Danke für den Link

 

[Ned Flanders]

Es würde lediglich eine Spectre Lücke neu klassifiziert bzw. umbenannt! Bitte umgehend fehlerhaften Artikel korrigieren!

Naja, sie haben die Klassen halt jetzt aufgeweicht und nicht mehr nach den Folgen sondern den Ursachen benannt. Kann schon sein, dass Meltdown-BR eine Meltdownartige Lücke ist, allerdings ist sie auch die einzige Meltdownartige Lücke bei der nicht aus dem Userspace ausgebrochen werden kann. Zumindest bei AMD nicht, bei Intel vermutlich schon. Die Lücke hat also auch eine andere Qualität bei beiden Herstellern. Und das hat schlicht den Grund, das AMD in ihrer Architektur schon immer einen Schutz des Kernelspace betrieben haben, was Intel nicht hat.

Also nochmal deutlich: Die Meltdown-BR Lücke erlaubt keinen zugriff auf den Kernelspace aus dem Userspace auf AMD. Das ist schon ein sehr entscheidender Unterschied speziell für VM Betreiber.

Bild stammt aus dem Paper mit Anmerkungen von @Iscaran (Danke) der hier in einem sehr guten Beitrag noch mehr Details dazu gibt.


@Volker @Jan

Dieser Hinweis wäre in der News eigentlich wirklich wichtig, denn Meltdown ist eigentlich dadurch charakterisiert, dass man aus dem Userspace auf den Kernelspace zugreifen kann. (Melt). Das ist aber hier nicht der Fall, aber der Leser kommt zum Schluss, dass AMD nun für Meltdown doch anfällig ist, was zwar nach neuer Definition stimmen mag, aber eben nicht die gleichen Auswirkungen hat. Der Kernelspace ist auf AMD Maschinen sicher, auf Intel Maschinen nicht.