News Downfall & Inception: Neue CPU-Schwachstellen gefährden Intel- und AMD-Systeme

[derlorenz]

Das Update von MS ist seit Juli 2022 draußen. Aktuell suggeriert der Text, es wäre neuer. 😬

 

[mae]

Puh, Schwein gehabt (noch) Alder-Lake ist nicht betroffen.

Darauf wuerde ich mich nicht verlassen. Ich lese gerade das Downfall-Paper, und der Autor hat nur Skylake-Tiger Lake getestet. Ob Alder Lake betroffen ist oder nicht, ist nicht klar.

P.S.: Laut Intel sind Alder Lake (P- und E-Cores) und seine Nachfolger, und Haswell und Broadwell nicht betroffen, und Goldmont+ und seine Vorgaenger sowieso nicht, weil sie keinen Gather-Befehl haben. Und beim Zen2 schaut es laut dem Paper auch gut aus (zumindest hat der Autor da noch nichts gefunden).

 

[Novasun]

Heftig das die Lücke bei Intel schon fast ein Jahr bekannt ist. Das man ihnen so lange Vornwarnzeit gegeben hat sagt einiges darüber aus wie schwierig es ist die Lücke zu schließen...

 

[0x8100]

je nachdem, ob und wie avx benutzt wird, kann die performance laut ersten benchmarks schon ein gutes stück sinken. wird die gamerfraktion aber wahrscheinlich nicht so hart treffen.

 

[Mimir]

Solange sich die Hersteller die Performance von CPUs durch entsprechend höhere Kaufpreise teuer bezahlen lassen, geht jeder Securityfix, der die Performance verschlechtert, rein auf Kosten des Verbrauchers.

Nicht gut!!

Vor allem regt mich diese Intransparenz extrem auf.

In den BIOS Updates steht immer nur, dass irgendwas mit Security gepatcht wurde. Bei Windows weiß man nicht, ab wann der Fix enthalten ist oder ob er schon ausgerollt wurde und vor allem kann man ihn nicht einfach deaktivieren.

Und dann fehlt weiterhin die Information, ob man mit dem Windows Fix + Bios Update eine bessere Performance erreicht, als mit dem Windows Fix alleine und wie viel Leistung es überhaupt in welchen Anwendungen kostet.

Alles viel zu schwammig und undurchsichtig.

Ich hoffe, dass dazu irgend wer aussagekräftige Benchmarks machen wird.


So kann man natürlich auch Obsoleszenz erzeugen. "Wir "forschen" mal schön rum und "huch" da ist ja ein Securityproblem, das gefixed werden muss. Das macht dann -5% Leistung. Was für ein Pech aber auch... Wie wärs mit ner neuen CPU, die das Problem nicht hat. Jetzt kaufen."

Mir ist schon bewusst, dass securityprobleme irgendwie gefixed werden müssen. Aber wenn wer weiß wie viele Probleme in aktuellen CPUs schlummern und man nur danach suchen muss, um sie zu finden, dann ist der Ansatz einfach uferlos und nicht zielführend.

Da muss man doch konzeptionell ansetzen können, um solche Probleme zu minimieren. Man geht ja hier wie immer davon aus, dass es schadcode aufs System schafft. Aber oberstes Ziel sollte es doch sein, dass Schadcode gar keine Möglichkeit hat, aufs System zu kommen, indem man die möglichen Einfalltore schließt und die kommen eben ausschließlich von Außen, sprich von Netzwerkebene. Denn ich kann so oder so nicht erwarten, dass ein system trotz aller securityfixes immun gegen schadcode ist. Das erreichen zu wollen wäre doch lächerlich oder nicht?

Aber gut, ich maße mir nicht an, wirklich etwas von security zu verstehen. Trotzdem bin ich mit der Situation und der Art und Weise wie damit umgegangen wird extrem unzufrieden.

 

[Intruder]

👍 CPUID 506E3 taucht in der Liste auf 😁

ob ich den nun gewinnbringend an die böse Seite weiter verkaufen kann damit die den jemand als "Retro-System" unterschieben und ausspionieren können?

 

[Crassus88]

@mae

Wie viel Prozent Marktanteil hatte der K6-1bis3?

Deswegen wohl nicht relevant für die Presse, die müssten dann erstmal mal erklären, was AMD ist.

Aber tolle Sache mal wieder, ich hoff die Micro Code updates kommen per WindowsUpdate

 

[MalWiederIch]

Oder aber es wird eifriger danach gesucht ;-)

Gerade bei Intel gibt es ja das „Bug Bounty Program“, das zudem letztes Jahr erweitert wurde, womit Finder einer Schwachstelle entlohnt werden.

Korrigiert mich wenn ich falsch liege, aber AMD bietet so etwas meines Wissens nach nicht an.

 

[Intruder]

Was mich bei den Meldungen über Sicherheitslücken stört, ist, dass die Frage unbeantwortet bleibt, was es jetzt für mich als Endverbraucher bedeutet und wie hoch das Risiko überhaupt ist.

keine Panik auf der Titanic... kaufen sie sich einfach einen neuen Rechner mit neuer Plattform und mit viel viel Glück wird alles gut und falls nicht...

keine Panik auf der Titanic... warten sie bis zur nächsten Plattform oder was älteres.... oder nutzen sie das System doch einfach rein offline 😂

aber ich verstehe voll und ganz was du meinst und wie du dich fühlst!

 

[mae]

Ich lese gerade das Downfall-Paper, und der Autor hat nur Skylake-Tiger Lake getestet. Ob Alder Lake betroffen ist oder nicht, ist nicht klar.

Ganz am Schluss steht, dass Intel dem Autor mitgeteilt hat, dass Alder Lake, Raptor Lake, und Sapphire Rapids nicht betroffen sind, und dass vorlaeufige Tests auf Zen2 keine Verwundbarkeit davon festgestellt haben.

 

[sikarr]

Darauf wuerde ich mich nicht verlassen. Ich lese gerade das Downfall-Paper, und der Autor hat nur Skylake-Tiger Lake getestet. Ob Alder Lake betroffen ist oder nicht, ist nicht klar.

Laut Intel nicht https://www.intel.com/content/www/u...-affected-consolidated-product-cpu-model.html

 

[mae]

Gerade bei Intel gibt es ja das „Bug Bounty Program“, das zudem letztes Jahr erweitert wurde, womit Finder einer Schwachstelle entlohnt werden.

Nuetzt halt herzlich wenig, wenn sie die Luecke dann nicht schliessen. Sie haben im Juni 2017 von Spectre erfahren, also vor ueber 6 Jahren. Zumindest Raptor Lake (und Zen4) haette schon Fixes enthalten koennen, aber Intel (und AMD) wollen offenbar nicht.

 

[Intruder]

Oder durch Werbung auf Webseiten, wie computerbase.de

 

[Steini1990]

Eigentlich eine super Situation für die CPU Hersteller. Durch immer neu gefundene Schwachstellen werden die Kunden dazu motiviert neuere Modelle zu kaufen bei denen die Lücken nicht auftreten bzw. noch nicht gefunden wurden.

 

[Suspektan]

Naja, dein Browser lädt Code in Form von Javascript aus dem Internet und führt den aus. Es gab bei ähnlichen Lücken schon erfolgreiche Angriffe darüber.
Prinzipiell kann dir das auch über kompromittierte Server auf seriösen Webseiten untergeschoben werden.

Und wozu sollte der Angreifer es sich durch Malware mit eher geringerer Erfolgsquote absichtlich erschweren, wenn er auch gleich einen Code zum direkten Datenabgreifen wie Keylogging verwenden kann?
Welche Vorteile bietet ihm die aufwendige, ineffiziente Methode, bleibt sie länger unentdeckt?

Ergänzung (9. August 2023)

Oder durch Werbung auf Webseiten, wie computerbase.de

??
Ernsthaft?
Falls ja, warum der smilie?

 

[mae]

Wie viel Prozent Marktanteil hatte der K6-1bis3?

Deswegen wohl nicht relevant für die Presse

Moeglich. Ich sehe zwei Erklaerungen:

1) AMD war jetzt fuer Single-User-Systeme nicht ganz so irrelevant wie Du meinst, aber fuer Multi-User-Systeme (wo F00F-artige bugs eine Rolle spielen) schon wenig relevant.

2) F00F kam halt frueher, da hatte es mehr Neuigkeitswert.

 

[Suspektan]

Wie wärs mit ner neuen CPU, die das Problem nicht hat. Jetzt kaufen."

Die hat dann ein anderes, dauert nur, bis es gefunden wird.

Wie wird bei notebooks das Microcode-Update eigentlich eingeführt?
Achso, wahrscheinlich dumme Frage, vermutlich gar nicht.

 

[wayne_757]

Und wozu sollte der Angreifer es sich durch Malware mit eher geringerer Erfolgsquote absichtlich erschweren, wenn er auch gleich einen Code zum direkten Datenabgreifen wie Keylogging verwenden kann?

Javascript läuft isoliert im Browser. Die Idee dahinter ist, dass man beliebigen Code aus dem Internet herunterladen und ausführen kann, ohne dass dabei Kollateralschäden entstehen. Das beantwortet auch schon die Frage nach dem Keylogger. Der lässt sich selbstverständlich nicht aus der Javascript Sandbox installieren.

Hierbei geht es um leaks aus anderen Prozessen. D.h. es können dann Informationen aus komplett isolierten Prozessen oder VMs abgesaugt werden.

 

[Penman]

Also mal eine ganz blöde Frage: Wie sieht ein praktischer Angriff mit all diesen tollen CPU Angriffen mit Namen eigentlich aus? Spectre und Meltdown sind ja mit Rekordgeschwindigkeit auf alle Server gepatcht worden. Hat jemand jemals einen echten Angriff mit diesen Exploit abbekommen oder wurden die durch das schnell Patchen so schnell unattraktiv, dass man es gar nicht erst versucht hat?

Problematisch ist es ja überwiegend, wie im Artikel beschrieben, wenn ein System nicht vertrauenswürdigen Code ausführt. Und dazu dürften wohl so einige kommerzielle Dienstleister sowie Clouds gehören. Docker und Co schützen da ja nicht mehr.

 

[wayne_757]

Wie wird bei notebooks das Microcode-Update eigentlich eingeführt?
Achso, wahrscheinlich dumme Frage, vermutlich gar nicht.

Microcode kann zur Laufzeit eingespielt werden. D.h. man ist nicht auf den UEFI Anbieter angewiesen. Linux und Windows können das z.B.