News Geheimnisse: Bis zu 20 GByte an Intel-NDA-Material veröffentlicht

[Syrato]

@bad_sign das könnte sogar klappen! Welcher vernünftige Mensch oder welches gut programmierte Hacker-Tool, setzt 5x die selben Blöcke hintereinander?

 

[Enigma]

Jo, da dürften 100erte oder noch mehr Zugriff haben. Darüber sickert ja imemr wieder was durch, bisher nur nicht in dem Umfang.

Ich bin sehr gespannt, ob dann auch Custom-Biosversionen erstellt werden können, die keinem Partnervertrag unterliegen. Partner haben in der Vergangenheit Übertakten von Non-K-CPU's im BIOS ermöglicht. Ich könnte mir Vorstellen dass so-etwas wieder möglich wird. Wansinnig toll wäre natürlich, wenn man die Firmware von CPU's beeinflussen könnte und so ggf. auch gesperrte Kerne durch einen Flash aktivieren kann.

NSA: D'oh!

Die sind so gut versteckt, dass man das im Zweifelsfall nicht von einem Bug unterscheiden kann.

 

[lokon]

So kann mehr Licht gebracht werden in den Jungle der proprietären Platformen & Security Co-Prozessoren, die vollständige Kontrolle über unsere Systeme haben,

Die NDAs, die unterzeichnet werden, sind vermutlich auch mit indirekter Strafandrohung oder Strafzahlungen abgesichert und vielleicht auch anderen Verboten belegt.
Offene Bootloader / blob-freie Bootloader wie coreboot unterstützen deswegen deshalb eher Ivy-Bridge Hardware ohne Probleme - unabhängige Entwickler werden von NDAs teilweise auch abgeschreckt.

Bei AMD sind diese Guides vermutlich auch unter NDA - Intel und AMD veröffentlichen selbst nicht, welche Dokumente gegen "welche" / Muster-NDA erhältlich sind.
Beispiel : BKDG (Bios/Kernel dev. guides) bei AMD für aktuelle Ryzen

Beim Lebensende von alten Plattformen sollten die zugehörigen Dokumente automatisch veröffentlicht werden - Right to Repair / Right to Tinker / gegen Obsoleszenz.
Das erleichtert auch Archiven, Bibliotheken und Museen das Erhalten für die Nachwelt.
Kaby Lake ist ja quasi eingestellt. - siehe news hier

 

[Linmoum]

Das könnte durchaus interessant werden. Vor allem auch für AMD. Da kann man sich dann schön darauf vorbereiten und entsprechend kontern. Nicht dass es AMD aktuell nötig hätte, aber schaden kann es dennoch nicht.

Nein, gerade US-Firmen werden sich hüten, auf solche Daten zuzugreifen. Wegen Diebstahl von geistigem Eigentum vor Gericht zu landen riskiert das kein westliches Unternehmen. Einzig den Chinesen dürfte das in der Hinsicht ziemlich egal sein.

 

[Riegelstriegel]

Naja, warum sollte die Daten sicherer sein, als die Prozessoren, die man damit bauen kann. Immerhin ziehen sie das Muster konsequent durch.

 

[PS828]

Ich hoffe alle Beteiligten lernen etwas draus und der Rest schaut sich ab wie man es nicht macht und stellt sich dahingehend Zukunftssicher auf.

Cloud Lagerung.. wenn ich das schon höre läuft es mir kalt hinten runter. Das Gefühl Daten dort hochzuladen ist wie wenn man beim Essen versehentlich auf die Metallgabel beißt.

 

[ThePowerOfDream]

Der erste Blick:
Vieles offenbart interssante Einblicke, die aber für die übliche, News-hungrige Masse meist viel zu komplex und garantiert zu langweilig sind. Die Gefahr, mutwilligen Fäschungen aufzusitzen ist dabei enorm riesig, weil man aktuell nichts wirklich verifizieren kann. Einiges kann man auch bei den Boardpartnern abholen, es ist also nicht wirklich alles hochbrisant. Manches aber schon und da ist man wieder bei den Fälschungen. Inwieweit Intel jezt pro-aktiv versuchen wird, selbst Modifikationen in Umlauf zu bringen, um das Bild zu verwässern, kann man nicht anschätzen. Ich halte mich da erst mal raus

Aber ich hab noch was, das allerdings noch verifiziert werden muss. Hat drei Buchstaben

lass uns doch nicht dumm sterben Igor. Ich hab doch nicht mehr so lange, lass die katze mal aus dem Sack ^^

 

[DKK007]

Könnte natürlich auch Taktik sein sowas über die Presse zu melden. Vielleicht kommt ja demnächst ne große Intel Lücke und dann können die sagen, dass das an diesen "verloreren" Daten gelegen hat.

Oder es werden diesmal Lücken in TigerLake gefunden und Intel kann die dafür zumindest noch vor Release schließen.

 

[Piktogramm]

Das wäre extrem dämlich von AMD sie sollten im Gegenteil allen Mitarbeitern strikt untersagen auch nur einen flüchtigen Blick darauf zu werfen. Nur weil die Daten geleakt wurden dürfen sie trotzdem nichts davon verwenden sonst droht beim kleinsten Verdacht eine Klage.

Nein, gerade US-Firmen werden sich hüten, auf solche Daten zuzugreifen. Wegen Diebstahl von geistigem Eigentum vor Gericht zu landen riskiert das kein westliches Unternehmen. Einzig den Chinesen dürfte das in der Hinsicht ziemlich egal sein.

Ihr habe eine sehr romantische Vorstellung (westlicher) Industrie. Die besten und vor allem ersten Kunden jeden Produktes ist immer die Konkurrenz, die fröhlich Reverseengineering betreiben. Da mag es auch offiziell Ansagen geben, dass irgendwas nicht erlaubt sei, und gleichzeitig gibt es eine Schatten IT[1] die genau jene Daten vorhält.
Zudem ist die private Neugier vieler Techniker sehr groß bei gleichzeitig geringer Achtung gegenüber etwaiger Schutzrechte großer Unternehmen.
Und Klagen sind vergleichsweise unwahrscheinlich. Bei Klagen gegen Reverseengineering fängt man sich sofort eine Gegenklage. Klagen gegen den unrechtmäßigen Besitz von Daten sind kaum nachweisbar und damit keine Grundlage für Klagen. Bleiben nur Klagen, wenn man irgendwo 1 zu 1 von z.B. Firmware findet. Sowas kommt aber selbst in China mittlerweile recht selten vor.

[1] Server/Netzwerk als Insellösung, läuft gern mal außerhalb der firmenübergreifenden, offiziellen IT. Falls mal jemand fragt was das soll, wird sowas als Testumgebung oder Insellösung für R&D ausgezeichnet.

 

[Alpha.Male]

Gibt es die irgendwo komplett zum Downloaden ? (Frage für eine "Freundin" names L.S. )

//Ist natürlich nicht ernst gemeint, liebe Mods. Den Permanentban-Hammer könnt ihr also stecken lassen...


@ Topic: Ob da wohl einer aus der dortigen IT Federn lassen muss ?

Paswörter:
"intel-schlaeft-7nm"
"ryz3n-schlaegt-c0re"
"amd-beats-intel-2020"
"intel-leak-2020-08"
...

 

[Tada100]

Ich erstelle ein sicheres Passwort in 2 Sekunden:

Ein Kleinkind (~ 3 Jahre) bist du aber nicht oder? Das wäre nähmlich erstaunlich für das Alter.
Mal von der bescherschung der Schrift usw. ganz zu schweigen.

Jeder halbweges kompetene Mensch kann eine Zeichenfolge in 2 sek. hinklatschen um es als PW nutzen, ob er sich das dann auch merken kann ist die Frage. Die idee der Verschlüsselung mit -2 ist ja schonmal ein guter Anfang.

 

[Bigfoot29]

Hat sich Intel wieder nicht an die Sicherheitsempfehlungen gehalten...
--> https://www.der-postillon.com/2014/04/sicherstes-passwort.html

Regards, Bigfoot29

 

[Bob.Dig]

Vermutlich steckt der Geschasste von vor ein paar Tagen dahinter.

 

[Enigma]

Cloud Lagerung.. wenn ich das schon höre läuft es mir kalt hinten runter. Das Gefühl Daten dort hochzuladen ist wie wenn man beim Essen versehentlich auf die Metallgabel beißt.

Mit der Erfindung des Autos war die Entwicklung nicht mehr aufzuhalten. Bei steigender Nutzerzahl und immer höhrer Geschwindigkeit kamen auch immer mehr Todesopfer im Strassenverkehr zustande. Man musste gegensteuern und Sicherheitsstandards setzen. Heute setzen wir bei Autos Umweltstandards was offensichtlich kein einfaches Unterfangen ist.

Bei der Nutzung von Cloud-Serviceangeboten wird es genau so sein. Das kannst weder du noch sonst irgendjemand verhindern, das rollt gerade mit voller Wucht über uns und deine Kinder werden nicht mehr verstehen, warum man es anders machen sollte. Man muss es aber richtig nutzen und gewisse Sicherheitsstandards durchsetzen. Die DSVGO ist ein guter Schritt in diese Richtung

 

[Marcel55]

ob er sich das dann auch merken kann ist die Frage

Natürlich nicht, aber das ist auch nicht unbedingt gefordert. Passwörter, die wirklich sicher sind, kann man sich kaum merken.
Selbst wenn man diese z.B. aus irgendwelchen Sätzen bildet die man sich vielleicht besser merken kann, folgt so ein Satz immer noch einer Grammatik, die in gewisser Weise ableitbar ist.

Die Frage ist: Wie sicher muss das Passwort für diesen Zweck sein? Um einen Forenaccount o.ä. abzusichern braucht man gewiss kein Passwort was man auch am Eingang zu Fort Knox verwenden könnte. Anders sieht das aus, wenn man mit diesem Passwort hochbrisante Firmendaten absichern möchte. Da sollte es möglichst sicher sein, und muss man sich nicht unbedingt merken können, wenn man es dafür anderweitig sicher aufbewahren kann.
Ein Passwort ala intel1234 zu verwenden...ist eigentlich an Lächerlichkeit nicht zu überbieten. Damit kann man die Sitzung auf einem privaten Spieleserver absichern, aber Daten?
Das einzige Argument was dafür spricht, ist, dass das Passwort so einfach wäre, dass niemand auf die Idee kommt, man würde ein so einfaches Passwort verwenden. Hat aber scheinbar nicht funktioniert

 

[chithanh]

Ian Cutress von Anandtech schreibt, dass entgegen Intels Beteuerungen doch persönliche Daten von Intel-Partnern im Leak sind, und zwar die von NDA-Unterzeichnern.

https://twitter.com/IanCutress/status/1291683194106978305

Zum Thema intel123 ist die aktuell diskutierte Theorie, dass das gegen übereifrige Antivirensoftware gedacht ist, die in passwortgeschützte Archive nicht reingucken kann.

https://twitter.com/usmanpirzada/status/1291644503363850240

Schließlich ist die Erklärung, dass die Daten von einem Nutzer des Intel Resource and Design Center heruntergeladen wurden, ziemlich suspekt. Wozu sind offizielle Präsentationsvorlagen da drauf? Und die Daten der NDA-Unterzeichner? Die Intel-Partner geht das doch gar nichts an.

Die besten und vor allem ersten Kunden jeden Produktes ist immer die Konkurrenz, die fröhlich Reverseengineering betreiben.

Reverse Engineering ist auch erlaubt. Geschäftsgeheimnisse ausspähen jedoch nicht.

 

[P4P800]

In der Cloud sind eure Daten sicher

 

[jemandanders]

Passwörter, die wirklich sicher sind, kann man sich kaum merken.

Wofür gibts denn eigentlich Passwortmanager? Wie beispielsweise KeePass?
Ein einigermaßen sicheres Passwort sieht dann ungefähr so aus:

Zugriff auf die Datenbank nur mit Schlüssel vom Stick + Passphrase.
Schade nur, das viele Webanbieter, wie beispielsweise google, die Länge auf unter 100 Zeichen begrenzen.
Den Vogel schießt ja die Telekom mit max. 15 Zeichen ab.
Aber solange die Seite das zulässt, mach ich das auch so wie oben.
Bloß niemand in Versuchung führen

 

[Piktogramm]

@chithanh
Das stimmt so nicht!
In den USA ist vieles nicht gesetzlich geregelt sondern obliegt der Vertragsfreiheit. In den extrem langen EULAs steht deswegen auch immer was von "do not hack, do not disassemble, do not ...". Zumindest solang es sowieso keine OSS-Lizenz ist[1]. In der EU wurde die Direktive DIRECTIVE 2009/24/EC [2]und in Bezug auf disassembly von Software Artikel 6. Da gibt es eine klare Bindung an bestimmte Zwecke, das was die Industrie untereinander betreibt liegt oftmals außerhalb dessen.
Außerhalb von USA und EU ist es mir gerade zu aufwendig. Ich würde erwarten, dass es da auch was von der WTO gibt. Die Formulierungen der WTO sind aber zu oft schwer bekömmlich, die Texte aus der EU sind dagegen nahezu Prosa..

[1] Die meisten OSS Lizenzen sind im Vergleich zur propritären EULAs geradezu kurz und leicht verständlich...
[2] Sollte von allen Mitgliedsstaaten in nationalem Recht implementiert sein


@Summerbreeze
Das bringt halt gar nix, wenn man Daten teilen will. Wenn man da nicht für jeden Berechtigten das Archiv mittels individuellem Passwort anbieten will, kommt halt sowas bei raus.

Zur allgemeinen Passwortsicherheit, die meisten Bibliotheken zum Hashen von Passwörtern würden einen solchen String sowieso auf ein sinnvolles Maß einkürzen. Bcrypt zum Beispiel auf 56Byte (https://www.usenix.org/legacy/events/usenix99/provos/provos_html/node4.html), schon allein um DDoS mittels überlanger Passwörter vorzubeugen.
15 Stellen Passwort sind bei zufälligem alnum auch ~90bit Entropie. Mit gescheitem, gesalzenem Hash ist das ausreichend.

 

[chithanh]

In den USA ist vieles nicht gesetzlich geregelt sondern obliegt der Vertragsfreiheit.

Ja, aber wenn man die Sache nur kauft, dann geht man damit keine EULA ein. Und dann kann man sie reverse engineeren, was für Zwecke der Interoperabilität sogar dann erlaubt ist, wenn man einem EULA zugestimmt hat der etwas gegenteiliges sagt.

Aber keine EULA-Zustimmung sondern direkt die Speicherbausteine ausgelesen -> kein Problem.