News Intel ZombieLoad: Hyper-Threading sorgt erneut für große Sicherheitslücken

Sunjy Kamikaze schrieb:
müsste ich glatt mal testen wie sehr dich das überhaupt auswirkt. Bei 6-12 Kernen.
Das Hauptproblem ist schlicht, das sich 2 virtuelle Kerne einen physischen teilen.
Bei einem 2-Kerner mit Multithreading sieht das so aus:
Core 1: CPU0, CPU1
Core 2: CPU2, CPU3
Wenn jetzt eine Anwendung keine 4 Threads sondern nur 2 auslasten kann, muss man diese CPU0/2 oder CPU1/3 zuordnen, sonst laufen beide Prozesse auf einem Kern und müssen sich die Ressourcen teilen, währen die hälfte des Prozessors ungenutzt bleibt. Der Windows-Scheduler ist notorisch für derartigen Unsinn, weswegen insbesondere Programme die nur eine begrenzte Anzahl an Threads benötigen auf Prozessoren ohne MT oft schneller laufen als auf Prozessoren, die dieses Feature haben.

Je mehr Threads aber ein Programm auslasten kann, je besser performen Prozessoren mit MT. Der Scheduler des Betriebssystems spielt also die wichtigste Rolle darin, die Ressourcen so zu verteilen, dass immer die höchstmögliche Leistung des Prozessors abgerufen wird. Macht dieser seine Arbeit richtig, muss man auch nicht MT deaktivieren um derartige Performanceverluste zu verhindern.
 
Müritzer schrieb:
Bestechungsversuch gescheitert!?

Sollte sich diese Nachricht als echt erweisen, dann hat Intel aus den vergangenen Bestechungsaffären nichts gelernt.

https://www.techpowerup.com/255563/...ty-to-suppress-knowledge-of-mds-vulnerability

Wär ja mal ganz was neues ;). Diese Firma kommt mir mittlerweile so vor wie ein Dieb, der ab und zu mal beim Stehlen erwischt wird, stets Besserung gelobt, aber es dennoch immer wieder aufs neue versucht. Offenbar scheint das ja auch recht gut zu funktionieren.

Dazu paßt dieser unprofessionelle Umgang mit Zombieload. Seit Monaten bescheid gewußt aber halt erstmal darauf gehofft, daß die ganze Sache schon nicht auffliegen wird. Ob dieser Bestechungsversuch nun wahr ist oder nicht ist imho ersteinmal zweitrangig. In der Zwischenzeit konnte man bequem die Hardware der aktuellen Prozessoren fixen und die Softwarepatches für die älteren CPUs entwickeln. Tja, nun ist es aber eben doch aufgeflogen und alles ist wieder gut, Patche waren ja sofort vorhanden. Ich wage einfach mal die Behauptung - Fortsetzung folgt.

Lg,

Ice
 
  • Gefällt mir
Reaktionen: Müritzer
yummycandy schrieb:
ThunderX2 von Cavium z.B.
Ok, aber dieser Chip ist erst seit ein paar Monaten überhaupt auf dem Markt u. dürfte bislang nur in relativ wenige Rechner verbaut worden sein.
Ausserdem steht nicht fest dass diese Implementierung in derselben Weise anfällig ist wie die von Intel.
 
@Iceberg87

Wer weiß schon wie viele Lücken noch schlummern die nicht veröffentlicht wurden weil die „Prämien“ gezahlt und angenommen wurden. Besonders gravierend wären Hardware Lücken die nicht durch Patches geschlossen werden können und die ganze Architektur kompromittieren könnte.
 
  • Gefällt mir
Reaktionen: yummycandy und Iceberg87
@Unnu

Vielleicht gab es ja schon was schlimmeres, aber die das entdeckt haben dürfen durch die NDA der NDA nichts sagen. Sollte so was raus kommen war die Watergate Affäre oder der Contra Skandal ein Dreck dagegen, vor allem wenn diese Lücken schon ausgenutzt wurden, aber die Lücke nicht bekannt wurde, da sie unter NDA steht.

Egal was passiert Intel macht so weiter und wird auch weiterhin gut gekauft. Da muss schon was passieren das die Sicherheit einer ganzen Nation gefährdet, sogar dann wird sich Intel raus winden.
 
WinnieW2 schrieb:
Ok, aber dieser Chip ist erst seit ein paar Monaten überhaupt auf dem Markt u. dürfte bislang nur in relativ wenige Rechner verbaut worden sein.
Ausserdem steht nicht fest dass diese Implementierung in derselben Weise anfällig ist wie die von Intel.
Es ging nur darum, daß es auch ARM-Chips mit SMT gibt. Und diese Lücke betrifft ARM zwar nicht, aber Spectr sehr wohl.


Btw. Es gibt Benchmarks für Linux, inkl. der aktuellen Fixes: https://www.phoronix.com/scan.php?page=news_item&px=MDS-Zombieload-Initial-Impact
 
Krautmaster schrieb:
hier sind es ne ganze Ecke mehr VMs, und dennoch wäre es bei 99% davon absolut irrelevant welche VM von welcher mitsnifft. Ist ja nicht so als ob da jede Firma mit Nuklearcodes hantiert. ;)

Und nein, mit der Meinung stehe ich hier sicher nicht allein dar. Bisher hält sich hier die Meinung dass es (noch)
wie schön das nichts wichtiges in eurer Firma abläuft :D
aber für Cloud Anbieter die die Sicherheit ihrer Kunden garantieren wollen / müssen sind diese Lücken ein rotes Tuch und AMD wird der lachende dritte sein , denn mit Rome kommt nicht nur ein mehr als konkurrenzfähiger Server Prozessor , er hat auch diese Lücken nicht ... . Die paar bekannten Lücken dürften beim Rome in der Hardware gefixt worden sein .
 
  • Gefällt mir
Reaktionen: Sennox und emulbetsup
Unnu schrieb:
@Müritzer Also sowas wie Meltdown, YAMD oder Zombieload?
Jaein. Gerade solche Sachen wie Ring Privilege Escalation sind sehr gefährlich. Die können bequem von jedem Programm aus erfolgen und sind nicht protokollierbar. Mit solch einer Lücke kannst du übrigens auch den PSP oder die IME außer Gefecht setzen. AFAIK wurden damit der Kopierschutz der Playstation umgangen.
 
Na zum Glück hat der i7-9700k kein hyperthreading :)

Wenn Huawei der Hersteller wäre, würde die USA gleich einen Importstop veranlassen ;)
 
  • Gefällt mir
Reaktionen: Iceberg87, Unnu und Krautmaster
yummycandy schrieb:

Uups, sind ja teilweise schon ganz schöne Performanceeinbrüche. Meistens zwar nur so 3-5%, aber sind auch ein paar ganz grobe Schnitzer dabei. Getestet wurde dabei ja ein 7980XE - also Skylake-X. Generell scheinen bei stark multithreadigen Anwendungen die Leistungsverluste größer zu sein.

Ich habe bei meiner Ivy irgendwie ein ganz ungutes Gefühl - bei den älteren CPUs sind diese Patche bekanntermaßen mit größeren Einbußen verbunden. Übers WE kommt der Patch bei mir drauf, dann schau ich mal.

Lg,

Ice
 
MK one schrieb:
wie schön das nichts wichtiges in eurer Firma abläuft :D
aber für Cloud Anbieter die die Sicherheit ihrer Kunden garantieren wollen / müssen sind diese Lücken ein rotes Tuch und AMD wird der lachende dritte sein , denn mit Rome kommt nicht nur ein mehr als konkurrenzfähiger Server Prozessor , er hat auch diese Lücken nicht ... . Die paar bekannten Lücken dürften beim Rome in der Hardware gefixt worden sein .

Virtualisierung als Konstrukt ist hier aber Fluch und Segen zugleich für AMD und erschwert ihnen unter bestimmten Bedingungen auch den Eintritt in den Markt. Wenn Virtualisierung eingesetzt wird, dann in den allermeisten Fällen mehrere Hosts und diese eben dann im HA-Betrieb mit VMotion. Jetzt garantiert aber leider VMWare die fehlerfreie Funktion von VMotion nur zwischen Hosts mit dem gleichen CPU-Vendor. In großen Umgebungen tauscht man dann einfach das gesamte Cluster aus. In kleineren gewachsenen Strukturen so wie bspw. hier werden aber die Hosts nach und nach und nicht clusterweise getauscht oder die Cluster eben bei Bedarf erweitert. Das führt eben auch dazu, dass man nicht mal eben den CPU-Hersteller wechseln kann. Einmal Intel immer Intel...
 
Zuletzt bearbeitet:
  • Gefällt mir
Reaktionen: Krautmaster
Unschön wie löchrig moderne Prozessoren sind. Verwundert mich aber ehrlich gesagt auch nicht sonderlich.
Löchrig waren sie schon immer, nur dass man es bis vor einiger Zeit einfach nicht wusste bzw. man in letzter Zeit vermehrt dafür sensibilisiert wird.

Meiner Einschätzung nach ist aber die Gefahr, die von derlei Lücken ausgeht, verhältnismäßig als gering einzustufen.

Deutlich schwerer wiegen da Sicherheitslücken der Betriebssysteme bzw. Hypervisors, oder noch schlechter eines miesen/nicht vorhandenen Firewallings, die Voraussetzung dafür sind, überhaupt entsprechenden Schadcode, der diese Lücken ausnutzen könnte, zu installieren.
Noch schwerer wiegt die größte Sicherheitslücke, nämlich der User selbst.

Die Hersteller der Prozessoren sollten angehalten werden, die aufgedeckten Schwächen zeitnah in der Hardware zu fixen.
Notfalls auch durch den Verbraucherschutz. Bzw. sollte der Kunde, der einen Leistungsverlust erleidet, wenn ein Prozessor "richtig" funktioniert, eine Entschädigung fordern dürfen, wenn bewiesen wurde, dass der Hersteller wissentlich ein Risiko einging/verschwieg.
Was wiederum die Prozessoren generell teurer machen würde, weil der Hersteller sich nach dem Versicherungsprinzip etwaige Risiken und deren Abdeckung kalkulatorisch absichern müsste.
Nicht einfach das ganze....

Um ökonomisch vernünftig zu handeln, sollte es verpflichtend sein, zumindest Prozessoren der künftigen "neuen" Architektur gegen die bekannten Angriffe abzusichern.
Dass man die laufende Produktion von derlei anfälligen Prozessoren nicht von heute auf morgen stoppen kann, sollte aber auch jedem klar sein.

Ich sehe da ein merkwürdiges Verhältnis von z.B. erdrückendem Kontrollwahn in Sachen Datenschutz auf einer Seite, wohingegen man auf der anderen Seite alle Augen zuzudrücken scheint, die mit die größte Gefahr von Datenmisbrauch birgt (eben Sicherheitslücken).

Das ist wie wenn man nach vorne hin einen riesig gepanzerten und abgesicherten Tresor baut aber auf der Rückseite gibts noch eine klapprige Holztür.

Es im Interesse des Verbrauchers, dass man dort geschützt wird bzw. einfach Rechte hat.
Derzeit lachen sich die Hersteller ins Fäustchen, wenn man versucht Schadensersatzansprüche zu stellen (schon für einen Kunden versucht).

Grüße
Zero
 
Zuletzt bearbeitet:
  • Gefällt mir
Reaktionen: kisser
Iceberg87 schrieb:
Übers WE kommt der Patch bei mir drauf, dann schau ich mal
Als Privatmann würde ich's bleiben lassen. Diese HW-Issues kann man via Software nicht fixen. Intel muss schon eine neue Arch liefern. und bis die kommt dauert es halt.
Ergänzung ()

ZeroZerp schrieb:
Die Hersteller der Prozessoren sollten angehalten werden, die aufgedeckten Schwächen zeitnah in der Hardware zu fixen.
Notfalls auch durch den Verbraucherschutz. Bzw. sollte der Kunde, der einen Leistungsverlust erleidet, wenn ein Prozessor "richtig" funktioniert, eine Entschädigung fordern dürfen, wenn bewiesen wurde, dass der Hersteller wissentlich ein Risiko einging/verschwieg.
Was wiederum die Prozessoren generell teurer machen würde, weil der Hersteller sich nach dem Versicherungsprinzip etwaige Risiken und deren Abdeckung kalkulatorisch absichern müsste.
Ich denke vor allem in den USA wird es da den ein oder anderen gewieften Anwalt geben, der intel über kurz oder lang die Hölle heiß machen wird.
Sieht man ja bei Monsanto. Das hat auch gedauert dort, bis die Klagewelle kam. Dafür kommt sie halt jetzt um so mächtiger.
Als intel-Aktionär würden mich diese Lücken durchaus umtreiben.
 
  • Gefällt mir
Reaktionen: Iceberg87
Irgendwie finde ich es gerade witzig das ich noch nicht den i7 3770K eingesetzt habe und noch den alten i5 2500K werkeln lasse. :lol:
 
Zurück
Oben