News Intel ZombieLoad: Hyper-Threading sorgt erneut für große Sicherheitslücken

[rg88]

Wüsste stand jetzt nicht wie Spectre / Meltdown hier in Zusammenhang stehen könnten, rein technisch / logisch.

Das System hat eine offene Sicherheitslücke. Die gilt es nur noch kreativ auszunutzen. Dass das aktuell keine Sache für einen 14-jährigen Script-Kiddie ist, sollte angesichts der Komplexität so einer Lücke eigentlich klar sein.
Dennoch klafft hier eine Lücke die jederzeit ein Einfallstor sein kann.

Und da ist es vollkommen egal, was es sonst noch für Gefahren gibt. Hier ist ein Problem vorhanden und deren Ausnutzung nur eine Frage der Zeit, wie immer bei sowas.

 

[yummycandy]

Nein, das wollte ich damit nicht ausdrücken . Selbstverständlich finde ich es gut, daß darüber berichtet wird. Ist überhaupt keine Frage. Nur wird ja oft immer so getan, als dieses Problem nur Intel allein angeht. Es betrifft aber auch AMD und ARM - wenngleich in geringerem Umfang. Wenn man 100%ig auf Nummer Sicher gehen möchte, dann darf man sich halt derzeit gar keinen PC/Notebook/Tablet/Smartphone mehr kaufen.

Es kann schon aufgrund der Komplexität keine komplett fehlerfreien CPUs geben. Die Frage ist immer nur, inwiefern diese Fehler "von außen" ausgenutzt werden können.

Ergänzung (14. Mai 2019)

Imageschaden? Bisher hat Intels Image eine Teflon Beschichtung gehabt. Selbst der allergrößte Scheisshaufen ist spurlos an Intels Image abgerutscht, ohne auch nur eine Bremsspur zu hinterlassen.
Der Kunde hat immer brav weiter konsumiert ohne zu Hinterfragen.

Das liegt vielfach aber daran, daß der normale Kunde eben überhaupt nichts von diesen Lücken weiß. Zumindest wird ihm das der Verkäufer wohl kaum direkt sagen.

 

[eSportWarrior]

In absolut jeder Firma, egal ob Klempner, Druckerei oder diverse Ämter gibt es Daten die am PC liegen, dass sind dann zum Teil auch eure Daten. Also bitte nix von Betrifft mich nicht erzählen. Die Anzahl an AMD PCs/Server kann ich btw. mit den Fingern abzählen in meiner Stadt.

Deshalb, Tellerrand bitte?

Außerdem warum sollte ich Privatnutzer hacken wenn am Markt Firmen 1000 mal gefragter sind.


Bin persönlich aber auch froh AMD gewählt zu haben. Aber das waren bei mir einfach die günstigen 8 Kerne für €300 + Mobo Support über 3-4 Generationen, da musste ich nicht nachdenken.

Dann lieber 10-20% weniger Rohleistung in Spielen, wobei paar Patches noch und dann greift wohl die FineWine Formell sogar bei CPUs

 

[Ned Flanders]

Aber das letzte was denen die dafür verantwortlich sind einfallen würde ist zb HT auf unserer Server Farm abzuschalten, da muss ich dich enttäuschen. Ist das jetzt fahrlässig?

Das kommt drauf an was auf euren Servern läuft und wo eure Praktikanten her kommen. Wenn etwas passiert war es fahrlässig, ja. Sie wussten ja ob des Risikos.

Beim Schwager am MPI für FKF in Stuttgart (Brennstoffzelle in Kooperation mit DB) war während seiner Dr. Arbeit ein Student aus China 6 Monate zum Bachelorthesis machen da, von dem sich nachher rausgestellt hat, dass er längst Ingenieur war. Da gehts schnell....

 

[Krautmaster]

mir machen da Lücken und Gefahren die ich nicht direkt sehe / kenne mehr Angst. Wie ich schon sagte, ich denke die passiven Schäden hier sind größer als der direkte Schaden durch Angriffe. Performanceverlust, überhastete Neukäufe mit Datenverlust, Panikattacken, bei manchem hier vermutlich sogar regelrechte Traumata und schlaflose Nächte.

Und die eben genannten Schäden zählen durchaus auch, deswegen ist die Lücke bzw das ganze Konstrukt natürlich kacke. Weniger für mich, aber zb für die Umwelt da nun mehr CO2 Ausstoß da jede Intel CPU mit Patch etwas ineffizienter wird

Ergänzung (14. Mai 2019)

Das kommt drauf an was auf euren Servern läuft und wo eure Praktikanten her kommen. Wenn etwas passiert war es fahrlässig, ja. Sie wussten ja ob des Risikos.

sie wegen das Risiko ab, haben sich entschieden, fertig. Das mach ich ja auch wenn ich zb überlege ob ich USB Sticks am Arbeitsplatz gestatte oder nicht. Das ist zB ne in meinen Augen noch viel kritischere Entscheidung und nen weit größeres Einfallstor.

 

[Stuxi]

Nur wird ja oft immer so getan, als dieses Problem nur Intel allein angeht.

Eigentlich gar nicht.
Es ist aber nunmal nicht von der Hand zu weisen, dass bei Intel immer mehr Sicherheitslücken auftreten, während man zu diesen bei AMD nichts hört.
Und wenn ich dann lese, dass empfohlenen wird bei meinen sauteuren i7 oder i9 das HT abzuschalten würde ich mich langsam fragen warum ich eigentlich so viel Geld für eine HT-CPU bezahlt habe.

Zumal Intel ja nicht erst seit gestern davon weiß wie ein paar Beiträge vor mir schon erklärt wurde.
Interessiert aber halt irgendwie keinen.
Da wird dann wegen ein paar FPS mehr (in irrelevanten Regionen) trotzdem Intel gekauft und sowas billigend in Kauf genommen.

 

[SyntaX]

Wie ich es bisher verstanden hab muss zum ausnutzen der Lücken der Rechner kompromittiert werden. Ob man sich einen Trojaner mit oder ohne Lücken einhandelt, Daten werden in beiden Fällen ggf. geklaut.

Oder verstehe ich etwas falsch ?

 

[Krautmaster]

Wie ich es bisher verstanden hab muss zum ausnutzen der Lücken der Rechner kompromittiert werden. Ob man sich einen Trojaner mit oder ohne Lücken einhandelt, Daten werden in beiden Fällen ggf. geklaut.

Oder verstehe ich etwas falsch ?

in virtuellen Framen reicht es theoretisch aus eine Instanz zu kapern die dann zb den Ram anderer Systeme ausliest.

 

[rg88]

mir machen da Lücken und Gefahren die ich nicht direkt sehe / kenne mehr Angst.

Ähm... genau so eine Lücke ist doch ein Hardwarebug Sogar der schlimmste, den man sich vorstellen kann, weil sich eine Infektion der Hardwarefirmware absolut nicht auf deinen Rechner auswirken muss und du es eventuel sogar niemals merkst.

 

[Ned Flanders]

sie wegen das Risiko ab, haben sich entschieden, fertig.

Also ganz ehrlich... bevor ich das abwäge bei dem potentiellen Schaden den mein Unternehmen durch das Abgreifen von Daten erlangen kann, stell ich mir doch lieber nochmal einen Server daneben und schalte HT ab. Das sind doch Peanuts im Vergleich! Was kostet so ne Pizzaschachtel?

 

[yummycandy]

mir machen da Lücken und Gefahren die ich nicht direkt sehe / kenne mehr Angst. Wie ich schon sagte, ich denke die passiven Schäden hier sind größer als der direkte Schaden durch Angriffe. Performanceverlust, überhastete Neukäufe mit Datenverlust, Panikattacken, bei manchem hier vermutlich sogar regelrechte Traumata und schlaflose Nächte.

Ich halte die Gefahr für ziemlich groß, daß noch niemand etwas von einem möglichen Angriff weiß. Bisher konnte man ja nur von bekannten Schadprogrammen auf die Verbreitung schließen. Die üblichen Verdächtigen werden aber sehr wohl Lösungen suchen um an Informationen von ausgewählten Zielen zu kommen. Bis allerdings Script-Kiddies diese Lücken ausnutzen, dürfte es schon noch eine Weile dauern.

 

[SyntaX]

in virtuellen Framen reicht es theoretisch aus eine Instanz zu kapern die dann zb den Ram anderer Systeme ausliest.

Aber als Privatanwender lag ich da richtig ?

 

[yummycandy]

Wie ich es bisher verstanden hab muss zum ausnutzen der Lücken der Rechner kompromittiert werden. Ob man sich einen Trojaner mit oder ohne Lücken einhandelt, Daten werden in beiden Fällen ggf. geklaut.

Es reicht eigentlich schon ein Programm aus, welches mit Userrechten läuft. Diese Lücken sind eben so gefährlich, weil sie Dinge erlauben, die nur mit höheren Rechten möglich sein sollten.

 

[Krautmaster]

@Ned Flanders

wie du schon schriebst, kommt auf die Daten an und das was drauf läuft. Und das wurde sicher auch gegen Kosten für weitere Server / Lizenzen abgewogen. Peanuts sind das sicher nicht zwangsläufig.

Irgendwann ist es vielleicht auch einfacher jemand mit Admin Zugriff ein paar Scheine in die Hand zu drücken um genau die gewünschten Daten abzuziehen als Mio in die Implementierung eines Angriffes zu stecken.

Edit: in jedem Produkt hat es Schwachstellen, genauso wie es perfekte Sicherheit nicht gibt. Man kann Defekte auch dulden, wenn man sich selbst der Entscheidung nicht mächtig genug fühlt wirds eben bis oben eskaliert. Meinst du bei unseren Automobil Konzernen usw ist nun auf der virtuellen Farm überall SMT / HT deaktiviert? Ich bezweifle es.
Am ehesten noch bei den Cloud Betreibern und Banken.

 

[rg88]

Aber als Privatanwender lag ich da richtig ?

Leider nein. Potentiell kann man sich entsprechenden Schadcode auch über eine infizierte Website einfangen. Es muss niemand davor deinen Rechner irgenwie manipuliert haben. Der Rechner ist ja bereits "offen", da bedarf es keiner weiteren Komprommitierung.
Wenn der Speicherzugriff von einem Prozess zum anderen nicht mehr gesichert ist, dann ist potentiell jede Website eine enorme Gefahrenquelle. Egal welcher Virenscanner und egal ob Windows oder Linux.

Ergänzung (14. Mai 2019)

Irgendwann ist es vielleicht auch einfacher jemand mit Admin Zugriff ein paar Scheine in die Hand zu drücken um genau die gewünschten Daten abzuziehen als Mio in die Implementierung eines Angriffes zu stecken.

ich meine dein Ablenken und die Releativierung des Kernproblems deinerseits echt schockierend. Fanboy, Social Marketing Beauftrager oder wo genau drückt der Schuh, dass du so verquere Diskussionstrukturen reinbringen musst, damit du das Thema kleinredest?

 

[McFly76]

Ach wieder diese Augenwischerei von INTEL !
Vier Bilder zum Leistungsvergleich können doch nicht Ernst gemeint sein ?
Also wenn INTEL etwas zeigen möchte dann bitte alle CPU-Generationen bis zum "Sandy Brindge" runter.
Für mich war nach dem BIOS Update und Patches der Leistungsverlust sowohl auf dem "Xeon 1230 v2" als auch auf dem "i7 4770" zu stark gewesen und ein Hauptgrund zum Umstieg auf AMD Ryzen.
Und ich hab immer große Bedenken zu öffentlichen CPU Tests seitens der Medien die auch nur einen geringen Performanceverlust bei INTEL bescheinigen, nach dem Motto "ist doch gar nicht so schlimm".

 

[Ned Flanders]

wie du schon schriebst, kommt auf die Daten an und das was drauf läuft. Und das wurde sicher auch gegen Kosten für weitere Server / Lizenzen abgewogen. Peanuts sind das sicher nicht zwangsläufig.

Korrekt, aber Ihr müsst ja vor der letzten Anschaffungsrunde auch schon Server am laufen gehabt haben und die waren nehme ich an auch 30% langsamer. Anyway.... Ist ja nicht mein Bier.... Aber ich empfinde sowas als fahrlässig... einfach von der Sicherheitskultur her.

Das hat was von Krankenhaus Hygiene. Entweder man hat da ein Konzept, oder man hat halt keins. So ein bischen Sicherheitsdenken in der heutigen Zeit ... naja anyway...

 

[Krautmaster]

ich denke halt gern über das nach was verbreitet wird und pauschalisiere nicht jedes Einfallstor zur Hiobsbotschaft schlechthin. Ich sage ja auch nicht man soll die Sache ignorieren und ich sag auch nicht dass jeder und jede Firma mit nem ungepatchen System auskommt und nichts zu befürchten hat.
Man muss aber wie bei jeden potentiellen Risiken abwiegen und ich nehme an das werden unsere Admins schon gemacht haben, und die vieler anderer Firmen, es ist ja nicht das einzige geschweige Denn das relevanteste Sicherheitsproblem vor dem Firmen heute stehen.
Es dürfte sich in nem normalen Betrieb sogar ziemlich weit unten einreihen.

5% Performance Verlust sind in vielen Firmen sicher teurer als den Schaden den man mit den Lücken ausrichten könnte. Sicher, schwer zu beziffern, das eine betrifft einen aber direkt, das andere "möglicherweise".

 

[FGA]

Ich versteh den Aufreger nicht. Was soll passieren? Soll die CPU explodieren und die Splitter dein Augenlicht zerstören? Oder wo ist da jetzt das Problem?

Datenklau kanns ja auch nicht sein, da jeder mit Smartphone sowieso alles offenlegt, Oder?

 

[Piak]

Wie viel Leistung ich mit meinem i7 7700k mittlerweile wohl verloren habe..

Ich schreibe Algorithmen, und teste auf einem Intel Rechner, bei selbem Source Code, trotz aller Versprechen dass Intel CPU's nicht langsamer werden, Leistung in der Größenordnung von 20% verloren.