News Linux-Spectre-V2-Patch: 50 Prozent weniger Leistung oder SMT deaktivieren

[rony12]

Weil der Privatanwender außer "Webcode" halt keinen fremden Code ausführt den er nicht selbst auf seine Kiste gebracht hat und da die Browser längst abgesichert wurden ist die Lücke für private Rechner so gut wie nicht relevant. Davon ab dass es wohl bis heute keinen tatsächlichen Angriff überhaupt gab.

webassembly ... mediencodecs (container)... grafikdateien .... Dokumente (z.b. PDF) ... webGL ....

 

[Bob.Dig]

Ja das meinte ich alles mit Webcode in Anführungszeichen und das andere sind ja wiederum exploits die man dann sowieso auch für was anderes nutzen könnte... also kein valider Punkt. In allen Papers wird daher von mehren Anwendern auf dem selben Rechner gesprochen und privat ist das halt eher kein Problem.

 

[cbtestarossa]

Bob glaubt uns nichts ^^
Was wenn jemand eine App installiert die einfach tagelang nur mitliest bzw. im RAM herumstochert
bis sie etwas passendes gefunden hat und das dann raus sendet?

 

[Bob.Dig]

Bin ein Freigeist. ^^

 

[D708]

Was an mir als Laie bei der gesamten Berichterstattung bisher vorbeigegangen ist: Ist das alles ein Problem für Privatnutzer für ihren Spiele- und Heimbüro-Rechner?

So wie ich das verstanden habe, geht es bei der SMT Lücke vorallem darum, dass man mit einem gekaperten Thread, den anderen Ausspähen kann und bei Intel sogar Ausführen von Schadcode im andern Thread auf dem gleichen Kern. (SMT = 2Threads auf einem Kern)
Um es klarer zu machen, eine gekaperte VM kann eventuell eine NachbarVM ausspähen und manipulieren.
Und da liegt der Knackpunkt. Als durchschnittlicher DAU hat man sowieso nur ein Hostsystem. Ist das gekapert, ist man so oder so am Arsch. Deshalb hat es keine nähere Relevanz für den Privaten Anwender ohne VMs.

Als VM Hoster könnte man auch den VMs feste Kerne zuweisen. Ist natürlich für die BigPlayer keine Alternative, die fahren mit dynamischer Last deutlich besser. Aber als kleiner lokaler VMHosterBubi, bei der man die erwartbare Last abschätzen kann, ist es ein erster Workaround.

Ergänzung (20. November 2018)

Seit wann bringt SMT bzw. Hyperthreading 50% Mehrleistung?
Alle Benchmarks welche ich bislang gesehen habe besagen dass SMT weit weniger als diese 50% mehr an Rechenleistung bringt.
Es sind bestenfalls 40% u. das schaffen auch nur ausgewählte Programme; in den meisten Fällen ist es weniger.

Wenn den auch. Der Cache erhöht sich doch nicht einfach so, z.B. Es laufen einfach nur zwei Threads „fast“ parallel. Das Teil kann im Prinzip nur „schneller“ Rechnen, aber bekommt den dreck nicht schneller in den Speicher oder in die Controller. Die Power des Rechenwerkes erhöht sich. Aber das war es dann auch „schon“.

 

[cbtestarossa]

Als durchschnittlicher DAU hat man sowieso nur ein Hostsystem. Ist das gekapert, ist man so oder so am Arsch. Deshalb hat es keine nähere Relevanz für den Privaten Anwender ohne VMs.

Wenn es um ausspähen geht auch. Einen Keylogger finden vllt sogar das AV Programm.
Aber was ist wenn App1 die Passwörter und Daten von BankApp2 rausfindet?

 

[druckluft]

Was wenn jemand eine App installiert die einfach tagelang nur mitliest bzw. im RAM herumstochert
bis sie etwas passendes gefunden hat und das dann raus sendet?

Wenn normale Schadsoftware von AV Scannern abgefangen wird, warum nicht dann auch solche Apps? Geht ja schon mal los, dass man nicht einfach alles ins Blaue hinein installiert...

 

[D708]

Wenn es um ausspähen geht auch. Einen Keylogger finden vllt sogar das AV Programm.
Aber was ist wenn App1 die Passwörter von BankApp2 rausfindet?

Ich sag mal so, durch dieses Lücke hier angesprochen kann man den Cache+RAM eines anderen Threads auslesen. Falls man so ein Programm sowieso auf dem Rechner hat, das darauf Zugriff hat, ist diese Lücke Pups egal. Dann ist das Hostsystem schon infiziert und der „Hacker“ hat so oder so Zugriff auf sämtlichen Cache.

Das perfide an der Lücke ist doch, als Nutzer eine VM kann ich so hohe Sicherheitsstandards an den Tag legen wie nur möglich. Kümmert sich der Nachbar ein scheiss um seine VM, ist man dran.

Edit:
So wie ich das verstanden habe, braucht am zum Ausnutzen dieser Lücke sowieso Zugriff auf den Speicher. Die Lücke öffnet nicht generell den Zugriff auf den Cache sondern auf Teile des Caches, die eigentlich garnicht genutzt werden vom eigentlich Thread. Würde das Hostsystem soweit gekapert, dass der Hacker Zugriff auf den Cache hat, hat er sowieso alle Daten.

 

[WinnieW2]

Nee du kannst ja auch BIOS Updates einspielen.

Woher nehmen? Besonders bei Notebooks, wenn der Gerätehersteller bereits den Support eingestellt hat.

Die Microcodes liefert M$ halt selber auch noch aus.

Ja, aber das hat doch nichts mit dem BIOS zu tun. Die Microcode-Updates sind in einer Datei welche beim Booten von Windows zur CPU geschoben werden; diese befinden sich nicht im BIOS.
Und Nutzer von Windows 7 haben bislang gar keine Microcode-Updates erhalten, nur Nutzer von Windows 10 werden versorgt.
Ich habe für meinen älteren Rechner mit Windows 7 noch keine Microcode-Updates erhalten, nur ein Betriebssystem-Update welches gegen Meltdown schützt; gegen Spectre jedoch gar nichts.

 

[cbtestarossa]

Naja so ist das denk ich nicht dass App1 gleich mal automatisch Zugriff auf allen Cache hat.
Außerdem kann man ja gewisse Programme in Sandboxen laufen lassen.
Und dann wäre so eine Lücke halt doof.
Außerdem stellt sich mir gleich wieder die Frage ob Ram Verschlüsselung da etwas bringen würde.
AMD hat das glaub schon teilweise in die CPU integriert.

Wenn normale Schadsoftware von AV Scannern abgefangen wird, warum nicht dann auch solche Apps? Geht ja schon mal los, dass man nicht einfach alles ins Blaue hinein installiert...

1. erkennt ein AV nicht alles und wenn ein Programm sich unauffällig verhält auch nicht.
2. Gab es schon genug Software die Daten sammelten. Und Leute installieren extrem viel.
Bischen mit FreeSuperCandyCrasher locken und woop schon is passiert.
3. Nicht mal Programme aus offoziellen AppStores sind sicher. Glaub das ja nicht.

 

[WinnieW2]

Wenn den auch. Der Cache erhöht sich doch nicht einfach so, z.B. Es laufen einfach nur zwei Threads „fast“ parallel. Das Teil kann im Prinzip nur „schneller“ Rechnen, aber bekommt den dreck nicht schneller in den Speicher oder in die Controller. Die Power des Rechenwerkes erhöht sich. Aber das war es dann auch „schon“.

SMT bzw. Hyperthreading ist ein Trick Recheneinheiten der CPU auszulasten welche gerade nicht ausgelastet sind.
Konkurieren zwei Threads um dieselbe Recheneinheit dann kann die CPU nicht schneller werden,
aber eine CPU hat mehrere spezialisierte Recheneinheiten (z.B. 2x AGU, 3x ALU) u. falls ein Thread nicht alle auslastet können die ungenutzten Recheneinheiten durch einen anderen Thread genutzt werden.
Es kommt auch öfters vor dass die CPU auf Daten warten muss welche gerade nicht im Cache vorhanden sind, da können Daten welche sich bereits im Cache befinden von einem anderen Thread verarbeitet werden.

Ich will damit sagen dass SMT v.a. dann etwas bringt wenn die CPU gerade auf Daten aus dem RAM warten muss oder wenn ein Thread nicht alle Recheneinheiten auslastet.

 

[emulbetsup]

Manchmal wundert man sich hier mal mehr und mal weniger. Da beschwert sich der eine über die Zunahme von Webapplikationen, weil dann mehr im Browser läuft und der ja angreifbar wäre. Dinge würden dadurch komplexer werden und schwerer zu kontrollieren. Ob das besser wird wenn man für sämtliche Client-Server-Anwendungen, die jetzt ein Webfrontend haben, einen "klassischen" Client programmiert? Für alle relevanten Systeme? (Windows, IOS, Android und vielleicht sogar Linux)? Wohl eher nicht.

Dann gibt es den anderen Teil, der sich wohl nichtmal so wirklich vorstellen kann, was denn so eine virtuelle Maschine macht und sich auch sicher ist, dass er von sowas nicht betroffen ist. Sind ja sicherlich alles dedizierte Maschinen im Netz und in der Cloud, die eure Daten verarbeiten, nicht?

Am meisten verwundert mich aber der eine oder andere hochdekorierte IT-Professional hier. Natürlich gibt es leichter auszunutzende Lücken und natürlich sind Oma Maiers Daten wohl meistens uninteressant, aber wie sieht es mit den Daten von allen Oma Maiers aus? Was hier in der ganzen Diskussion nämlich imho nicht entsprechend gewürdigt ist, ist die Reichweite dieser Lücke. Verglichen mit den heterogenen Patchständen von Windows/dem Acrobat Reader/Adobe Flash/Candy Crush Saga etc. wo mal das eine oder auch das andere Protokoll oder der eine oder andere Dienst eine Lücke hat, ist unsere Hardwareinfrastruktur extrem homogen. Selbst wenn man davon ausgeht, dass die Lücke auf verschiedenen Prozessorgenerationen unterschiedlich auszunutzen ist, sind in der Praxis nur wenige Generationen relevant. Deshalb sollte sehr wohl davon ausgegangen werden, das hier extremer Aufwand von Seiten Krimineller betrieben wird, eben diese Lücken auch bei Privatanwendern nutzbar zu machen. Es geht hier nicht um die Daten von Oma Maier, sondern eben um die Daten von allen Oma Maiers. Gemessen an Verbreitung und Tragweite ist das hier nur mit einer Zero Day Lücke in Windows vergleichbar, die aber ungleich leichter zu patchen wäre.

 

[cbtestarossa]

Woher nehmen? Besonders bei Notebooks, wenn der Gerätehersteller bereits den Support eingestellt hat.
Ja, aber das hat doch nichts mit dem BIOS zu tun. Die Microcode-Updates sind in einer Datei welche beim Booten von Windows zur CPU geschoben werden; diese befinden sich nicht im BIOS.
Und Nutzer von Windows 7 haben bislang gar keine Microcode-Updates erhalten, nur Nutzer von Windows 10 werden versorgt.
Ich habe für meinen älteren Rechner mit Windows 7 noch keine Microcode-Updates erhalten, nur ein Betriebssystem-Update welches gegen Meltdown schützt; gegen Spectre jedoch gar nichts.

Naja teilweise hat auch Intel gar keine Updates angeboten.
M$ patcht halt lieber Win10, Linux alles. Und Retpoline gibts auch noch. Aber fürs 7er denk nicht mehr.

 

[JNS-K]

Die Frage ist doch wie aufwändig solche Angriffe in der Praxis umzusetzen sind. Wenn es so einfach ist, wie oft dargestellt, wo bleiben dann die tatsächlich erfolgten Hacks?
Vermutlich wird es so sein, dass andere Sicherheitslücken, vor allem die in Software die einfacheren Angriffsvektoren darstellen.

Das ist nicht nur vermutlich so ... ja die Sicherheitslücke(n) gibt es wirklich und ausnutzen lassen sie sich auch.

Aber man sollte sich mal mit diesen Lücken beschäftigen und dann würde man feststellen, dass die eher als "Proof of Concept" zu verstehen sind. Denn der Aufwand den ein Eindringling betreiben muss, ist extrem gewaltig und es kann sein, dass er tausende Speicherauszüge, mit viel Glück aber auch nur einen (dann sollte er Lotto spielen bei dem Glück) machen und runterladen muss - bevor er überhaupt eine verwertbare Information bekommt.

Was die Angelegenheit noch erschwert, er bekommt quasi nur Maschinencode zu sehen und muss diesen manuell durchgehen und schauen ob da z.B. ein Passwort dabei ist, dazu kommt die schiere Größe, denn jeder Auszug ist so groß wie der verbaute Speicher des Hostes, den man knacken möchte und die geringe Auslesegeschwindigkeit im KB/s Bereich, meines Wissens nach, und die max. Up- & Downloadgeschwindigkeit kommt auch noch dazu.

Automatische Suche funktioniert in den Speicherauszügen auch nur bedingt und die OS haben keine bestimmte Speicheradresse in der die Passwörter oder ähnliches gespeichert sind, sondern die OS benutzen schon seit Jahren eine Speicherverwürfelung um ein Auslesen des Speichers zu erschweren, daher können die gesuchten Infos an jeder Speicheradresse stehen und man muss auch noch das Glück haben, dass das Adminpasswort oder die gesuchte Information auch gerade im Speicher steht.

Um es mal mit einer Analogie evtl. etwas verständlicher zu machen: man hat jetzt eine Möglichkeit gefunden, an die geschredderten Unterlagen einer Firma zu kommen bevor sie endgültig vernichtet werden - in einer Geschwindigkeit von 1 Eimer pro Sekunde. Jetzt hat man theoretisch die Möglichkeit, die fein geschredderten Papierschnipsel zu einem Dokument zu pusseln und hoffen das dort die Zugangsdaten zum Haupttresor stehen - allerdings könnte auch beim 1ten Eimer ganz oben auf, auf 10 oder 20 nebeneinanderliegenden Papierschnipseln, das Masterpasswort stehen - ausschließen kann man so etwas halt nicht, nur die Wahrscheinlichkeit...

Daher ist meiner Meinung nach, die Gefahr für Privatanwender mit aktuell gehaltener Software und passenden Tools wie NoScript (v.a. wegen Spectre) zwar vorhanden, aber so gut wie irrelevant und die meisten würden es auch merken, wenn tagelang der Upload "verstopft" ist - mit viel Pech aber auch nur ein paar Stunden.

Allerdings muss ich den Entdeckern der Lücken meinen Tribut zollen, denn so quer denken zu können und sich ein solches (funktionierendes) Angriffszenario, insbesondere wie bei Meltdown, auszudenken - das hat schon was.

VG JNS

 

[druckluft]

1. erkennt ein AV nicht alles und wenn ein Programm sich unauffällig verhält auch nicht.
2. Gab es schon genug Software die Daten sammelten. Und Leute installieren extrem viel.
Bischen mit FreeSuperCandyCrasher locken und woop schon is passiert.
3. Nicht mal Programme aus offoziellen AppStores sind sicher. Glaub das ja nicht.

Gibt ja nicht nur die heuristische Analyse, sondern auch Überprüfung der Programmsignatur, usw.
Nur die Frage ist, wenn ich eh schon Software installiert habe die Schadcode enthält, da muss ich nicht den Umweg über Meltdown/Spectre gehen, da kann ich direkt alles mögliche manipulieren und auslesen.

 

[cbtestarossa]

Ob das besser wird wenn man für sämtliche Client-Server-Anwendungen, die jetzt ein Webfrontend haben, einen "klassischen" Client programmiert? Für alle relevanten Systeme? (Windows, IOS, Android und vielleicht sogar Linux)? Wohl eher nicht.

Du liest natürlich nur die Hälfte.
Klar wird es besser. Man könnte zB schon mal per Firewall gewisse Dinge besser sortieren.
Und wenn jeder Hinz und Kunz bei dir versucht per JS alles mögliche über dich auszuspionieren freut man sich umso mehr wenn alles im Browser läuft.
Und irgend einen Scheiss programmieren sie alle. Ob nun mit C oder JS oder Phyton etc.
Da Lücken dort Backdoors da Tracking dort dies und das.

Gibt ja nicht nur die heuristische Analyse, sondern auch Überprüfung der Programmsignatur, usw.
Nur die Frage ist, wenn ich eh schon Software installiert habe die Schadcode enthält, da muss ich nicht den Umweg über Meltdown/Spectre gehen, da kann ich direkt alles mögliche manipulieren und auslesen.

Du kannst also mit irgend einer App die nebenher läuft auslesen was ich im Firefox schreibe/tipe?
Na wenn das funktioniert haben wir noch ganz andere Probleme.

Und was sagt dir eine Signatur? gar nix. Nur dass die App/Treiber etc. signiert wurde und installiert werden kann.
Ob das Hintertüren enthält sagt sie dir nicht.

 

[Bob.Dig]

Dann gibt es den anderen Teil, der sich wohl nichtmal so wirklich vorstellen kann, was denn so eine virtuelle Maschine macht und sich auch sicher ist, dass er von sowas nicht betroffen ist. Sind ja sicherlich alles dedizierte Maschinen im Netz und in der Cloud, die eure Daten verarbeiten, nicht?

Denke das wird hier so gut wie niemand behauptet haben...

 

[Tom_111]

Kann Mann auch bei Linux die Patches abschalten?

 

[emulbetsup]

Du liest natürlich nur die Hälfte.
Klar wird es besser. Man könnte zB schon mal per Firewall gewisse Dinge besser sortieren.
Und wenn jeder Hinz und Kunz bei dir versucht per JS alles mögliche über dich auszuspionieren freut man sich umso mehr wenn alles im Browser läuft.
Und irgend einen Scheiss programmieren sie alle. Ob nun mit C oder JS oder Phyton etc.
Da Lücken dort Backdoors da Tracking dort dies und das.

Und warum genau sollte man das machen? Nur weil es in aktuellen Prozessoren Lücken gibt und der Patch Leistung kostet? Ich meine zwischenzeitlich ist ja auch auf Intel-Prozessoren 4195835/3145727=1,3338204...


Im Übrigen nutzt dir auch deine Firewall herzlich wenig, wenn du dann die ganzen Applikationen in Client-Software gegossen hast. Client-Software kommuniziert, sonst wäre es eben gerade keine Client-Software, mit Servern, weswegen du da zwar wunderschön Filtern kannst, am Ende vom Tag wirst du dieser Applikation aber trotzdem Rechte einräumen müssen und was dann da über, für diese oder andere Applikationen permitted Ports läuft, weiß wieder nur der liebe Gott.
Und selbst mit der ganz großen Keule in Form einer Applikationsfilter-FW mit SSL-Inspection wirst du das Problem hier nicht erschlagen, weil die Kommunikation dann eben nicht mehr über HTTP(S), sondern über ein Protokoll läuft, was sich der Hersteller dann eben selbst ausgedacht hat.

Mal davon abgesehen, dass Lieschen Müller sicherlich keine wie auch immer geartete FW pflegt

 

[Muxxer]

T-ripper mit 16 kernen kaufen SMT off und thema erledigt, sollte doch dann sogar schneller sein als n 8kerner mit smt, oder ???
Somit hätte ich endlich nen Grund nen T-ripper zu holen.
Kann mir das so jemand bestätigen oder hab i nen denkfehler ?