News Meltdown & Spectre: Details und Bench­marks zu den Sicherheits­lücken in CPUs

[Rockstar85]

@AMD-Mafiosi


...

Windows Defender und uMatrix

 

[engine]

Ich habe Build 17025.1000

Als AV nutze ich F-Secure Safe

Die Info wegen dem nicht funktionierenden MS-Fix war für @AMD-Mafiosi.
Was bleibt übrig, AV deinstallieren und den Defender verwenden oder ein Update des aktuellen Virescanners durchführen.

 

[Lord Wotan]

@Der_Unbekannte

Nutzt die NSA nicht Unix?

 

[Matze1971]

@engine,

laut MS ist F-Secúre mit dem Fix kompatibel. Ich wechsele jetzt in den Insider Fast Ring, die 17063.1000 soll den Fix ja definitiv beinhalten.

 

[Mcr-King]

Für Nokia soll es nächste Woche ein Patch geben und @Krautmaster es geht nicht darum dass es Lücken gibt sondern wie die Hersteller damit umgehen. Also nicht wie Intel einfach Jahre lang nix machen vorsätzlich sorry sowas geht nicht. Okay und ich bin auch am überlegen ob ich mein Intel zurück schicke oder nicht. Was ich aber sicher mache ist später auf AMD wechseln und gut ist.

 

[Krautmaster]

@ Krautmaster
Microsoft könnte das Biosupdate ersetzen wie bei Linux. Wo der Code auch geladen wird durch Linux. Ohne Bios Update.

spielt Linux hier automatisch ein Microcoe Update ein? Oder wie meinst du das? Quellen dazu?

Ich denke es wird deutlich länger gehen bis Linux Systeme konsequent gefixte Kernels erhalten, dazu noch quasi immer mit manuellem Doing.

Die Patchrate bei MS mit W10 dürfte deutlich höher sein.

 

[0-8-15 User]

@Krautmaster, Beispiel: https://wiki.archlinux.de/title/Microcode

 

[Krautmaster]

Also nicht wie Intel einfach Jahre lang nix machen vorsätzlich sorry sowas geht nicht.

die Aussage bleibt doch Kokolores. Theoretische Schwachstellen gibt es wie Sand am Meer. Diese wird weder Intel noch AMD noch sonstwer fortlaufend direkt in HW fixen, nur weil jemand Anfang 2000 was ähnliches hypothetisch auf Papier bringt. Warum hat das Google also so spät offiziell an Intel reported? Weils bis dahin eben keinen PoC gab.

Nach dem Reporting an Intel haben die sich eigentlich ganz gut verhalten. Man hält sich bedeckt und geht dennoch mit den wichtigsten Betroffenen in Kontakt um Fixes und Workarounds zu erarbeiten, nur deswegen bekommt man jetzt auch recht zeitnahe Updates oder hat sie schon unbewusst bekommen.

Auch Intel kann da nicht zaubern ... wenn zb ASUS nicht für ein H57 Board nen µCode Update bringt.

Ergänzung (7. Januar 2018)

@Krautmaster, Beispiel: https://wiki.archlinux.de/title/Microcode

interessant. Dürfte aber Sideeffekte haben. Ist das nun bei den gepatchten Kernel persee der Fall? Also kein Bios Fix benötigt? Blöd nur dass kaum wer einfach so zeitnahe nen neuen Kernel bekommen wird.

Aktivieren von Intel Microcode-Updates
Achtung: Seit der Kernelversion linux 3.17-2 bzw. linux-lts 3.14.21-2 werden Intel Microcode-Updates nicht mehr automatisch angesteuert und müssen manuell aktiviert werden.

ist dass mit dem Update nun erzwungen?

 

[engine]

Anhang anzeigen 660068

Windows Defender und uMatrix

...
So ich habe gestern folgendes Update: https://support.microsoft.com/en-us/help/4056892/windows-10-update-kb4056892
Fazit: Kein Fix, das besagt auch mein Powershell.. Welche Build hatte das Update?

Wenn du den Defender schon verwendest und der MS-Fix funktioniert lauf Powershell trotzdem nicht, wüsste ich gerade nicht warum, leider.

Meltdown (CVE-2017-5754) and Spectre (CVE-2017-5753 & CVE-2017-5715)
Sollte dann so aussehen:

Speculation control settings for CVE-2017-5754 [rogue data cache load]

Hardware requires kernel VA shadowing: True
Windows OS support for kernel VA shadow is present: True
Windows OS support for kernel VA shadow is enabled: True

Speculation control settings for CVE-2017-5715 [branch target injection]
kann weiterhin rot erscheinen, dann fehlt das microcode-update für die CPU.

 

[Der_Unbekannte]

@ Lord Wotan

Es spielt keine Rolle, welches System du verwendest. Wir reden hier von einem HARDWARE- Bug. Somit softwareunabhängig.

 

[Lord Wotan]

@0-8-15 User
genauso ist das. Das könnte Microsoft mit Windows doch auch machen. Nur warum tut das Microsoft nicht. Dann wäre es nämlich egal on die Bordhersteller das Fix als Bios Update anbieten oder nicht.


@Der_Unbekannte


Der Hardwarebug ist Software unabhängig, sonst müssten den ja nicht alle Betriebssysteme fixen. Es ist egal welches OS läuft.

 

[Rockstar85]

Hardware requires kernel VA shadowing: True
Windows OS support for kernel VA shadow is present: True
Windows OS support for kernel VA shadow is enabled: True

Okay, also ich hab nochmal das durchgeführt und er zeigt genau das an. Somit ist meiner gefixed.. PC Mark mache ich dann gleich mal und mal gucken ob er was verliert

 

[Krautmaster]

@Lord Wotan

vorausgesetzt du hast ne Distri die noch aktuelle Pakete verteilt und auch Intel Microcodes läd + einspielt. Ich könnte mal schaun ob mein Libreelec Nuc das jetzt schon hat. Vermutlich nicht, da sich das embedded system nicht automatisch updated und damit bis zum St Nimmerleinstag oder manuellem Eingriff anfällig bleibt.

Jemand der nen aktuelles Ubuntu aufm SF Pro 2 hat wird da ggf updates bekommen, sofern er diese aktiviert hat.

 

[0-8-15 User]

Dürfte aber Sideeffekte haben.

Welcher Art?

Ist das nun bei den gepatchten Kernel persee der Fall?

Mit dem Kernel hat das nichts zu tun. Das Microcode-Update wird vom Bootloader durchgeführt.

Blöd nur dass kaum wer einfach so zeitnahe nen neuen Kernel bekommen wird.

Für Arch gab es heute seit Bekanntwerden des Problems schon den zweiten neuen Kernel.
Das Microcode-Update ist wie gesagt nicht an den neuen Kernel gebunden.

 

[kisser]

Das letzte Update wurde von Microsoft 2015 eingebaut.
https://support.microsoft.com/en-us/help/3064209/june-2015-intel-cpu-microcode-update-for-windows

Das ist aber schon reichlich her. Und angeboten wurde mir dieses Update NIE über Windows Update.
Die mcupdate_GenuineIntel.dll auf meinem Win7 war von 2010, mein Q9400 lief noch mit dem µCode-Patch "07" (BIOS wie auch Windows), nach dem manuellen Updaten jetzt auf "0B" (ist auch von 2010 ).

 

[Krautmaster]

also so ziemlich jedes Mini Linux dass ich installiert hab oder embedded Linux bekommt im default keine Auto Updates oder hat nicht mal nen Paketmanager mit Autoupdate Funktion.
Die weite Streuung (1000 verschiedene Distries und Paketsysteme) in Linux ist Fluch und Segen zugleich, wenn man da ein aktuelles hat (sei es Arch oder sonstwas) und ohnehin regelmäßig updated wird man es bekommen ja. Aber ich denke nicht dass das den Großteil der Linux Maschinen ausmacht.

Wüsste auch nicht welche meiner ~5 Webserver (Ubuntu + Debian Mini) hier auf HyperV nun Automatisch Kernel bekommt und welche nicht. Was is mit den fertigen Appliances wie pfsense. Updaten die auch den µCode? Updaten die sich selbstständig?

Edit: Meine persönliche Erfahrung mit Kernel Updates is übrigens durchwachsen. Vor wenigen Jahren gabs eigentlich immer was was nach Update nicht mehr so tat weis sollte aber is besser geworden. Finde den Update Aufwand bei Linux tendenziell höher als bei MS.

 

[cbtestarossa]

Wo kann man bei MS neue Microcode Updates runterladen?

Finde nur Juni2015
https://support.microsoft.com/de-de/help/3064209/june-2015-intel-cpu-microcode-update-for-windows

 

[Geeky26]

Ich kann mir jetzt unmöglich auf die Schnelle 118 Seiten durchlesen.

Frage: wenn ich das zum Intel-problem dazugehörige Windows-Update installiere und ich merke, dass mein PC langsamer geworden ist, kann man das Update wieder deinstallieren und die volle Geschwindigkeit zurückerhalten?

 

[TopGamer13]

Bei mir findet Windows immer noch nicht das Update(derzeit 16299.125). Nutze die neueste Version von Avast welche angeblich Patch-ready sein soll.

 

[Krautmaster]

Frage: wenn ich das zum Intel-problem dazugehörige Windows-Update installiere und ich merke, dass mein PC langsamer geworden ist, kann man das Update wieder deinstallieren und die volle Geschwindigkeit zurückerhalten?

kannst bedenkenlos installen und nein, es wirklich nicht langsamer.

Ergänzung (7. Januar 2018)

Bei mir findet Windows immer noch nicht das Update(derzeit 16299.125). Nutze die neueste Version von Avast welche angeblich Patch-ready sein soll.

vielleicht ist es schon drauf. Mal Update Verlauf geschaut? ggf bekommt man es nur mit Sicherheit aktuell wenn man im Insider "frühzeitig Updates" gewählt hat - oder eben manuell.