News Meltdown & Spectre: Details und Bench­marks zu den Sicherheits­lücken in CPUs

[Andy_20]

Ergänzung (10. Januar 2018)

Und wie sieht es bei AMD aus? Hüllen sich komplett in Schweigen.
Da gibt es nicht mal eine Liste, welche CPU betroffen bzw. nicht betroffen sind.
Microcode-Updates = Fehlanzeige.
Support geht anders!

Ist genauso wie die Lücke der PSP (AMDs Management Engine) ja "Near-Zero", wird also wie bei Intel klein geredet, deshalb ist keiner von beiden in Bezug auf Sicherheit besser!

 

[Sun_set_1]

Den Vergleich Intel ME zu PSP hinsichtlich Sicherheitslücken möchtest Du nicht wirklich ziehen, oder?

https://www.google.de/search?q=Inte...rome..69i57.4287j0j7&sourceid=chrome&ie=UTF-8

 

[Bummi]

Ich sage immer
"Sie" wollen nur unser Geld.
Wenn sie es haben kannste wegtreten.
Das trifft auf alle Firmen zu.
Die jetzt noch Garantie auf ihrer CPU haben,
müssten das Ding doch zurückgeben können.
Wie sind da die Informationen?
Mich ärgert auch das Hasswell so stark einbrechen soll.

 

[Hotstepper]

Den Vergleich Intel ME zu PSP hinsichtlich Sicherheitslücken möchtest Du nicht wirklich ziehen, oder?

Wollte ich gerade schreiben.

Und wie sieht es bei AMD aus?

Whataboutism at its finest!

--------

Bislang gibts detaiierte Listen leider nur von ARM. So wie es laut Windows und Linux aussieht ist aber Intel mit wenigen Ausnahmen mindestens seit x64. Aktueller Kentnisstand bei AMD ist Fuer CVE-2017-5753 (Spectre 1) sind sie auch betroffen, allerdings nur auf non default Einstellungen (If the kernel's BPF JIT is enabled (non-default configuration)

Bei CVE-2017-5715 (Spectre 2) gibt es keinen lauffaehigen Expoit und AMD selbst gibt an:
Differences in AMD architecture mean there is a near zero risk of exploitation of this variant. Vulnerability to Variant 2 has not been demonstrated on AMD processors to date.

CVE-2017-5754 (Meltdown) sind sie garnicht betroffen, weil sie sich bei AMD offensichtlich an die Regeln des gesunden Menschenverstandes gehalten haben und keine speculative execution ueber privilege domains hinweg erlauben. (Userspace-Kernelspace) Warum Intel und ARM hier deart fahrlaessig handeln ist wohl deren Geheimnis. Das kann eigentlich nur Performance oder NSA Gruende haben. Zu bloed sind die sicherlich nicht.

AMD processors are not subject to the types of attacks that the kernel page table isolation feature protects against. The AMD microarchitecture does not allow memory references, including speculative references, that access higher privileged data when running in a lesser privileged mode when that access would result in a page fault.

Spectre ist ja grundsaetzlich weniger brisant weil es nur innerhalb eines Prozesses leaken kann. Daher die Browser Patches die site isolation betreiben, also jeder Homepage einen eigenen Prozess zuordnen. Haette man auch frueher schon betreiben koennen. Warum hat das eigentlich keiner gemacht? Anyway, Opera, Chrome und Firefox erlauben das per checkbox.

Meltdown kann Dir die Passwoerter/Daten der gesamten Kiste auslesen, inkl. VMs

Quellen:

Googleprojectzero.blog
amd.com

 

[kisser]

Den Vergleich Intel ME zu PSP hinsichtlich Sicherheitslücken möchtest Du nicht wirklich ziehen, oder?

Darum geht es gar nicht.
Der Umgang mit solchen Problemen ist entscheidend und bei Intel weiß man, dass sie es angehen.
Bei AMD weiß man nicht einmal das. Soll das Vertrauen schaffen? Schweigen ist hier der falsche Weg.
Entweder gibt man ein Statement raus, welche CPUs garantiert NICHT betroffen sind oder man listet betroffene CPUs auf mit dem Hinweis, dass man an einer Lösung arbeitet.

 

[xexex]

man vermutet, dass Windows die Microcode-Abfrage bereits früher durchführt und somit der VMWare-Treiber, der den aktuellen Microcode nachläd (immer beim Systemstart), nicht mehr zum tragen kommt

Es geht ja nicht um eine Abfrage!

Der Kernel von Windows setzt ja auf eine (mehrere) Funktionen in der CPU die mit dem Microcode nachgerüstet wurden. Da der Kernel nun mal als erstes geladen wird, die VMware Lösung aber erst später, gibt es diese Funktionen zu diesem Zeitpunkt nicht.

Ich bin mir nicht einmal sicher ob es unter Linux funktionieren würde. Dort wird der Kernel mitsamt Modulen ja auch recht früh geladen. Wenn nun der Kernel auf eine nachgerüstete CPU Funktion zugreifen muss, greift er auch ins Leere.

 

[Andy_20]

Den Vergleich Intel ME zu PSP hinsichtlich Sicherheitslücken möchtest Du nicht wirklich ziehen, oder?

https://www.google.de/search?q=Inte...rome..69i57.4287j0j7&sourceid=chrome&ie=UTF-8

Bei der Sicherheitslücke von Intels ME kann ich wenigstens überprüfen ob mein System überhaupt betroffen ist. Bei der PSP gibt es noch nicht mal ein Patch sondern nur ein Workaround der sie abschaltet und welche Systeme sind überhaupt betroffen?
Auch wenn sie von der Schwere her nicht vergleichbar sind, trotzdem ist eine bekannte Lücke vorhanden!

Der Witz an der Sache ist ja wie hier schon bei CB in der News geschrieben, da werden solche Engines eingebaut um Sicherheit zu bringen und was machen sie, öffnen Einfallstore!

 

[XTR³M³]

Ich hoffe, hier fallen nicht Leute auf den Schrott rein: https://www.avira.com/de/intel-security-flaw

bin ich froh das ich avira gekickt habe, wurde immer grösser, schwerer, langsamer... seit ich den müll runter habe, und nur den defender nutze, läuft komischerweise wieder alles viel schneller

 

[Shakyor]

Bruder hat nen älteren PC und meckerte der wäre sehr lahmarschig.
Avira runtergeworfen -> rennt wie am ersten Tag.

 

[Alphanerd]

Darum geht es gar nicht.
Der Umgang mit solchen Problemen ist entscheidend und bei Intel weiß man, dass sie es angehen.

Also, egal wo ich gucke, ich sehe nirgends konkrete Aussagen von Intel, nur Geschwurbel und Fingerzeig auf andere. Ach ja und ein: "ist nicht so schlimm" gab es auch noch.

Hast du da andere Quellen für mich?

Der Witz an der Sache ist ja wie hier schon bei CB in der News geschrieben, da werden solche Engines eingebaut um Sicherheit zu bringen und was machen sie, öffnen Einfallstore!

Das ist tatsächlich ein (nicht sehr komischer) Witz. Tun beide Sicherheitsengines nicht, was sie sollen.

 

[Iscaran]

AMD schweigt doch gar nicht:

https://www.amd.com/en/corporate/speculative-execution

Variant 1 und 2 sind Spectre-Attacken
Variant 3 = Meltdown.

Auch andere "Experten" meinen dass AMD gegenüber Meltdown safe ist
https://www.scientificamerican.com/...-expose-the-dark-side-of-superfast-computers/

Spectre ist eine andere Geschichte. Davon sind je nach Variante mehr oder weniger ALLE betroffen.

Aber um Spectre nutzen zu können muss man SOFTWARE + HARDWARE-Spezifische Exploits auf einem Rechner zum laufen kriegen können.

Meltdown reicht es ein User-Script z.B. das in einem Browserfenster von einem USER in einer VM eines Servers aufgerufen wird, auszuführen.
Das ist eine MEGA-Katastrophe. Deswegen hatte man ja INTEL schon informiert und JETZT mit dem Release des Patches für Meltdown (für Linux) kocht auch der Spectre Angriff hoch.

Denn Meltdown wird mit dem KAISER-Patch fürs KPTI/KASLR unter Linux EBENFALLS geschlossen. Und Microsoft hat einen entsprechenden KPTI-Patch veröffentlicht.

Das ist eigentlich die einzig gute Nachricht. Der gravierende "Bug" (oder Design-Fehler) ist quasi schon gefixed bzw. kann relativ leicht gefixed werden.

Der wesentlich schwerer ausnutzbare Spectre wird aber noch ein paar Jahre bleiben. Mindestens bis neue CPU-Architekturen entwickelt worden sind...also Größenordnung ~10 Jahre.

Spectre kann aber sehr effektiv über Software Patches angegangen werden und das wird die IT bis dahin auf Trab halten.

 

[XTR³M³]

Laut Microsoft:"Unter Windows 8 und Windows 7 erwarte man, dass „die meisten“ Nutzer Leistungseinbußen wahrnehmen werden"

War ja klar das Microsoft jetzt diese Lücke ausnutzt um Win10 zu pushen, ich habe eigentlich auch nichts anderes erwartet.

Edit:
@Steffen
Grade nochmal den Text upgedated?

Jetzt heißt es: Unter Windows 8 und Windows 7 auf älteren Intel-CPUs erwarte man, dass „die meisten“ Nutzer Leistungseinbußen wahrnehmen werden.

ehrlich? windows 8 war eh ne totgeburt und das unbeliebteste OS seit win 98.... und win 7 ist ebenfalls tot, mehr als security patches kommen da nicht mehr, und diverse hersteller stellen den treibersupport ebenfalls ein.

und win10 ist ein sehr gutes OS, man kann sogar den updatezwang komplett abstellen... einfach den dienst auf manuell stellen und beenden.

 

[mironicus]

Also mein Gaminglaptop von MSI mit Intel Kabylake CPU fühlt sich seit dem Update gefühlt langsamer ab, der war vor kurzem noch richtig "snappy" aber jetzt habe ich das Gefühl das Laden von Programmen hat sich verlangsamt, der Bildaufbau ist irgendwie verlangsamt. Das macht nicht mehr so viel Spaß wie früher.

 

[engine]

Ich weiß wirklich nicht wie du aus
...
raus liest, dass das erst ab broadwell überhaupt funktioniert.

Weil Broadwell explizit von Intel genannt wird:

Broadwell generation and later +
+ [retpoline mitigation strategy (OS-Fix) + microcode update (CPU-Fix)] gegen CVE-2017-5715(Spectre vers. 2) ->
-> mitigation to be fully effective.

Ältere CPU + ??? -> ??? (wird im Whitepaper nicht spezifiziert), aber genau das interessiert viele, wie auch die Performanceeinbuße.


CVE-2017-5753(Spectre vers. 1) betrifft jede software-app einzeln und Bedarf ein Software-Fix, wie z.B. für FF kürzlich auf 57.0.4.

Wenn ich mich nicht irre .

 

[xexex]

Aber um Spectre nutzen zu können muss man SOFTWARE + HARDWARE-Spezifische Exploits auf einem Rechner zum laufen kriegen können.

Meltdown reicht es ein User-Script z.B. das in einem Browserfenster von einem USER in einer VM eines Servers aufgerufen wird, auszuführen.

In BEIDEN Fällen muss die Software auf einem Rechner ausgeführt werden. Meltdown macht es aber möglich von einer VM auf dem Kernelspeicher eines Hosts zuzugreifen, Spectre hingegen funktioniert "nur" innerhalb einer VM oder einer physikalischen Installation.

Für Clients sind beide Angriffe genauso gefährlich oder eben nicht.

 

[DogsOfWar]

specucheck zeigt bei mir nach dem microcode update ne veränderung an



links alt, rechts neu

habe leider kein altes pic von meinem eigenen alten specucheck gemacht aber dieser sah genauso aus wie das von orginal bzw autor, links.

microcode ist wie schon erwähnt nun 0x80 bzw 80h, im bios immernoch 0x42

 

[Iscaran]

@xexex: Spectre ist dennoch wesentlich "trickier" auszunutzen - bei meltdown muss man wirklich nur ein Exploit-Kit in das Java-Script-fenster des Browser "reinkriegen":
https://www.scientificamerican.com/...-expose-the-dark-side-of-superfast-computers/

With Spectre, you’re tricking the processor into making wrong predictions at a particular spot in the software running on the victim’s computer. The attackers need to have awareness of the software code that the victim is using, and set up the right conditions for the attack to work. As a result, there isn’t a single attack program that will work across many computers.

https://meltdownattack.com/
siehe "video" demos von Meltdown hier .

 

[Steffen]

Jetzt heißt es: Unter Windows 8 und Windows 7 auf älteren Intel-CPUs erwarte man, dass „die meisten“ Nutzer Leistungseinbußen wahrnehmen werden.

(Habe deinen Beitrag jetzt erst gesehen.) Ja, zu neuen Intel-CPUs unter Windows 7 / 8 sagt der verlinkte Blog-Eintrag von Microsoft leider nichts.

 

[inge70]

@DogOfWar,

du hast den Microcode wie aktualisiert? mit VMWare-Tool? Da dein Bios ja noch 0x42 hat.

Ergänzung (10. Januar 2018)

Für diese CPUs ist ja auch gar kein Microcode Update im letzten Update von Intel drin. Also ist "das System benötigt diesen Treiber scheinbar nicht oder ist aktueller" völlig normal.

doch, für den Core i3 3217U gibt es ein Microcode-Update laut Intel und das ist vom 08.01.2018

Nur wird da nix aktualisiert bzw. durch VMWare-Tool geladen. es erscheint lediglich die von mir gepostete Meldung im Ereignisprotokoll. Daher wundert es mich ja. Zumindest war das gesten abend so.

 

[Tammy]

Darum geht es gar nicht.
Der Umgang mit solchen Problemen ist entscheidend und bei Intel weiß man, dass sie es angehen.
Bei AMD weiß man nicht einmal das. Soll das Vertrauen schaffen? Schweigen ist hier der falsche Weg.
Entweder gibt man ein Statement raus, welche CPUs garantiert NICHT betroffen sind oder man listet betroffene CPUs auf mit dem Hinweis, dass man an einer Lösung arbeitet.

Wie kommt es dann, dass alle Besitzer älter als Haswell nicht wissen, wie es weitergeht.
Wenn ich mich bei Intel auf eines verlassen kann, dann darauf, dass sie die Probleme verharmlosen und Kunden halbwegs aktueller CPU im Regen stehen lassen.

Wie es mit x58 weitergeht weiß man nicht und das ist nur einer von vielen Chipsätzen, welche definitiv kein update mehr erfahren werden, da weiß ja ich lieber fast nicht, woran ich bin und darf hoffen

Du brauchst darauf auch nichts posten, deine Einstellung ist ja unübersehbar und das nicht erst seit diesem Thema