News Meltdown & Spectre: Details und Bench­marks zu den Sicherheits­lücken in CPUs

[stoneeh]

.. und was mich grad noch viel mehr verstört als der Bug selbst ist, dass man es nicht zusammenbringt, die Info-Website auf IE11 anständig darstellen zu lassen.

http://666kb.com/i/dpt93y9q89433jlp0.jpg

Lmao.

 

[Fortatus]

@stoneeh: Für mich ist das eindeutig positiv.
Der IE11 ist was Standards angeht immer noch nicht auf der Höhe der Zeit und wird es nie werden, da er von Edge abgelöst wurde.
Mir ist es doppelt lieb, wenn diese Entwickler weitere Sicherheitslücken suchen, als Ausnahmen für IE11 zu programmieren. Und IE11-Nutzern diesen Browser madig zu machen.

 

[DKK007]

Chromium kann es darstellen.

 

[Silverangel]

Wer den IE 11 noch benutzt hat auch die Sicherheitslücken der CPU´s verdient.

 

[Moriendor]

Gibt's überhaupt irgendeinen bekannten Fall, in dem diese Sicherheitslücken ausgenutzt worden sind, bzw eine Software, die die Lücken ausnutzt?

Siehe die Links oben. Ich denke, dass die an der Erforschung des Exploits beteiligten Gruppen/Personen ganz genau wissen/wüssten wie die Lücke auszunutzen ist/wäre. Bei Spectre wurde ja ausdrücklich von "verified" gesprochen. Man kann etwas nur verifizieren, wenn es erfolgreich ausprobiert wurde. Ich gehe davon aus, dass es mindestens für Spectre von diesen Entwicklern entsprechende funktionierende "Hacks" gibt. Wegen der Funktionsweise von Spectre und Meltdown reicht eine EXE Datei (bzw. jeder Prozess), um die Lücke auszunutzen.

 

[Unlimited1980]

Worin genau besteht diese "non-default configuration" und wann liegt diese vor?

Tja, solche Details werden halt eben leider nicht genannt...

Müssen wir mal die kommenden Tage abwarten, bis es da mehr Details zu gibt.

Auch in dem Whitepaper gibt es einen Absatz wo geschrieben wird AMD sei betroffen von Variante 1, aber es wird nicht gesagt, unter welchen Umständen.
Aller Wahrscheinlichkeit nach sind diese ja genauso wie bei der "AMD PRO CPU" so praxisfern, dass man es bei AMD Ryzen schon mit Absicht herbeiführen muss?

Das Fazit lässt jedenfalls vermuten, dass die Verfasser des Whitepapers selber denken, dass AMD-Prozessoren "in the short term" geschützt sind.

Es ist halt so, alles was heute sicher ist, wird irgendwann mal unsicher sein.
Auch die sicherste Verschlüsselungsmethode, die wir heute verwenden wird "irgendwann" mal easy gehackt werden. Das ist halt der Gang aller Dinge.

Aber das ist ja dennoch kein Grund sie **heute** nicht zu verwenden.
Weil heute ist sie halt eben sicher.
So wie eben der Ryzen auch sicher ist.

Von daher ist es schon etwas übers Ziel hinaus geschossen, wenn man dann so tut als sei auf einen Schlag der Ryzen auch "betroffen".
Ist er halt nicht!
So wie ich es verstanden habe wurde nur ein versuch mit einer Ryzen PRO CPU gemacht und sie wurde absichtlich falsch konfiguriert (nondefault, wird auch nicht weiter erklärt), damit man sie "hacken" konnte.
Hätte man sie normal verwendet wäre dies nicht möglich gewesen.

Wie gesagt, unter dieser Bedingung finde ich es reichlich manipulativ, AMD-CPUs auf eine Stufe mit den unter normalen Umständen wirklich verwundbaren Intel-CPUs zu stellen.

Im Fazit rudern sie ja dann auch wieder zurück und schreiben Ryzen hat ein erheblich komplexeres Sprungverhalten

"AMD states that its Ryzen processors have “an artificial intelligence neural network that learns to predict what future pathway an application will take based on past runs” [3, 5], implying even more complex speculative behavior. As a result, while the stop-gap countermeasures described in the previous section may help limit practical exploits in the short term, "

 

[G00fY]

Zur Betroffenheit findet man Infos unter den besten bekannten Links, die wirklich jeder hier dringend mal KOMPLETT LESEN sollte, nämlich:

https://spectreattack.com/
https://meltdownattack.com/

Jupp, empfehle ich auch.

Bei Meltdown konnte eine Anfälligkeit von AMD und ARM Systemen noch nicht nachgewiesen werden...

Bei Spectre sind AMD und ARM definitiv auch betroffen...

Die Aussagen zu Spectre sind verglichen zu dem nachweisbaren Exploit von Meltdown unter Intel aber sehr schwammig. Ist halt aktuell mehr in der Theorie eine Gefahr. Bin mal gespannt ob und wie sich die CPU Hersteller genau äußern.

 

[StefanA]

Habe 3 Tage keine Zeit zum surfen gehabt. Heute Rechner angeschmissen und mich fast übergeben müssen. Horrormeldungen am laufenden Band: Massive Lücke in Intel-CPUs erfordert umfassende Patches, Neue EU-Geldwäscherichtlinie, Tracking-Skripte klauen E-Mail-Adressen aus Web-Browsern usw. um nur mal die wesentlichen zu nennen.
Da hilft auch kein Aluhut mehr, so kann das doch nicht weitergehen. Der erfahrene User (5%) kann das ein oder andere evtl. etwas einschränken oder zumindest zum Teil kontrollieren, aber Otto Normalverbraucher (95%) ist dem ganzen doch hilflos ausgeliefert. Wir werden doch total verarscht und wehren kann man sich auch nicht wirklich. Linux ist auch keine Empfehlung für die 95%, die kommen kaum mit Win klar. Ich glaube wir haben den Zeitpunkt zum Stecker ziehen bereits verpasst.

 

[DonL_]

Na ja,

Amd hat in seiner Presseerklärung, die nach Intels folgte, ziemlich eindeutig erklärt, dass das Sicherheitsrisiko für ihre CPUs gegen 0 tendiert.
Also haben sie sich schon ziemlich aus dem Fenster gelehnt, ist aber halt eine Presseerklärung.

Intel hat mal wieder bis an die Schmerzgrenze, bei der Presseerklärung getrickst und Spectre als Problem ALLER zugegeben und Meltdown, was nur Intel betrifft, mal eben unter den Tisch fallen gelassen!

 

[xexex]

.. und was mich grad noch viel mehr verstört als der Bug selbst ist, dass man es nicht zusammenbringt, die Info-Website auf IE11 anständig darstellen zu lassen.

Die "Unterstützung" für IE ist bewusst auf dieser Seite auskommentiert. Aus welchen Gründen auch immer.

<!-- HTML5 shim and Respond.js IE8 support of HTML5 elements and media queries -->
<!--[if lt IE 9]>
<script src="//oss.maxcdn.com/libs/html5shiv/3.7.0/html5shiv.js"></script>
<script src="//oss.maxcdn.com/libs/respond.js/1.4.2/respond.min.js"></script>
<![endif]-->

 

[DKK007]

Habe 3 Tage keine Zeit zum surfen gehabt. Heute Rechner angeschmissen und mich fast übergeben müssen. Horrormeldungen am laufenden Band: Massive Lücke in Intel-CPUs erfordert umfassende Patches, Neue EU-Geldwäscherichtlinie, Tracking-Skripte klauen E-Mail-Adressen aus Web-Browsern usw. um nur mal die wesentlichen zu nennen.
Da hilft auch kein Aluhut mehr, so kann das doch nicht weitergehen. Der erfahrene User (5%) kann das ein oder andere evtl. etwas einschränken oder zumindest zum Teil kontrollieren, aber Otto Normalverbraucher (95%) ist dem ganzen doch hilflos ausgeliefert. Wir werden doch total verarscht und wehren kann man sich auch nicht wirklich. Linux ist auch keine Empfehlung für die 95%, die kommen kaum mit Win klar. Ich glaube wir haben den Zeitpunkt zum Stecker ziehen bereits verpasst.

Gut auf den Punkt gebracht.
Wie das Ganze weitergehen könnte wurde in "QualityLand" sehr anschaulich dargestellt.
Bleibt wohl nur die Revolution.

 

[Steffen]

Die "Unterstützung" für IE ist bewusst auf dieser Seite auskommentiert. Aus welchen Gründen auch immer.

Nein, das sind Conditional Comments: https://www.quirksmode.org/css/condcom.html

Dass die Website im Internet Explorer trotzdem nicht funktioniert, dürfte schlicht ein Bug sein. Vermutlich hat es niemand gemerkt, weil die Schnittmenge von "IE-Nutzern" und "Leute mit Ahnung von Security" quasi leer sein dürfte. Aber hier geht es nicht um Browser-Diskussionen, also hebt euch die IE-Diskussion bitte für ein andernmal auf.

 

[Salteria]

Nabend


Interessant das Ganze. Ich glaube bei Spectre sind nicht nur ARM, AMD und Intel betroffen. Die VIA-Isaiah-Mikroarchitektur ist ähnlich, wie bei den modernen AMD und Intel Prozessoren aufgebaut. Bis auf den Uratom sind das alles Out-of-order execution Mikroarchitekturen. Denke VIA wird auch bei Spectre im Boot sein. Derzeit frage ich mich, was ist mit SPARC,PPC und MIPS?
Mal in Ruhe die Google Dokumente morgen mal durchlesen.

Scheinbar könnte Spectre ein Design-Problem von modernen CPUs allgemein sein unabhängig davon, in welcher Mikroarchitektur sie implementiert worden sind.

Da viele MIPS, PPC und ARM auch als Microcontroller, als Kern, eingesetzt werden, könnte Spectre ein riesiges Problem werden, sollte diese Lücke wirklich irgendwann mal ausnutzbar sein.
Alles sehr verwunderlich.

 

[poly123]

Die Leistungseinbußen sollten im privaten Alltag zu vernachlässigen sein - in Bezug auf DB Abfragen ist die Einbuße aber ziemlich krass - ich glaube, ich brauche für mein SIEM einen Server mehr, wenns sich so bewahrheitet ;D

 

[spawa93]

Die paar Prozente, die die Patches Leistung fressen, werden aus den Intel Prozessoren sicher keine lahmen Enten machen. Ob sich daraus ein Rückgaberecht ergeben wird - eher nicht.

 

[dreamy_betty]

We wrote a JavaScript program that successfully reads data from the address space of the browser process running it.

Beim Firefox teilen sich die Erweiterungen einen einzigen Prozess, daher könnte ein mit Schadcode eingeschleustes Addon potenziell Daten von anderen Addons mitlesen. Da die Forscher hier einen Proof-of-Concept vorgelegt haben, wäre man unter bestimmten Konstellationen (insbesondere Firefox oder ältere Forks wie Pale Moon, aber auch Chrome mit Sonderkonfigurationen die Prozesse betreffend) sicherer dran, wenn man die verwendeten Addons vorläufig auf das Mindeste reduziert. Das ist sicher nur eine von vielen Methoden wie man diese Schwachstellen ausnutzen kann, damit ist aber klar, dass auch Desktop-Systeme in gleichem Maße betroffen sind. Wenn sich jemand die Mühe macht auf Basis dieser Sicherheitslücke fertige Malware zu schreiben, können dadurch Nutzerdaten in Gefahr sein, zum Beispiel wenn jemand ein Passwortmanager oder Cookie-Verwaltung Addon nutzt.

Auch wenn es keine konkreten Verdachtsmomente gibt, dass Schädlinge basierend auf diesen Erkenntnissen existieren, ist das nicht wirklich beruhigend. Schließlich bedeutet die Art und Methodik der Sicherheitslücke(n) auch, dass das System idealerweise gar nicht mitbekommt wenn ein Angriff läuft. So gesehen ist das exakt was sich staatliche Akteure wünschen.

 

[dergraf1]

Wotan: Na dann halt dich an das was ich da geschrieben habe.

Die ganzen Verschwörungstheorethiker, Orakel und Propheten hier im Forum labern hier eh nur. Halt dich einfach an die wichtigen Infos die von den Herstellern stammen. Die haben sicherlich deutlich mehr Ahnung als die ganzen Orakel hier

Könnte man nicht nen Extra Verschwörungstheorien Thread machen? Wo dann auch Hypothese, Orakel und Propheten mit reingehören?

ach so.. dann gibt es und gab es nie Verschwörungen? genau da will man die Massen haben, bei dir hat man es anscheinend geschafft.

Anscheinend muss man erstmal paar Tage noch abwarten was wirklich möglich ist und welche CPUs wirklich betroffen sind.

Hatte Intel selber nicht ab Sandy Bridge in ihre CPUs einen Schnüffeldienst eingebaut:

Seit rund zehn Jahren steckt in jedem PC, Notebook, Tablet und Server mit Intel-Prozessor auch eine sogenannte Management Engine (ME). Der italienische Programmierer Nicola Corna hat Python-Skripte entwickelt, die Funktionen der ME-Firmware blockieren.

Weil die ME Zugriff auf sämtliche Daten des Systems hat – etwa RAM, Festplatte, SSD … – und oft den Netzwerkanschluss nutzen kann, zieht sie Kritik auf sich, unter anderem von der Electronic Frontier Foundation (EFF). Mancher vermutet, dass US-Geheimdienste die ME als Hintertür nutzen können. Bisher verweigert Intel vollständige Dokumentation oder Offenlegung der ME-Firmware.


Microsoft telefoniert nach Pentagon, Google nach Israel, Intel vermutlich auch Israel oder wer mehr zahlt..
und es gibt keine Verschwörungen.

 

[DKK007]

Wir sind alle Verschwörungstheoretiker:
​https://www.heise.de/newsticker/mel...zielle-Verschwoerungstheoretiker-3924883.html

 

[smalM]

Gegenüber CNBC hat AMD sich so geäußert, dass es es um insgesamt drei Probleme gehe und dass AMD-CPUs „nicht von allen drei Problemen betroffen“ seien. AMD hat also nicht gesagt, dass man von keinem der drei Probleme betroffen sei. Die Aussage von AMD legt den Schluss nahe, dass die AMD-CPUs betreffende Variante des Problems mehr oder weniger deutlich schwerer auszunutzen ist („near zero risk“)

"and AMD is not susceptible to all three variants."
Die Übersetzung lautet "von allen drei Varianten nicht betroffen".

Wilde Spekulationen seitens der Redaktion, beruhend auf einer Fehlübersetzung.
Es gibt hier schon genug Aluhutträger...

 

[G00fY]

Wilde Spekulationen seitens der Redaktion, beruhend auf einer Fehlübersetzung.

Die Übersetzung ist vollkommen korrekt und unlängst offiziell bestätigt.

Zumal CB wirklich immer vorbildlich ist wenns darum geht die Quellen zu verlinken. Kannst du dir doch einfach mal anschauen. AMD spricht nur von 'near-zero risk' weil die Schwachstelle von der AMD betroffen ist aktuell um ein Vielfaches schwerer zu rekonstruieren ist und keinen Zugriff auf den Kernelspace ermöglicht.