News Meltdown & Spectre: Details und Bench­marks zu den Sicherheits­lücken in CPUs

[Begu]

ganz einfach. Wenn eine AMD CPU so theoretisch auch angreifbar ist dann wird PTI eben immer aktiv gesetzt, egal welche Architektur usw.. Ist im Linux Kernel wohl grad auch der Fall, auch wenns da noch einen nicht gemergten AMD Commit gibt.

Das stimmt so nicht. Bzgl. Meltdown ist AMD nach diversen Aussagen nicht betroffen. PTI hilt aber nur gegen Meltdown und nicht gegen Spectre. Es gibt also keinen Grund, PTI mit Performanceeinbußen auf AMD Systemen aktiv zu schalten.

 

[Banned]

Ich glaub, ich werde mal versuchen, bis Mittwoch etwas weniger die Berichterstattung zu verfolgen. Regt man sich nur auf.

Bis der offizielle Patch da ist, gibt's eh keine verlässlichen Benchmarks für Windows.


Stellt AMD eigentlich Ryzen 2 auf der CES vor? Falls ja, könnte es noch übler werden für Intel.

 

[Mcr-King]

Cool wenn alle Sever neu gestartet werden müssen gibt's halt kein Steam und Netflix und und und ich finde es lustig irgendwie. Klasse Leistung von Intel

 

[CastorTransport]

sogar die non-tec-medien ard ntv und co berichten... wohl wieder mal viel massenhysterie, aber dennoch sehr ungut das ganze...

Ja und das wird dann teilweise zur Fakenewsschleuder, wenn "Allgemeinmedien" so spezielle Themen verbreiten. Man muss eigentlich zwischen Meltdown und Spectre unterscheiden, weil a) Meltdown leichter umzusetzen ist (als Hack) und hier AMD nicht betroffen ist und b) Spectre weniger leicht umzusetzen, hier aber auch AMD betroffen ist. Spectre wiederum kann auf Endanwenderseite wohl hauptsächlich auf Browserbasis gefährlich werden, wenn ich das richtig verstanden habe. Hier sind dann wiederum die Browserhersteller gezwungen zu aktualisieren, was ja teils schon geschieht.

Das sind fette Lücken, die NSA & Konsorten vermutlich seit Jahren genutzt haben. Intels MME ist ja quasi der "onboard" Trojaner - jetzt halt Meltdown und Spectre noch dazu.

Viel konsequenter bangen muss man um staatliche System und deren Angreifbarkeit durch diese (neuen) Lücken.

Cool wenn alle Sever neu gestartet werden müssen gibt's halt kein Steam und Netflix und und und ich finde es lustig irgendwie. Klasse Leistung von Intel

Wer keine Ahnung hat... Meinst Du Dein Netflixstream kommt nur von einem Server? Für solche Dienste werden Content-Distributer engagiert und die werden ja nicht alle Kisten auf einmal ab/einschalten. Loadbalancing ist hier ein Stichwort. Aber wegen nix mal kommentieren.

 

[Wadenbeisser]

Wie das unter Windows ausschaut ist soweit ich weiß noch nicht bekannt.

Der Linux Fix war beim Phenom TLB Fix auch besser, der BIOS- und der Windows Fix kosteten hingegen erheblich mehr Leistung. Daher ja auch meine Befürchtungen.

Ergänzung (4. Januar 2018)

@MrJules
Dein Avatar, passend zum Thema.

 

[Stellarix]

Hab das Update gerade für meine Dell Möhre bekommen. Später werden dann noch die Clients Zuhause upgedatet.

 

[Recharging]

Cool wenn alle Sever neu gestartet werden müssen gibt's halt kein Steam und Netflix und und und ich finde es lustig irgendwie. Klasse Leistung von Intel

Unsinn ...
Warum sollten ALLE Server gleichzeitig das machen, das macht man versetzt, sodass das Angebot zwar eingeschränkt aber nie völlig versagt.

Scheint so, hier sind alle vollkommenen fehlerlos und schaffen ein Chipdesign im Handumdrehen. Ganz abseits von Intels mieser PR, sollten man sich vergegenwärtigen, wie komplex das Thema um Halbleiter in Hard- und Software ist. Da gibt's nicht viele, die hier wirklich fachlich qualifiziert mitreden können. Ich kann das sicherlich nicht, darum wundert es mich, warum hier manche meinen, es sei alles easy peasy!

Etwas weniger Polemik, Zeter und Mordio täte dem Thread hier gut.

 

[DrPepperIV]

Einmal danke an die Redaktion für diesen informativen Artikel inkl. der lesenswerten Updates und Benchmarks!

 

[Simanova]

An alle Netcup Kunden: Die Firma hat begonnen die Server gegen Meltdown abzusichern. (Server werden innerhalb der nächsten 72h automatisch neu gestartet)

 

[NoXPhasma]

Seit mitte 2017 bekannt...und jetzt erst an die Öffentlichkeit.....das gibt mir wirklich zu denken !

Warum sollte es? Google macht Sicherheitslücken, die sie finden, 90 tage nach dem informieren der Entwickler/Hersteller publik, es seiden die entsprechenden Entwickler/Hersteller können darlegen das mehr Zeit zum fixen der Probleme benötigt wird. Und das war hier eben der Fall. Außerdem solltest du nicht außer acht lassen, das die Lücken so weitreichend sind, dass es fahrlässig gewesen wäre, sie ohne Patches öffentlich zu machen.

 

[knoxxi]

Ich hatte heute morgen den Eindruck das alle Admins bei uns von gestern an ein bisschen mehr ergraut sind, die in die Thematik involviert sind.

 

[ldasta]

Kann mir jemand erklären, warum auf einmal drei Teams praktisch gleichzeitig eine Prozessor Sicherheitslücke entdecken die bereits seit 22 Jahren existiert (Meltdown)? Das ist doch kein Zufall.

 

[EchoeZ]

Wie sieht's eigentlich mit VIA CPUs aus?

 

[Steffen]

Artikel-Update: Microsoft mit Emergency Update für Windows 10, 8.1 und 7
Noch vor dem für den 9. Januar geplanten Patchday für Januar 2018 hat Microsoft damit begonnen, das Sicherheitsupdate, das vermutlich vorerst nur die auf Intel-CPUs bestehende Sicherheitslücke Meltdown auf Betriebssystem-Seite schließt, für Windows 10 über Windows Update auszuliefern. Für Windows 10 Version 1709 „Fall Creators Update“ ist der Patch Teil des kumulativen Updates KB4056892, aber auch andere Hauptversionen von Windows 10 sollen bereits Updates erhalten. Eine Übersicht liefert Microsoft (Auswahlmenü links). Weder Meltdown noch Spectre werden in der Beschreibung zum Patch bisher explizit genannt.

Auch für Windows 7 (KB4056897) und Windows 8(.1) (KB4056898) sind Updates zur manuellen Installation bereits verfügbar.

Erste ComputerBase-Leser konnten den Patch nach einer Suche in Windows Update installieren, aber nicht alle. Hintergrund ist, dass Microsoft noch bis zum 9. Januar prüft, ob inkompatible Programme auf dem Rechner installiert sind – wenn ja, wird der Patch noch nicht über Windows Update angezeigt, auch die manuelle Installation schlägt fehl.

Antivirenprogramme können Probleme bereiten
Nach dem Update kann es auf allen Versionen von Windows nämlich zu Problemen mit Antivirenprogrammen kommen, einige Anbieter müssten die Software auf den gepatchten Kernel anpassen. Auf Systemen mit AMD-CPU soll der Patch im Übrigen nicht aktiv sein.

 

[Chismon]

Hm, ich weiss nicht, ob das hier schon angeführt wurde, aber laut Bericht der F.A.Z. geht man davon aus, dass Intel schon im Juni 2017 um den Fehler/die Lücke wusste, und der CEO Krzanich dann im Oktober Anweisung gegeben hat den maximalen Teil seiner Intel Aktien, die er verkaufen kann (er muss als CEO wohl mindestens 250.000 Aktien halten), zu verkaufen, was dann im November wohl passiert sein soll.

Ob dieser bewusste Insiderverkauf ohne die Intel Aktionäre von der Sachlage rechtzeitig zu informieren Krzanich noch zum Verhängnis wird (denn ich könnte mir vorstellen, dass nicht gerade wenige Aktionäre in den USA per Sammelklage Intel diesbzgl. verklagen dürften), bleibt abzuwarten.

 

[Rockstar85]

Stellt AMD eigentlich Ryzen 2 auf der CES vor? Falls ja, könnte es noch übler werden für Intel.

Bisher heisst es ja Februar/März 2018.. Bis April warte ich gerne, sonst muss ich echt Ersatz suchen für meinen I5. AMD zur CES mit Ryzen+ und ausblicke auf den Zen2 wäre schon geil..

Das Thema Aktienverkäufe seitens des CEO bekommt mit der Meldung von Google ein sehr faden Beigeschmack. Das hat was von Insiderhandel.

@ldasta:
Projekt Zero sei dank:
https://meltdownattack.com/
Und die TU Graz ist da mehr oder weniger zuerst drauf gestoßen. Annahmen gab es sogar 2011, wenn ich es richtig verstanden habe, war es ein Zufall

 

[Tammy]

Nein, das ist leider nicht klar, sondern eine Unterstellung und Mutmaßung deinerseits ...
Oder hast du Interna, damit wir wissen, was hinter der Bühne gemacht wird? Solche Fakten würden mich auch sehr interessieren und wohl so manche Staatsanwaltschaft.

Du glaubst doch nicht ernsthaft, dass man hier nun stillschweigend weiter im Rauchsalon seine Zigarre pafft und den Cognac schwenkt.

Ist die PR lachthaft gewesen? Ja, ganz eindeutig.
War das zu erwarten? Natürlich, man ist um Schadensbegrenzung bemüht, es geht schließlich ums liebe Geld, war leider noch nie anders.
Ist der Bug verschleppt oder absichtlich designt? Wohl kaum in der Intensität mit Leistungseinbußen und schwerer Behebbarkeit.

Das ist keine Unterstellung, sondern eine Mutmaßung basierend auf Fakten der Vergangenheit, wenn man bedenkt, wie oft ein CPU Hersteller bei, auch nur annähernd vergleichbaren Problemen, von sich aus einen Umtausch oder Rückabwicklung angeboten hat.

@Redaktion
Wie schaut es mit den möglichen Problemen im Zusammenspiel von Antivirenprogrammen und dem neuen update aus, ist da schon etwas bekannt?

 

[Alphanerd]

Dass Intel von dem Problem seit Juni wusste stimmt: "We reported this issue to Intel, AMD and ARM on 2017-06-01." - https://googleprojectzero.blogspot.de/2018/01/reading-privileged-memory-with-side.html

Und ich habe danach noch einen Pentium G4560 erworben. Erste Intel CPU seit dem q6600. Fühle mich da leicht verarscht. Aber hier gibts ja keinen effektiven Verbraucherschutz.

 

[engine]

Es heißt Forscher hätten die HW-Sicherheitslücke entdeckt.
Wir werden alle schlauer, einige Bereiche bleiben aber nur Forschern vorbehalten. Wäre es nicht besser, die Forscher würden sich Gedanken darüber machen, welche Sicherheitslücken können denn real überhaupt ausgenutzt werden.
Nicht jeder Hacker ist zugleich ein findiger hoch intelligentes Fachgenie .

Erst durch die Arbeit der Forscher lernen Hacker dazu.

Ich fände eine interne Kommunikation mit Forschungsinstituten der IT-Sicherheit und IT-Herstellern besser.

 

[kokiman]

Wie real ist der Angriffsvektor für Server hinter Firewalls mit ordentlichen Zugriffskonzepten?