Microsofts Umgang mit Spectre V2

[Trefoil80]

Moin zusammen,

aktuell bin ich ziemlich enttäuscht, wie Microsoft mit der Sicherheitslücke "Spectre V2" (Branch Target Injection) umgeht.
Es gibt nur Patches für Skylake, Skylake X, Kaby Lake und Coffee Lake, obwohl Intel für alle CPUs bis hinunter zu Sandy Bridge (sind sicher noch viele CPUs davon unterwegs) Microcode-Updates veröffentlicht hat!

Microsoft hat sich außerdem dazu entschlossen, diese Updates nur für Windows 10 zu bringen!
Hallo?! Windows 7 und 8.1 befinden sich immer noch im extended-Support (für Sicherheitsupdates), also bitte schnell nachlegen!

Bei Linux hingegen alles total entspannt.
Wer das Paket "intel-microcode" installiert (und aktualisiert hat), erhält den kompletten Schutz, den Intel anbietet (also bis runter zu Sandy Bridge).

Die eingesetzte CPU ist noch älter? Kein Problem. Dann wird einfach ein neuerer Kernel mit Retpoline-Support installiert.

Eigentlich heißt dies, dass in sicherheitsrelevanten Bereichen eigentlich Microsoft-seitig nur Windows 10 mit mindestens Skylake-CPUs (oder neuer) in Frage kommt.

Ich meine: Das kann doch nicht Euer ernst sein, Microsoft!

Wie seht ihr das?

Viele Grüße
Trefoil80

 

[Shadowlike]

Die Microcode-Updates von Intel sind für das BIOS. Diese sind ja nun doch mal fertig geworden und jetzt sind die Board-Hersteller in der Pflicht, die BIOS-Updates bereitzustellen. Nach der "offiziellen" Meldung die ich hier auf CB gelesen habe, vergingen locker nochmal 4-6 Wochen, bis ich das Update für das BIOS bekommen habe.

Und auch die Board-Hersteller fangen mit ihren neuesten Produkten an. Insofern kann man MS keinen Vorwurf machen den Patch erst für Win10 zu releasen. Der Rest folgt ja noch.

 

[Trefoil80]

Die Intel-Updates sind ein reiner Software-Befehlssatz. Deren Verteilung ist über mehrere Arten möglich.

Microsoft sollte selbst auf den Trichter kommen, dass es nicht praktikabel ist, den Aufwand der Verteilung der Intel-Patches auf die Mainboard-Hersteller abzuwälzen...es ist schlicht aufgrund der Vielzahl an Mainboards und deren Alter nicht möglich, in kurzer Zeit eine möglichst rasche und breitflächige Verteilung der Patches sicherzustellen.

Warum bekommen die "Linux-Frickler" die Lösung von solch sicherheitsrelevanten Problemen schneller hin als ein "Weltkonzern"? Da gibt es nichts schönzureden!

Ich möchte arg bezweifeln, dass Microsoft überhaupt Patches für Windows 7 oder 8.1 bereitstellt. Und wenn ja, dann erst Ende 2019, oder wie?

 

[Mojo1987]

Vielleicht isses auch garnicht so ohne weiteres möglkich die Microcode Updates effektiv via OS in Windows 7 und 8.1 auszuliefern. Diese VMWare Microcode Lösung die Anfangs kursierte und recht schnell als ineffektiv abgewiegelt wurde, ist denke ich das beste Beispiel dafür das es nicht ganz so einfach ist.

Was man nicht vergessen darf ist das MS hier nicht derjenige ist, der für die Fehler gesorgt hat. Das war Intel, aber Leute wie du nun scheinbar erwarten das MS das nun für Intel ausbadet. Es gibt ja Patches gegen Spectre von MS, aber die setzen eben darauf das ein Firmware Update durch Intel erfolgt. Das MS dafür die Verantwortung komplett übernimmt und das via Software only löst, kann man nicht erwarten. Ich persönlich sehe Microsoft nicht in der Pflicht das so zu lösen und die sich selbst auch nicht, wenn der Aufwand zu groß ist.

Man darf bei Linux eben nicht vergessen, da ist kein Konzern dahinter, deswegen geht dort sowas schnell und einfach und unbürokratisch und je nach Architektur auch vllt. deutlich einfacher.

Ich denke man wird einfach abwarten müssen und schauen was passiert. Vielleicht braucht MS auch einfach mehr Zeit. In Konzernen mahlen die Mühlen halt etwas langsamer.

Ich finds viel interessanter das Intel es nicht auf die Kette bekommt mit den Firmware Patches und der verpflichtenden Verteilung an Boardpartner, wo die Problematik doch schon seit Sommer letztes Jahr dem Intel-Konzern bekannt ist.

 

[engine]

Moin zusammen,

aktuell bin ich ziemlich enttäuscht, wie Microsoft mit der Sicherheitslücke "Spectre V2" (Branch Target Injection) umgeht. ...

Hier habe ich aufgehört zu lesen.
Intel ist schuld an der Katastrophe NICHT MICROSOFT!!!

Ergänzung (30. März 2018)

... es nicht praktikabel ist, den Aufwand der Verteilung der Intel-Patches auf die Mainboard-Hersteller abzuwälzen...

Das wäre aber die Aufgabe der Mainboardhersteller Intels Microcodes über BIOS-Updates zur Verfügung zu stellen.
Aber dazu sind sie unfähig und müssen die Hilfe anderer in Anspruch nehmen.

 

[KnolleJupp]

Umfassende Patches gegen Meltdown und Spectre verlangen nicht nur Änderungen am Betriebssystem, sondern auch ein Update des CPU-internen Microcodes.
Das Microcode-Update für die CPU liegt zumeist im BIOS vor und muss bei jedem Starten des Rechners neu in die CPU geladen werden.

In der CPU ist ein Befehlssatz (Microcode) unveränderlich einprogrammiert.
Es gibt aber seit dem Pentium Pro einen zusätzlichen Flash-Speicher in den CPUs, in den ein aktuellerer Befehlssatz geladen werden kann, der den fest eingespeicherten dann vollständig ersetzt.

Ein aktuellerer Befehlssatz kann also während der Initialisierung der CPU geladen werden.
Er ersetzt temporär (solange der Rechner eingeschaltet ist) und flüchtig (die CPU "vergisst" das Update nach jedem Ausschalten) den ursprünglich bei der Fertigung einprogrammierten.

Nun kann man dieses Microcode-Update auf zwei verschiedene Arten einspielen. Entweder liegt es im BIOS vor und wird bei der Initialisierung des Rechners in die CPU geladen
oder es liegt im Betriebssystem vor und muss dann aber sehr früh im Boot-Prozess eingespielt werden. Das macht man unter Linux schon lange so, Microsoft hatte viele Jahre lang diese Möglichkeit eben nicht vorgesehen.

Das Problem ist das hier die Mainboard-Hersteller in der Pflicht wären auch für ältere "EOL" Mainboards ein BIOS-Update anzubieten und das macht niemand...

Unter Windows 10 scheint es wohl trotzdem zu funktionieren, so ein Microcode-Update auch während des Bootvorgangs in die CPU zu laden.
Ob das bei der Bootprozedur älterer Betriebssysteme wie Windows 7 oder 8(.1) auch ginge ohne umfangreiche Änderungen am Startverhalten, weiß ich nicht. Immerhin ist diese Funktion dort schlicht nie vorgesehen gewesen.

Vor allem Windows 7 ist bereits an seinem Lebensende angekommen, es läuft nur noch ein sehr eingeschränkter Support. Umfangreiche Anpassungen, um eine Sicherheitslücke zu schließen die sowieso kaum ausgenutzt werden kann, ist reichlich unwahrscheinlich.

Intel veröffentlicht eine ganze Latte an Microcode Updates. Nur wie diese in die CPUs gelangen ist das Problem anderer...
Es reicht eben nicht nur mal eben einen Treiber zu laden!

 

[The_Void]

Bei Linux hingegen alles total entspannt.
Wer das Paket "intel-microcode" installiert (und aktualisiert hat), erhält den kompletten Schutz, den Intel anbietet (also bis runter zu Sandy Bridge).

vorher stand hier, daß die linux frickler alles viel besser machen. die umformulierung des textes ist nicht besser, also bezweifle ich, daß du ernsthaft interesse an einer diskussion hast. ich bin auch fertig hier.

 

[Trefoil80]

Danke für die Unterstellung. Das Wort steht nach wie vor im dritten Post. Es wurde diesbezügl. nichts umformuliert.
"Linux-Frickler" hatte ich bewusst in Anführungszeichen gesetzt und sollte nicht herabwürdigend gemeint sein.

Klar, die Lücke hat Intel fabriziert, aber im Sinne der Anwender sollte doch eine Lösung aller Beteiligten gefunden werden, die Patches schnellstmöglich an möglichst viele Anwender auszurollen, und das geht mMn am einfachsten als Windows-Update.

Bei Linux wird ja auch nicht drauf gewartet, dass die Mainboardhersteller aktiv werden...

Davon ab: Wie soll Intel selbst bitte die neue Software in die CPUs bringen?! Man ist da eben auf Hilfe angewiesen.

Windows 8.1 und 10 sind technisch sehr ähnlich, weswegen es nicht ganz nachvollziehbar scheint, dass man sich zumindest bei 8.1 so viel Zeit lässt. Bei Windows 7 sieht es unter der Haube schon anders aus.

Für mich kommt das so rüber, als entzieht sich Microsoft der Verantwortung, den 8.1 (und 7)-Nutzern die Sicherheitsupdates zeitnah zur Verfügung zu stellen, um dann sagen zu können: "Schaut her! W10 ist ja sooooo viel sicherer! Nutzt doch bitte W10."

Es ist klar, dass es für 7 und 8.1 nur einen eingeschränkten Support bezügl. neuer Features gibt. Aber der Extended-Support bedeutet nun mal auch die Verantwortung für das Schließen von Sicherheitslücken. Ob MS das nun passt oder nicht...

 

[KnolleJupp]

Aber der Extended-Support bedeutet nun mal auch die Verantwortung für das Schließen von Sicherheitslücken. Ob MS das nun passt oder nicht...

Ja, was eigene Sicherheitslücken angeht...

 

[Trefoil80]

Ist es für den Endanwender trotzdem hilfreich, wenn MS die Hände diesbezügl. in den Schoß legt?

Für W10 scheinen sie sich ja verantwortlich zu fühlen...ich habe ein Problem damit, wenn man dieses Sicherheitsproblem ausnutzt, um so W10 zu vermarkten...auf Kosten der 7/8.1-User.

 

[KnolleJupp]

Niemand zwingt dich das veraltete Windows 7 oder Windows 8 einzusetzen wenn dir das zu unsicher erscheint...

 

[The_Void]

@Trefoil80: eins noch. du, hinter meinem haus müßte ein berg aus dreck weggeschaufelt und abtransportiert werden. würdest du das bitte schnellstmöglich erledigen?! wie, du findest das unangemessen? aber von microsoft verlangen, die fehler anderer firmen auszubügeln? würden die sowas lesen, die lachen sich ja tot. und ich ebenfalls

 

[Trefoil80]

Auf den Fortschritt...

 

[Shadowlike]

Ist es für den Endanwender trotzdem hilfreich, wenn MS die Hände diesbezügl. in den Schoß legt?

Für W10 scheinen sie sich ja verantwortlich zu fühlen...ich habe ein Problem damit, wenn man dieses Sicherheitsproblem ausnutzt, um so W10 zu vermarkten...auf Kosten der 7/8.1-User.

Für den normalen Endanwender zuhause, spielt es aus meiner Sicht schlichtweg keine Rolle. Denn der normale Endanwender macht nicht mal eben ein BIOS-Update.

Und wenn MS sich hauptsächlich für Win10 verantwortlich fühlt, ist es ja deren Einstellung. Ich mein das OS gibt es nun auch schon wieder seit min. 2 Jahren. Und man pflegt a) das aktuellere OS zuerst und b) das mit der größeren Verbreitung. Beides ist bei Win10 aktuell der Fall.

Selbst wenn es nicht die feine "englische" Art ist, aber nachvollziehbar ist es allemal. Und ja in einem "Weltkonzern" dauert es aufgrund diverser Prozesse nun mal länger bis so ein Sicherheitspatch released wird bzw. werden kann.

Selbst wenn es einige nicht wahr haben wollen, aber Win10 ist die Zukunft. Auch du musst das irgendwann akzeptieren

 

[kisser]

Vielleicht isses auch garnicht so ohne weiteres möglkich die Microcode Updates effektiv via OS in Windows 7 und 8.1 auszuliefern.

Für den Berteibssytsem-herstller ist das ganz einfach. Und wird auch seit Jahren schon von Microsoft gemacht.

Was man nicht vergessen darf ist das MS hier nicht derjenige ist, der für die Fehler gesorgt hat. Das war Intel,

und AMD und ARM und IBM und.....

 

[Trefoil80]

@Shadowlike
Nö, mache ich nicht. Linux ist meine Zukunft.
Dank Steam und GOG wird meine Liste mit Games für Linux immer länger
Gerade über das Humble Bundle F1 2015 installiert und getestet. Da sag mal einer, unter Linux könne man nicht zocken...

Mein Dokumentenmanagement fliegt dann halt in eine VM. Das war's dann ab 2023 mit Windows.

 

[kisser]

Hier habe ich aufgehört zu lesen.
Intel ist schuld an der Katastrophe NICHT MICROSOFT!!!

und AMD und ARM und IBM und....

Ergänzung (30. März 2018)

. Das macht man unter Linux schon lange so, Microsoft hatte viele Jahre lang diese Möglichkeit eben nicht vorgesehen.

Geht seit Windows 2000, also seit fast 20 Jahren auch bei Microsoft.

Ergänzung (30. März 2018)

Klar, die Lücke hat Intel fabriziert,

und AMD und ARM und IBM und ... so langsam frage ich mich, wann auch der letzte das kapiert.

Ergänzung (30. März 2018)

Für mich kommt das so rüber, als entzieht sich Microsoft der Verantwortung, den 8.1 (und 7)-Nutzern die Sicherheitsupdates zeitnah zur Verfügung zu stellen, um dann sagen zu können: "Schaut her! W10 ist ja sooooo viel sicherer! Nutzt doch bitte W10.".

Abwarten. Es sind halt recht viele Baucstellen. Für x86 Windows 7 gibt es wohl immer noch keinen funktionierenden Meltdown-Patch. Das letzte Sicherheitsupdate führt zu einem Reset meines PC während Windows die Updates konfiguriert (erstes Hochfahren nach der Installation).

Ergänzung (30. März 2018)

Ja, was eigene Sicherheitslücken angeht...

Ohne CPU ist ein OS reichlich sinnlos, die gehören also schon zusammen als "System".
Und da kein CPU-Hersteller am Windows-Code rumprogrammieren kann liegt die Verantwortung ganz klar bei Microsoft.

Ergänzung (30. März 2018)

aber von microsoft verlangen, die fehler anderer firmen auszubügeln?

Wenn´s kein so Blödsinn wäre, fände ich es ja noch witzig.
Was glaubst du wieviele Betriebssysteme MS noch verkaufen kann, wenn die Lücken nicht gestopft werden?

 

[The_Void]

Wenn´s kein so Blödsinn wäre, fände ich es ja noch witzig.
Was glaubst du wieviele Betriebssysteme MS noch verkaufen kann, wenn die Lücken nicht gestopft werden?

ja, wenns nicht son blödsinn wäre, wäre es witzig. die leute können ja zu linux wechseln, wenn ihnen windows nicht paßt. noch hat man die wahl.

edit: ich frage mich auch, was microsoft mit einem (UEFI) BIOS upgrade zu tun hat? richtig, gar nichts. und was spectre betrifft, muß meines wissens nach jedes programm gepatcht werden, was ins netz geht und nicht nur windows.

unter linux wiederum gucken sehr viele augen auf den quellcode, daher kann die linux community viel schneller reagieren auf dinge, wie spectre. microsoft muß updates erst prüfen, damit sie im schlimmsten fall nicht ein problem beheben und 3 weitere sicherheitslücken aufreißen.

wie gesagt, wer nicht mit windows klar kommt, kann ja zu linux wechseln.

 

[kisser]

edit: ich frage mich auch, was microsoft mit einem (UEFI) BIOS upgrade zu tun hat? richtig, gar nichts.

Hat ja auch keiner behauptet. Genausowenig haben Intel, AMD, ARM etc.. mit UEFI/BIOS zu tun.
Aber der neue Microcode muss irgendwo geladen werden und wenn das BS das tut, dann erwischt man alle Systeme und nicht nur die handvoll, für die es noch UEFI/BIOS-Updates gibt. Wurde aber alles schon öfter hier durchgekaut.

 

[The_Void]

irgendwo gabs eine seite mit software, die ermöglichte, beliebigen microcode zu laden. es scheiterte daran, daß dieser einfach zu spät von windows geladen wurde. aber mir fällt weder der name, noch die seite mehr ein.