News PSP: Auch AMDs „Management Engine“ hat Sicherheitslücke
- Ersteller Steffen
- Erstellt am
- Zur News: PSP: Auch AMDs „Management Engine“ hat Sicherheitslücke
W
Wadenbeisser
Gast
@ fdsonne
Dennoch bleibt die Frage ob die Infizierung beim Herunterfahren erhalten bleibt.
Ist das nicht der Fall müsste des bei jedem Neustart erneut infiziert werden und dann ist das System entweder mit allen Scheunentoren offen, womit dass das kleinste Problem wäre, oder der Code liegt lokal vor und der Infizierungsweg wäre doch wieder für Virenscanner und Co. erreichbar. So oder so wäre es dann noch auf Administrationsrechte angewiesen um überhaupt den entsprechenden Zugriff haben zu können. Also wäre zumindest ein Helferlein erforderlich das wiederum andere Schwächen ausnutzt um diese zu erlangen und selbst Spuren hinterlassen könnte. Das wäre dann zumindest eine doppelte Infizierung und damit die doppelte Chance erkannt zu werden.
Es mag möglich sein aber ob es auch sinnvoll ist steht auf einem anderen Blatt geschrieben.
Ob es ein unerkanntes Exploit gibt oder nicht ist doch erstmal egal denn wenn uns der Zirkus um Meltdown & Spectre eines gezeigt hat dann das es erst zum Problem wird wenn er entdeckt wurde denn es gibt ganz einfach keine Fehlerfreie Hardware. Dafür ist sie zu komplex. Im Zweifelsfall kann das auch 20 Jahre oder länger dauern bis sie gefunden werden, womit die Hardware von damals ohnehin obsolet wäre.
Jetzt könnte man zwar sagen das man einfach entsprechend viel neu entwickeln solle allerdings können sich dann auch wieder neue Schwachstellen einschleichen.
Unterm Strich bleibt es wie so oft bei einer grundlegenen Erkenntnis. Es gibt keine 100%ige Sicherheit und in Zeiten wo die Generation Facebook ihre Daten wie mit der Schrotflinte in der Landschaft verteilt ist selbst das Ausspähen am Endkunden PC immer uninteressanter weil man das auch sehr viel detailierter anderweitig findet.
Dennoch bleibt die Frage ob die Infizierung beim Herunterfahren erhalten bleibt.
Ist das nicht der Fall müsste des bei jedem Neustart erneut infiziert werden und dann ist das System entweder mit allen Scheunentoren offen, womit dass das kleinste Problem wäre, oder der Code liegt lokal vor und der Infizierungsweg wäre doch wieder für Virenscanner und Co. erreichbar. So oder so wäre es dann noch auf Administrationsrechte angewiesen um überhaupt den entsprechenden Zugriff haben zu können. Also wäre zumindest ein Helferlein erforderlich das wiederum andere Schwächen ausnutzt um diese zu erlangen und selbst Spuren hinterlassen könnte. Das wäre dann zumindest eine doppelte Infizierung und damit die doppelte Chance erkannt zu werden.
Es mag möglich sein aber ob es auch sinnvoll ist steht auf einem anderen Blatt geschrieben.
Ob es ein unerkanntes Exploit gibt oder nicht ist doch erstmal egal denn wenn uns der Zirkus um Meltdown & Spectre eines gezeigt hat dann das es erst zum Problem wird wenn er entdeckt wurde denn es gibt ganz einfach keine Fehlerfreie Hardware. Dafür ist sie zu komplex. Im Zweifelsfall kann das auch 20 Jahre oder länger dauern bis sie gefunden werden, womit die Hardware von damals ohnehin obsolet wäre.
Jetzt könnte man zwar sagen das man einfach entsprechend viel neu entwickeln solle allerdings können sich dann auch wieder neue Schwachstellen einschleichen.
Unterm Strich bleibt es wie so oft bei einer grundlegenen Erkenntnis. Es gibt keine 100%ige Sicherheit und in Zeiten wo die Generation Facebook ihre Daten wie mit der Schrotflinte in der Landschaft verteilt ist selbst das Ausspähen am Endkunden PC immer uninteressanter weil man das auch sehr viel detailierter anderweitig findet.
Ja, wäre interessant zu wissen, konkret geht es hier aber um einen relevanten Teil AMDs Security Features. In wie weit durch diese Geschichte hier ein Dauerhaftes Einnisten möglich ist oder nicht, ist aus Ermanglung an bekannten konkreten Angriffen halt nix bekannt. Ich sag aber mal so, geht man von aus, dass der PSP wie in der Präsentation bestätigt, Memory Access UND Ressourcen (also auch Storage) Access hat, wäre dir Frage eher, wie wahrscheinlich ist es, dass es NICHT den Boot überlebt. Das ganze noch gepaart mit der wohl bestätigten Tatsache, dass der Keystore auslesbar ist - damit hast alles um dich einzunisten.Wadenbeisser schrieb:
Das nüchtern zu bewerten, also ohne konkrete Umsetzung erfordert halt etwas Fantasie - ohne diese bleibts nur ne stumpfe unerlaubte code execution und der access zum Keystore. Man darf halt nicht verwechseln, die Newsmeldung bezieht sich auf das PoC des Teams, welches den Fehler fand, nicht auf ein aktuell laufendes Angriffsszenario. Das PoC hat NICHT zum Zwecke zu beschreiben was in allen Details möglich ist, sondern WIE man da ran kommt - was man dann draus machen kann -> Exploit, Fantasie oder wie auch immer...
Wadenbeisser schrieb:
Das ist aus meiner Sicht der Denkfehler bei diesen Themen - das Problem ist IMMER da, ohne öffentlich bekanntes Angriffsszenario weis davon nur keiner was, ABER was ist mit den nicht öffentlich bekannten Angriffsszenarien?
Würde man das weiter spinnen - ab sofort keine Lücken mehr publik machen und alles ist sicher? Weil weis ja keiner von?
Das hat was von Kopf - Sand beim Strauss
Ich stimme dir auch 100% zu, was die Sicherheit von Software angeht. Allerdings ist das nicht der springende Punkt - der ist aus meiner Sicht eher, dass solche Systeme wie IME, PSP oder andere Verschnitte aufgrund der Art und Weise, WIE man dort mit Infos umgeht und vor allem in Anbetracht der Zugriffsmöglichkeiten eigentlich völlig verboten gehören.
Was schützt mich denn das Teil? Was hab ich vom? -> Nichts... Außer Ärger, eben weil ich zu 100% weis, Software wie auch Hardware ist Angreifbar - um so komplexer, um so wahrscheinlicher. Das ist Programmierkurs erste Stunde. Anstatt in diese Richtung zu gehen, geht man den genau anderen Weg. DAS stinkt mich an der Sache halt so an.
Und weils nicht schlimm genug ist, fuscht (ja anders kann man das nicht bezeichnen) man bei dieser Security relevanten Komponente noch derart, dass Dritte mit externer Codebasis und nem ARM Emulator konkret auf Verdacht! ne Securitylücke aufspüren - und der Mist zieht dann auch wirklich. Unter Softwareentwicklungssicht ist das stumpfes Copy&Past, was AMD da betrieben hat. Wenn das in anderen Teilen des PSP Konstrukts so geht, kannste dir ausmalen, dass die selbst nichtmal wissen was das Ding genau macht/kann oder eben auch nicht
Nach der Ausführung fehlen hier schlicht Maßnahmen die aktiv eingebaut werden um derartige Angriffsversuche pauschal zu erschweren oder zu verhindern.
In der Bekanntgabe vom 3. steht dazu:
"As far as we know, general exploit mitigation technologies (stack cookies, NX stack, ASLR) are not implemented in the PSP environment."
Einfach nur
sowas hinzufrickeln...Das die Community sich dann noch hinstellt um ihre Schützlinge verbal zu vertreten - und PoCs gegeneinander aufzuwiegen, obwohl eher die Art und Weise zu kritisieren ist, wie sich der Hersteller hier präsentieren, anstatt ob die heute gefundene Lücke nun nen müh schwerer wiegt als die von gestern oder vorgestern - selbes Prinzip von Kopf - Sand, Herr Strass lässt grüßen.
W
Wadenbeisser
Gast
@ fdsonne
Der Zugriff auf den RAM wäre dann egal weil wenn Strom aus dann Daten weg und beim Zugriff auf Laufwerke wäre müsste doch der Virenscanner wieder dran kommen. Wenn er such also dauerhaft und unerkannt einnisten soll dann müsste er auch dauerhaft im Prozessor hocken bleiben, selbst wenn der Strom weg ist.
Zudem ist es auch kein Denkfehler zu sagen das eine unerkannte Sicherheislücke egal ist solange sie nicht entdeckt wurde denn so oder so wäre sie nicht nutzbar. Anderenfalls müsste man sich ganz von der IT fern halten. Wer absolute Sicherheit will wäre noch nicht einmal sicher wenn er in ner Gummizelle sicher. Ein Restrisiko bleibt immer.
Im übrigen hast du an der Stelle einen Denkfehler.
Würde man eine Sicherheitslücke nur nicht publik machen wäre sie dennoch entdeckt.
Der ARM Kern wurde seinerzeit wohl wegen seiner Trusted Shop Unterstützung integriert, ich kann mich noch dunkel zu den News von damals erinnern. Es dürfte billiger und einfacher zu integrieren gewesen sein als selbst etwas entsprechendes zu entwickeln, er war bis dahin unauffällig und brachte die Unterstützung gleich mit. Vielelicht das Gegenstück zu Intels "nach über 20 Jahren entdeckt" Bug?
Da könnte man jetzt auch ne "Was wäre wenn?" Diskussion draus basteln aber das hilft wohl niemanden weiter.
Der Zugriff auf den RAM wäre dann egal weil wenn Strom aus dann Daten weg und beim Zugriff auf Laufwerke wäre müsste doch der Virenscanner wieder dran kommen. Wenn er such also dauerhaft und unerkannt einnisten soll dann müsste er auch dauerhaft im Prozessor hocken bleiben, selbst wenn der Strom weg ist.
Zudem ist es auch kein Denkfehler zu sagen das eine unerkannte Sicherheislücke egal ist solange sie nicht entdeckt wurde denn so oder so wäre sie nicht nutzbar.
Anderenfalls müsste man sich ganz von der IT fern halten. Wer absolute Sicherheit will wäre noch nicht einmal sicher wenn er in ner Gummizelle sicher. Ein Restrisiko bleibt immer.Im übrigen hast du an der Stelle einen Denkfehler.
Würde man eine Sicherheitslücke nur nicht publik machen wäre sie dennoch entdeckt.
Der ARM Kern wurde seinerzeit wohl wegen seiner Trusted Shop Unterstützung integriert, ich kann mich noch dunkel zu den News von damals erinnern. Es dürfte billiger und einfacher zu integrieren gewesen sein als selbst etwas entsprechendes zu entwickeln, er war bis dahin unauffällig und brachte die Unterstützung gleich mit. Vielelicht das Gegenstück zu Intels "nach über 20 Jahren entdeckt" Bug?
Da könnte man jetzt auch ne "Was wäre wenn?" Diskussion draus basteln aber das hilft wohl niemanden weiter.
Ab welcher Generationen sind die CPUs gefährdet und benötigen Updates (Bulldozer, Piledriver, Steamroller, ...)? Excavator aka Carizzo ist ja offenbar betroffen. Mullins sagt mir gerade nichts, das ich mit einen verkauften Modell verknüpfen könnte. Scheiß Namensgewurstel bei AMD.
- Registriert
- März 2001
- Beiträge
- 17.197
Ich vermute für die CPU-Sicherheitslücken hat man aufgrund der Komplexität und Tragweite eine Ausnahme gemacht. Und es war ja auch nicht Google Project Zero allein, die die Lücken gefunden haben, d.h. eventuell hatten die das diesmal nicht ganz allein zu entscheiden.whyme schrieb:
90 Tage zählen ab Information an den Hersteller und nicht ab Veröffentlichung eventueller Fixes.Smartcom5 schrieb:
Was denn?Smartcom5 schrieb:
Weil: "Problematisch ist die Sicherheitslücke dennoch insofern, als dass einmal eingeschleuster Code für das Betriebssystem und eventuell vorhandene Antivirenprogramme fortan unsichtbar im Hintergrund läuft – mit Vollzugriff auf das System."Wadenbeisser schrieb:
Danke, ich habe meinen Beitrag korrigiert!Sepp2003 schrieb:Nein, die IME befindet sich nicht in der CPU, sondern im PCH.
https://en.wikipedia.org/wiki/Intel_Management_Engine
Wieso erweckt diese News bei dir diesen Eindruck?Smartcom5 schrieb:
Genau das steht in der News.Smartcom5 schrieb:
Laut der verlinkten Heise-News geht das erst seit den Anfang Dezember mit den für manche (?) Boards verteilten verteilten BIOS-Updates. Weißt du da mehr?Smartcom5 schrieb:
Ich finde du machst mit deinem Beitrag genau das, was du uns vorwirfst: Dinge überzogen darstellen.Smartcom5 schrieb:
Kann das jemand bestätigen?Wadenbeisser schrieb:
Ja, wie in einem vorigen Beitrag geschrieben ist das ein Punkt, der mir leider auch nicht klar ist. Es könnte auch sein, dass der Code ein ausschalten des Rechners überlebt (weil IME und PSP ja angeblich auch dann noch aktiv sein können), aber nicht das komplette Wegnehmen des Stroms. Wenn dazu jemand Informationen hat, dann bitte her damit!Wadenbeisser schrieb:
An der Stelle möchte ich kurz einhaken. Ich denke angesichts der frühen Berichterstattung habe ich die bekannten Fakten zu der PSP-Sache gut zusammengetragen, alle Quellen verlinkt die Tragweite sowohl im Verhältnis zu den IME-Sicherheitslücken als auch im Verhältnis zu Spectre und Meltdown eingeordnet. Es liegt mir vollkommen fern, hier AMD eins auszuwischen. Wer das glaubt (nicht dufdsonne schrieb:
) hat offenbar schon wieder vergessen, dass wir soweit ich weiß einen ganzen Tag vor anderen deutschen Tech-Medien über Meltdown berichtet haben, und das einen ganzen Tag lang mit der für Intel sicherlich nicht prickelnden Überschrift "Intel: Spekulationen über ernste Sicherheitslücke in allen CPUs". Für sachliche Kritik und Korrekturvorhschläge bin ich sehr offen. Und die meisten, da zähle ich dich definitiv zu, können ihre Kritik ja sachlich vortragen. Ich wollte klar(er) machen, dass die Sache nicht die Tragweite von Meltdown und Spectre zu haben scheint. Zumindest nicht den bislang bekannten Informationen zu Folge. Für mich stellen sich eher die im Abschnitt "Wenn Sicherheitsmechanismen unsicher sind" gestellten prinzipiellen Fragen.fdsonne schrieb:
Schwierig, vielleicht haben wir das, ja.fdsonne schrieb:
Zuletzt bearbeitet:
Fürs einnisten vllt, fürs Datenabfingern aber der Gau. Zwei unterschiedliche paar Schuhe.Wadenbeisser schrieb:
Und wie gesagt - The Registerer schreibt von code execution mit der Vorraussetzung, lokaler Admin zu sein. Üblicherweise kannst du bei aktuellen Systemen als lokaler Admin/Root User das Bios modifizieren, UEFI Einstellungen setzten, Updates einspielen und sonstwas. WriteAccess IST also perse gegeben. Ohne konkreten Code lässt sich der Umfang (Datenmenge) nicht beziffern, das können wenige Byte bis mehrere MB sein - die müssen da "nur" rein - was als lokaler Admin machbar ist und über die benannte Lücke führst du schlussendlich den Code aus. Thats it. Als Admin kannst du aber nicht zwangsweise eine Verschlüsslung umgehen, WENN die Keys sicher verschlossen wären.
Wadenbeisser schrieb:Zudem ist es auch kein Denkfehler zu sagen das eine unerkannte Sicherheislücke egal ist solange sie nicht entdeckt wurde denn so oder so wäre sie nicht nutzbar.
Im übrigen hast du an der Stelle einen Denkfehler.
Würde man eine Sicherheitslücke nur nicht publik machen wäre sie dennoch entdeckt.
Ich meine es andersrum - entdeckt ist entdeckt, ob das die Guten oder die Bösen waren, ändert nix. Dummerweise sagen die Bösen nix von ihren Entdeckungen
Gehst du also davon aus, dass nur bekanntes entdeckt bedeutet, bist du naiv. Unerkannt heist also für dich und weitestgehend auch für mich unbekannt - für Dritte, Böse wie vermeindlich "Gut" gilt das aber lange nicht. Deswegen ja Denkfehler. Kein Mensch weis wer schon munter das Thema ausnutzt. Abfingern von Cryptokeys ist Securitytechnisch ein NoGo. Dat ist wie dem Einbrecher die Schlüssel zu Schenken - muss er sich nicht mehr den Aufwand machen um einzubrechen - sondern schließt einfach auf. Gerade der Part mit der Memory-Hardwareverschlüsslung oder Nutzung des TPMs für HDD Vollverschlüsslung - kannste dir sparen, kostet unnötig Aufwand wenn da wer weis wie er zum Schlüssel kommt - und nach AMDs Aussage KOMMT! man da ran durch diesen Stuff hier...Übrigens - um Code als Admin ausgeführt zu bekommen, würde ich mich einem der Projekte anschließen, die sich wahlweise dem Thema Windows 10 Customizing, Disk Cleanup oder auch sehr nett, Bootmedium Creator für Install-Sticks/ISOs beschäftigen. Merkt kein Schwein wenn da was untergeschoben wird, solange das Tool vermeindlich das Ziel erreicht, was der User erreichen will...
Ähnlich der Geschichte hier:
https://www.computerbase.de/2018-01/anti-miner-fragliches-plugin-chrome-web-store/
Unaufälligkeit durch offensichtliches - klappt in unserer Gesellschaft sehr gut. Wozu verstecken? Das machts imho wieder auffällig. Ich weis, bisschen Verschwörungstheorie ist da schon drin - aber ich hätte da so schöne Ideen und würde es den bösen Buben nicht nur um Kohle gehen, wäre hier in der IT Security doch lange schon Schicht im Schacht!
Steffen schrieb:
Von mir wie gesagt definitiv nen Daumen hoch...
Gehe ich mit - dennoch bin ich ein Stück weit der Meinung, gerade die Artikel über soderlei Themen sollten soweit wie möglich wertungsfrei sein - eben um den Lesern die Wertung zu lassen. Wenn im Text schon relativiert und ggü. den anderen verglichen wird erweckt das für mich imm ein Stück den Eindruck, als lenke man die Leute (bewusst oder unbewusst -> KEINE Unterstellung, bitte nicht falsch verstehen)Steffen schrieb:
Gerade WEIL der andere Block so schwer im Magen wiegt ist mMn. der Vergleich schwer, für sich allein genommen ist das Abfingern von Cryptokeys ziemlich krasser Tobak, relativiert sich aber ggü. dem Memorydump eines Meltdown oder Teildump bei Spectre ein Stück. Allein bleibt der krasse Tobak aber über... Und das aktuell mit publik-Wissen, ohne definitivem Fix, der folgt ja noch.
Zum Rest, Thema per default aus - wage ich zu bezweifeln. Einerseits ist "nur" eine Teildeaktivierung möglich, andererseits muss bei Nutzung des PSP bspw. in Epyc Systemen für die Menory-Verschlüsslung das System schon sehr früh im Startprozess integriert sein.
Mal platt gefragt - wenn ich als Admin-User aus dem OS den PSP komplett deaktivieren könnte oder dieser komplett deaktiviert wäre - welchen Sinn hätte dieser dann? Eigentlich MUSS des Funktionsprinzips willen der Spaß unabhängig vom User sein...
Aber prüft doch mal intern nach - ihr habt doch mehrere Ryzen Systeme getestet? Keine Ahnung ob alle aktuellen Boards mit TPM geliefert werden oder nicht - TPM war früher eher Businessfeature und meist nicht bei Retailboards zu sehen. Ich guck mal, was der Medion PC sagt - Bios Update gibts aber im Moment schonmal nicht
Arcturus128
Captain
- Registriert
- Apr. 2015
- Beiträge
- 3.793
Allein die Tatsache, dass niemand sagen kann wie und was genau die PSP macht und ob Code nur mit Spannung erhalten bleibt zeigt doch, dass man auf solche Systeme lieber verzichten sollte. Es ist proprietär und es gibt quasi keine Dokumentation, was schon an sich schlecht ist. Aber dann hängt auch noch die Sicherheit davon ab, das geht gar nicht.
K
knoxxi
Gast
Das sind die Default Einstellungen bei mir...
K
knoxxi
Gast
Ok wusste ich nicht, danke für die Info
Ab welcher Generationen sind die CPUs gefährdet und benötigen Updates (Bulldozer, Piledriver, Steamroller, ...)? Excavator aka Carizzo ist ja offenbar betroffen. Mullins sagt mir gerade nichts, das ich mit einen verkauften Modell verknüpfen könnte.
Kennt keiner die Antwort?
Kann mir mal jemand erklären, warum 34 nach dem ersten IBM PC immer noch davon ausgegangen wird, das jeder der sich zu einem PC Zugang verschafft nur dem Idealbild Alice/Bob entspricht?
Angreifer im Sinne von Mallorie von innen und aus dem Netzwerk gibt es ja anscheinend nie, hat es nie gegeben und wird es nie geben.
Entweder es sind Sachen die bewusst offen sind (die Lücken der Management Engine lassen dies vermuten), Lücken die aus Unwissenheit offen sind oder aus Dummheit...
Angreifer im Sinne von Mallorie von innen und aus dem Netzwerk gibt es ja anscheinend nie, hat es nie gegeben und wird es nie geben.
Entweder es sind Sachen die bewusst offen sind (die Lücken der Management Engine lassen dies vermuten), Lücken die aus Unwissenheit offen sind oder aus Dummheit...
Dai6oro
Admiral
- Registriert
- Okt. 2006
- Beiträge
- 9.712
Excavator ist die letzte Ausbaustufe von Bulldozer aber in Bulldozer selbst war die PSP noch nicht verbaut, also kein FX-Prozessor betroffen. Mullins war ein mobile SOC der nur in wenigen Netbooks zum Einsatz kam z.B. HP Stream 14:
https://www.notebookcheck.com/Test-HP-Stream-14-z050ng-Notebook.128400.0.html
Der Prozessor war dann ein AMD A4 Micro-6400T.
Da hab ich ja doppelt Glück gehabt, erst Meltdown und jetzt noch die PSP Lücke. Naja, der Meltdown könnte noch kommen. Immer bei AMD dran denken den Vcore schön niedrig halten 
Touchthemars
Banned
- Registriert
- Feb. 2007
- Beiträge
- 332
Ähnliche Themen
