News Ryzen und Epyc: Sicherheitslücke betrifft alle aktuellen AMD-Prozessoren

[aldaric]

Vor 10Jahren sah das noch anders aus.

Vor 10 Jahren war plötzlich mal der Desktop gesperrt mit einer Kontoverbindung, an die man Summe X überweisen sollte...hach das waren noch Zeiten...als die Hacker noch normale Webseiten gekapert haben um ihren Schund zu verteilen.

 

[new Account()]

Die Virenbedrohung allgemein ist doch viel geringer als früher, insgesamt gesehen hat man sehr selten das Vergnügen mal einen Infekt auf dem Rechner zu haben.

Reicht doch anscheinend JavaScript von einer Webseite....

 

[goldener Reiter]

Herrlich, das war mit klar, dass es auch Lücken bei AMD's Architekturen gibt. Aber die hatten sich schon dermaßen auf Intel eingeschossen. Seit Ryzen 2 gibt es auch immer mehr AMD's im gewerblichen Bereich, da wird das schon interessanter. Long live 9900K!

Schau dir mal die Statistik in Post #208 an.
Sind so Leuten wie dir die Postings nicht peinlich oder soll das tatsächlich Satire sein? Befürchte, das ist leider ernst gemeint, dazu noch der Kommentar das du einen Intel besitzt. Was genau soll da "herrlich" sein das die Konkurrenz jetzt auch ein Sicherheitsproblem hat?
Die News mit der inzwischen unfixbaren Schwachstelle bei Intel findest du auch etwa "herrlich" oder sind das die sogenannten AMD Fanboys, die das dann behaupten sollten?

 

[00pflaume]

Von der Programmierung ziemlich ähnlich, ich wollte damit verdeutlichen du kommst um JavaScript nicht wirklich herum.

Es hat ja zig Jahre keinen gekümmert, von den 100 anderen Sicherheitslücken die noch nicht bekannt sind mal abgesehen.
Genauso wie Spectre/Meltown etc.

Es ist ganz ganz anders von der Programmierung. Java setzt sehr stark auf Typisierung, JavaScript hat gar keine wirkliche Typisierung. Java ist extremst Objekt orientiert JavaScript kaum.

 

[PhoenixMDA]

Wenn du meinst...Ich komm weder um Java noch JavaScript drum herum, schalte am besten deinen Rechner aus, dann bist du safe und bleib zuhause draußen wartet schon Corona.^^

 

[tstorm]

Tja war klar daß man auch was bei AMD findet. Jetzt stellt sich die Frage wie wird AMD damit umgehen? Genauso unprofessionell wie Intel?
Und bisher steht AMD bei der Anzahl an Sicherheitslücken viel besser da als Intel.
Hoffe da kommt bald ein fix von AMD.

Ich korrigiere dich mal:

"Und bisher steht AMD bei der Anzahl an gefundenen Sicherheitslücken viel besser da als Intel."


Ansonsten: Oh welch Überraschung. Sicherheitslücken bei AMD. Wär hätte das gedacht... Zumindest scheint es langsam lukrativ zu werden auch bei AMD mal genauer nachzusehen. Schön, spricht für wachsende Marktanteile.

Vielleicht sollte man auch bei ARM CPUs mal genauer hinsehen, sind immerhin schon deutlich weiter verbreitet.

 

[new Account()]

Es ist ganz ganz anders von der Programmierung. Java setzt sehr stark auf Typisierung, JavaScript hat gar keine wirkliche Typisierung. Java ist extremst Objekt orientiert JavaScript kaum.

JavaScript mittlerweile auch und dank TypeScript hat JavaScript jetzt auch statische Typisierung

 

[ModellbahnerTT]

Wenn das so weiter geht mit den Sicherheitslücken sollte man mal einen Blick auf freie Architekturen wie Risc-V legen.

 

[.Sentinel.]

On Topic "pro-aktiv ist der Konzern, der die Lücke seit sieben Monaten kennt, nicht an die Öffentlichkeit gegangen." Wenig rumreich AMD. Das geht besser!

Ist natürlich schwierig, da eine "richtige" Entscheidung zu treffen. Es ist ja durchaus möglich, dass das Szenario nicht so einfach zu fixen ist bzw. man bis jetzt keine effektive oder performante Mitigation entwickeln konnte.

Da ist die Variante erstmal zu schweigen und die Wellen niedrig zu halten um sich Zeit zu verschaffen um zu prüfen, wie man damit umgehen soll, nachvollziehbar.

Frühzeitige Veröffentlichungen solcher Lücken sind ein zweischneidiges Schwert. So ist die Wahrscheinlichkeit gegeben, dass es doch oftmals nur die (gekränkte) Eitelkeit der Forschergruppen befriedigt, weil man sich nicht ernstgenommen fühlte.
So klang es ja in vorhergehenden Veröffentlichten Intel Schwachstellen mehrfach ganz unverblümt an.
Manchmal sind die Lücken aber so tiefgreifend, dass man eben auch mal länger als ein halbes Jahr braucht, um diese effektiv zu bekämpfen.

Schau Dir mal die ersten Flicken bei Intel bezüglich Spectre/Meltdown an. Auch was für Performanceauswirkungen die hatten. Und jetzt schau Dir an, wie sich die Mitigations weiterentwickelt haben und performancetechnisch kaum noch ins Gewicht fallen (ein par synthetische Benchmarks ausgenommen).

Ich glaube dass AMD sehr wohl bereits längere Zeit prüft, wie sie diese Problematik ohne weiteres unkontrollierbares Verhalten bzw. Leistungseinbußen entschärfen kann.... Nur ist das wohl nicht so einfach.

Ich stelle hier zum Teil aber auch nur eine Reihe Hypothesen auf... Wir werden sehen, wie AMD jetzt damit umgeht.

LG
Zero

 

[WinnieW2]

Wenn das so weiter geht mit den Sicherheitslücken sollte man mal einen Blick auf freie Architekturen wie Risc-V legen.

RISC-V ist ein CPU-Befehlssatz, keine CPU-Architektur.
Es ist durchaus möglich eine RISC-V CPU mit dutzenden Sicherheitslücken zu entwickeln u. zu bauen.
Derzeit lautet die Devise für sichere CPUs wohl diese möglichst einfach zu halten u. nicht auf hohe Rechenleistung hin zu optimieren... wenn man Rechenleistung priorisiert muss man wohl mit den Risiken leben, oder die Entwicklung einer solchen CPU-Architektur – welche sowohl sicher als auch performant ist – dauert ein Jahrzehnt.

 

[Salamimander]

Aus der News wird null klar, was genau nun passieren kann. Afaik ist die Lücke leicht(er) aus zu nutzten aber nicht gravierend ?!

 

[PPPP]

Bisschen infantile Einstellung, das fällt Dir hoffentlich auf bei genauem Nachdenken, sonst sieht es düster aus.

Dieser ganze "Fanboy"-Komplex enhält den Zusatz "boy" nicht von ungefähr - sowas kann man noch bei Jugendlichen verstehen, Erwachsene machen sich ziemlich lächerlich.

Just my 2 cents zu einer Verhaltensweise, die beim Beobachter doch verstärkten Fremdscham erzeugt ...
in diesem Thread machen sich gleich auf Seite eins diverse Leute zum Affen.

@evilhunter

+1

Seltsam dass dir das gerade jetzt auffällt, unter den zahlreichen Intel News wurde das nie bemängelt ...
Sehe dass 1:1 genauso, aber dennoch interessant wie solche Kommentare unter Intel News nicht vorhanden waren, hinterlässt doch einen einseitigen Geschmack ...

Auch wenn es die wenigsten hören wollen und auf der anderen Seite die wenigsten verstehen weshalb, aber unter Intel News wird einfach mehr gebasht und die "Fanboys" sind in deutlicher Überzahl. Unter Intel News gibt es kaum vernünftige Kommentare, 99% geistiger Dünnschiss von "Fanboys" des anderen Lagers. Vielleicht liegt es auch daran, dass das günstigere Produkt wie du schon sagst mehr Jugendliche anzieht und diese offensichtlich vermehrt solch ein Verhalten an den Tag legen, nachvollziehen muss man es trotzdem nicht unbedingt können ...

Ich wünsche keinem Unternehmen Sicherheitslücken, aber in diesem Fall bin ich doch ganz froh, dass ein paar verblendete "Fanboys" anfangen zu verstehen, dass, wie hier schon erwähnt wurde, jedes Hardware Produkt zwangsläufig Sicherheitslücken enthalten wird. Menschen machen eben Fehler. Und AMD Prozessoren sind garantiert nicht "sicherer" als Intel Prozessoren. Da werden sich beide nicht viel schenken wenn man sich vor allem mal Intel ME / AMD PSP anschaut ...

Es ist lediglich eine Frage wo gesucht wird. Die Zen Architekur ist weniger als 3 Jahre alt und bis vor 2 Jahren war AMD kaum relevant mit einem Desktop Marktanteil von unter 8%.
Selbstverständlich wird nun, da AMD an Marktanteilen zunimmt, auch angefangen bei AMD zu suchen.

Der Anreiz bei AMD Prozessoren nach Sicherheitslücken zu suchen dürfte dennoch deutlich niedriger sein als bei Intel Prozessoren, da Intel nach wie vor bis zu 250.000$ für gefundene Sicherheitslücken zahlt - während AMD bis jetzt, zugegeben in Ihrer Position verständlicherweise, keinen Cent zahlt.
Somit werden in Zukunft auch weiterhin mehr Sicherheitslücken bei Intel Prozessoren als bei AMD oder ARM Prozessoren aufgedeckt und die AMD "Fanboys" werden es weiterhin sich zurechtlegen

Was für jeden außerhalb der Fanboyblase jedoch schon offensichtlich war, auch AMD Prozessoren haben Sicherheitslücken, da werden sie sich vom Marktführer kaum unterscheiden. Man muss nur auch für AMD und nach dem Erfolg in Zen Prozessoren suchen, was wohl langsam in die Gänge kommt.

 

[Benji18]

Vielleicht sollte man auch bei ARM CPUs mal genauer hinsehen, sind immerhin schon deutlich weiter verbreitet.

da gibts gerade eine Massive Sicherheitslücke von Mediatek ;-) da diese ARM Chips gerne in preiswerten Smartphones verbaut werden und hier durchaus das Updateverhalten der Hersteller nicht gerade Vorbildlich ist klafft diese lücke schon seit Mai 2019 und viele Hersteller haben diese bis heute nicht gefixt.

By the way diese wird bereits aktiv ausgenutzt und damit kann man ein Smartphone kapern.

 

[blauescabrio]

Wie schön, dass ich zwei Core i-PC und zwei Ryzen-PC habe. Da können die sich ja gegenseitig absichern, während ich bei Popcorn diesen Fred genieße. Jeder die Lücken des jeweils anderen.

 

[PPPP]

Ich korrigiere dich mal:

"Und bisher steht AMD bei der Anzahl an gefundenen Sicherheitslücken viel besser da als Intel."


Ansonsten: Oh welch Überraschung. Sicherheitslücken bei AMD. Wär hätte das gedacht... Zumindest scheint es langsam lukrativ zu werden auch bei AMD mal genauer nachzusehen. Schön, spricht für wachsende Marktanteile.

Vielleicht sollte man auch bei ARM CPUs mal genauer hinsehen, sind immerhin schon deutlich weiter verbreitet.

Wird wie gesagt nicht passieren, da weder AMD noch ARM ein Bug Bounty Program wie Intel mit einer Prämie von bis zu 250.000$ anbieten, dass einen großen Anreiz für Sicherheitsforscher weltweit liefert.
Daher werden Markenfetischisten auch weiterhin in Ihrer Traumwelt leben und denken dass eine Produkt wäre sicherer als das andere

 

[DerJungeDerIst]

...

Aha, anders herum wärs aber gut oder was 😆
Sorry, aber du regst dich über etwas auf was AMD eingebaut hat, nicht Intel hat den Fehler eingebaut.
Wenn du willst das man bei AMD keine Fehler sucht sag das einfach, dann kannst du aber auch nicht wissen ob du Fehler hast und worauf du achten musst.
Vergiss es, dieses herausreden ist langweilig und so durchschaubar.

 

[user2342]

Und erneut... Das Internet geht 1a ohne JS. Was nicht geht sind Sachen die kein Fallback haben weil die Entwickler der Seite zu faul waren CSS zu lernen. Man kann so viel mittels CSS machen dafür brauch man JS einfach nicht.

Da werfen Sie erneut völlig unterschiedliche Dinge in einem Topf.
CSS(Layout) und JS(Programmlogik).

 

[cookie_dent]

Long live 9900K!

Wieso? Gilt der als besonders sicher? Lol.....

Aus der News wird null klar, was genau nun passieren kann. Afaik ist die Lücke leicht(er) aus zu nutzten aber nicht gravierend ?!

Gute Frage.
Wenn es eine Intel CPU betreffen würde, wäre die Lücke "halb so schlimm", "interressiert eh niemanden" oder "Betrifft eh keinen".
Bei einer AMD CPU ist sowas natürlich "potenziell Katastrophal"

 

[zEtTlAh]

Erinnert mich irgendwie an "Mein Linux ist sicher" oder "Mein IOS ist sicher"... Ist es nicht, es interessiert nur keinen. Wo wegen dem Marktanteil nichts zu holen ist wird auch nicht gesucht.

Der AMD Gate wird auch nicht kommen, genau wie bei jedem Hersteller. Das wäre der erste Hersteller auf dem Planeten der frei von Fehlern ist.

Aber vielleicht hilft die jetzige Situation mal, dass das gegenseitige gebashe sich abmildert... Wobei ich da dran noch nicht glaube.

 

[PPPP]

Oder doch lieber den Intel-Boys ? 🤦‍♂️

Anhang anzeigen 885610

Das sind lediglich die gefundenen Sicherheitslücken, die interessieren nur leider keinen.
Interessant für Hacker sind Zerodays die nicht bereits veröffentlicht und damit noch nutzbar sind.

Der einzige Grund für das Mehr an gefundenen Sicherheitslücken bei Intel liegt am Bug Bounty Program.
Intel zahlt für jede gefundene Sicherheitslücke bis zu 250.000$ was ein großer Anreiz für Sicherheitsforscher weltweit ist. Weder AMD noch ARM zahlen auch nur einen einzigen Cent bei gefundenen Sicherheitslücken, was die aktuelle Lage erklärt.
Da AMD aber nun einen ordentlichen Sprung von Ihren 8% Marktanteil 2018 im Desktop Segment hingelegt haben, dürfte für Sicherheitsforscher auch ohne Prämie zumindest etwas Interesse bestehen, da die mediale Aufmerksamkeit wie man sieht nicht ohne ist.
Aber netter Versuch, von dem Nutzer aldaric hätte ich auch nichts anderes erwartet ehrlich gesagt.