News Ryzen und Epyc: Sicherheitslücke betrifft alle aktuellen AMD-Prozessoren

[Ned Flanders]

Sorry Naru, schonmal meltdown @work gesehen?

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

Diejenigen Daten, welche dabei erfasst werden können, sind so bruchstückhaft, dass es fast schon an ein Wunder grenze, mittels dem Verfahren, die Speicherhierarchie gänzlich auszutricksen, daraus "verwertbare" Informationen zu erhalten. So viel dazu.

 

[Onkel Föhn]

Somit werden in Zukunft auch weiterhin mehr Sicherheitslücken bei Intel Prozessoren als bei AMD oder ARM Prozessoren aufgedeckt und die AMD "Fanboys" werden es weiterhin sich zurechtlegen

https://www.pcgameshardware.de/Sich...indendes-Vertrauen-in-Chiphersteller-1345002/

MfG Föhn.

 

[bad_sign]

@Ned Flanders
ah Meltdown ist praktisch ein Livestream für Hacker, mit wirklich allen Daten

 

[or2k]

@Volker AMD hat sich nun zu den "neuen" Lücken geäußert, wäre einen Artikel-Update schon wert:
https://www.amd.com/en/corporate/product-security

 

[grützbrütz]

@Ned Flanders Die Beispiele sind irreführend. Man kennt die genauen Speicheradressen nicht und kann nicht gezielt wie in den Videos dargestellt was abgreifen.

 

[Naru]

Sorry Naru, schonmal meltdown @work gesehen?

Nein, noch nicht.
Der Baukasten muss zuerst einmal beherrscht werden und der Angreifer ins System geschleust.
Ich denke nicht, dass die Komplexität, welche damit verbunden ist, Schule mache, sodass sich die Computer-Nutzer ernsthaft sorgen machen müssen.
Ich nehme an, dass es sich um Meltdown-PK handelt, ergo Spectre Next Generation Variant 3a (Google Project Zero Variant 3a) und Meltdown-US, ergo Spectre Variant 3 (Google Project Zero Variant 3).

Ich gebe zu, ich bin beeindruckt.
Ein bisschen Angst macht es mir durchaus, wenn eine solche Attacke so zuverlässig ganze Bytes zusamenträgt.

 

[Ned Flanders]

Man kennt die genauen Speicheradressen nicht und kann nicht gezielt wie in den Videos dargestellt was abgreifen.

Na dann leakst du halt memory bis dur was brauchbares hast, Meltdown ist durchaus performant genug dazu.

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

Von so bruchstückhaft das es Wunder braucht kann da keine Rede sein.

 

[Foxley]

zum Glück kontrolliere ich sehr streng Java und Flash.Ist mir sehr schnell aufgefallen das Java und Flash die Türöffner für alles sind.Der Trend geht zu Python.

 

[ghecko]

Ist mir sehr schnell aufgefallen das Java und Flash die Türöffner für alles sind

Don't hate the game, hate the computer.

 

[grützbrütz]

@Ned Flanders Und wieder ein peinliches Beispiel Video. Die Leserate ist ja ein Witz in dem Video. Wie hoch ist die bei Meltdown? Ich mein paar kb/s. Die musst du dann auch lokal dann speichern und abgreifen, das geht zB nur in einer VM, und nicht per JS übers Internet. Du brauchst also lokalen Zugriff. Und dann 10 Tage den Speicher speichern für 16gb? Ja ne ist klar.

 

[tidus1979]

Wird Zeit dass Apple sich mit seinen Prozessoren einmischt. Vielleicht werden die alten Saurier dann wach.

 

[ghecko]

Du brauchst also lokalen Zugriff.

Es ist gar nicht so schwer Leute dazu zu bringen irgend einen Rotz zu installieren. Es muss nur irgendwo leicht erreichbar liegen und der Name suggerieren, dass es deinen PC schneller macht. Oder was mit Pornos zu tun haben. Man erinnere sich an Winmuschi.

Die musst du dann auch lokal dann speichern und abgreifen

Was spricht dagegen?

das geht zB nur in einer VM

Nein?

und nicht per JS übers Internet

Keine Ahnung was du mit JS meinst, aber das geht. Programme können Daten ins Internet hochladen. Sogar streamen. Man denke nur an Twitch.

Du brauchst also lokalen Zugriff

Hat der User, der dein Programm installiert hat. Oder deine kompromittierte Webseite geöffnet hat.

Und dann 10 Tage den Speicher speichern für 16gb? Ja ne ist klar.

Das gute an wichtigen Dingen ist, dass sie immer an ganz bestimmten Orten abgelegt werden. Man muss nur wissen wo man suchen muss. Vllt ist das Programm sogar so schlau und kann die Informationen selbst separieren. Dann muss es seine Errungenschaften nicht live ins Netz dumpen. Irgendwann kommt was wichtiges dabei raus.

 

[grützbrütz]

@ghecko PEEEEINLIIIICH Was du da redest, oh man. Wenn man "irgend ne software (aka virus) installiert / ausführt" ist es völlig WAYNE, die braucht dann kein Meltdown und Co mehr. Nein JS kann keine tmp dateien speichern und die einfach so wo hochladen ohne dass man das mit bekommt (zustimmt wie auch immer). Los zeig mir den "proof on concept" dazu, nicht? Es gibt auch keinen. Mein Gott, ist das wirklich so schwer zu kapieren? In einer VM geht das, weil man da lokal speichern kann und das dann abgreifen kann, und so eine VM (cloud VPS) auch lange genug an ist, damit sich das lohnt bzw man Erfolg haben könnte. Ich habe auf allen PCs und Tablets von mir alle Meltdown und Spectre patches, mitigations und microcode updates deaktiviert oder nicht aufgespielt. Und das bleibt auch so.

 

[ghecko]

die braucht dann kein Meltdown und Co mehr

Wenn die Software dich nach Administratorrechten fragt und du sie gewährt, möglich. Aber das wäre schon sehr auffällig.

Nein JS kann keine tmp dateien speichern

Ach, du meinst Java Script? Bin kein ausgewiesener "JS" Experte, aber sind es nicht meist Seiten die mit JS irgend ein Loch im Browser nutzen um Code auf dem Rechner auszuführen?

 

[grützbrütz]

irgend ein Loch im Browser nutzen

"die braucht dann kein Meltdown und Co mehr"

 

[ghecko]

Nur weil ein Loch im Browser existiert, muss man nicht gleich mit javascript Zugriff in den ring 0 erhalten. Das ticket dahin aus ring 3 kann aber zb meltdown sein.
Deine Argumentation ist konfus.

Wenn man Corona bekommt war die Grippeimpfung ja vergebens! Das bist du.
Weißt du was doof ist? Corona und Grippe.
Na ja, Wasser fürs Aquarium.

 

[new Account()]

Bitte Quelle angeben, Schutzbehauptungen bringen uns nicht weiter!

Für die Nichtexistenz kann ich wohl kaum Quellen angeben.
Die Schlussfolgerung folgt aus gesundem Menschenverstand und ist sowieso nur Spekulation (aber eine imho sinnvolle)

 

[Rockstar85]

Gesunder Menschenverstand und IT...
Gleich machen wir dann noch Glaskugel lesen? 80% der Aussagen hier sind echt ein Witz und entbehren jeglicher Sachlichkeit...

 

[new Account()]

Gesunder Menschenverstand und IT...

Ja, einige scheinen diesen abzulegen sobald es um IT geht. Keine Ahnung haben, aber die Firma, von der ich gerade nicht Fanboy bin, kann nichts und muss mit allen Mitteln niedergemacht werden.

Aber egal - ich klinke mich aus - und frage warum ich überhaupt bei so einen Unsinn mitmache - Zeit verschwenden geht angenehmer.
Die Fanboys dürfen sich nun gerne auf die Schultern klopfen, dass mir die Argumente ausgegangen sind.

 

[bad_sign]

@Volker AMD hat sich nun zu den "neuen" Lücken geäußert, wäre einen Artikel-Update schon wert:
https://www.amd.com/en/corporate/product-security

Wow das ist schwach..
Ich hoffe mal nach dem WE kommt da mehr.

Ergänzung (8. März 2020)

Ja, einige scheinen diesen abzulegen sobald es um IT geht. Keine Ahnung haben, aber die Firma, von der ich gerade nicht Fanboy bin, kann nichts und muss mit allen Mitteln niedergemacht werden.

Aber egal - ich klinke mich aus - und frage warum ich überhaupt bei so einen Unsinn mitmache - Zeit verschwenden geht angenehmer.
Die Fanboys dürfen sich nun gerne auf die Schultern klopfen, dass mir die Argumente ausgegangen sind.

Von Fanboy Argumenten reden und dann auf mögliche, weitere, bisher nicht nachgewiesene Sicherheitslücken mit unbekannten Auswirkungen und Anzahl reden....
Na wer zieht hier sich seine Argumente herbei?