News Ryzen und Epyc: Sicherheitslücke betrifft alle aktuellen AMD-Prozessoren

[Labberlippe]

Die Argumentation "benötigt physischen Zugriff" ist m.M.n. totales Bullshitbingo.
Denn jedes Programm welches mal läuft hat bereits physischen Zugriff.
Des weiteren gilt dies natürlich auch für JS welches im Browser physisch am jeweiligen Gerät läuft.

Nun stellt sich die Frage wie man in Zukunft all diese Fehlerquellen in der CPU ausschließen kann.
Ich denke es geht nicht, zumindest nicht mit einem veraltetem Design und Von Neumann Architektur.

Man müsste von Grundauf alles neu machen und Hard- und Softwareentwickler miteinbeziehen.
Ich denke nämlich dass sie schon jetzt selbst wisssen wo der Hund begraben liegt.

Hi

Unabhängig von pysisch.

Es gibt bei Windows die Möglichkeit ein eingeschränktes Benutzerkonto zu erstellen.
Damit kann man auch surfen und zocken.
Den meistens ist es halt zu lässtig bei Änderungen das Amin Konto zu benutzen oder PW einzugeben.

Meine Leute leben damit und haben keine Probleme mehr ( inkl Hirn einschalten ) und kennen "Lücken" und Viren nur noch von hören /sagen.

Auch rennen die noch brav und einmal im Jahr werden die Rechner gereinigt und die Paste gewechselt.

So nimmt man schon einiges an Wind aus den Segeln.

Gruss Labberlippe

 

[cbtestarossa]

Es gibt bei Windows die Möglichkeit ein eingeschränktes Benutzerkonto zu erstellen.
Damit kann man auch surfen und zocken.

Diese Möglichkeit bietet eigentlich Linux auch.
Ich halte generell sowieso nicht viel davon einem Useraccount ohne Passwortabfrage die Rechte erhöhen zu lassen.
Ich gehe sogar noch einen Schritt weiter und erlaube nicht mal das.
Wer administrieren will muss sich als Admin einlogen.
Ob in der GUI oder in Kommandozeile.

Naja aber gewisse CPU Bugs können dann auch ohne Adminrechte genuzt werden.
Und das ist dann gleich ein noch größeres Problem.
Es kann das OS quasi umschifft werden.
Und genau das erleben wir ja jetzt.

 

[Piktogramm]

Ja was bedeutet den physischer Zugriff.?

Physischer Zugriff bedeutet in der Regel, dass Angreifer die Hardware manipulieren können und sei es das Drücken eines Knopfes, setzen eines Jumpers, Anschließen von Logic Analyzern, Manipulation von Betriebsspannungen, Anschluss an Jtag/Serial whatever.

 

[Labberlippe]

Diese Möglichkeit bietet eigentlich Linux auch.
Ich halte generell sowieso nicht viel davon einem Useraccount ohne Passwortabfrage die Rechte erhöhen zu lassen.
Ich gehe sogar noch einen Schritt weiter und erlaube nicht mal das.
Wer administrieren will muss sich als Admin einlogen.
Ob in der GUI oder in Kommandozeile.

Hi

Das differenze ich immer.
Kommt darauf an ob jemand wirkliche solche sensible Daten hat.

Ein Bitlocker ist bei der Pro ist auch gratis und nutzen die wenigsten Leute.

Gruss Labberlippe

 

[bad_sign]

Es gibt bei Windows die Möglichkeit ein eingeschränktes Benutzerkonto zu erstellen.
Damit kann man auch surfen und zocken.

Man muss eignetlich nur die UAC anmachen, dann fährt man auch als User, bis man dem Prozess höhere Rechte freigibt.

 

[Labberlippe]

Man muss eignetlich nur die UAC anmachen, dann fährt man auch als User, bis man dem Prozess höhere Rechte freigibt.

Hi

Bringt nur nicht viel wenn div. User dann von UAC genervt sind und einfach weiterklicken.

Gruss Labberlippe

 

[AlphaKaninchen]

Man muss eignetlich nur die UAC anmachen, dann fährt man auch als User, bis man dem Prozess höhere Rechte freigibt.

UAC hilft nur auf höchster Stufe alles darunter lässt sich umgehen. Und was @Labberlippe schreibt kommt dann noch dazu.

 

[new Account()]

UAC hilft nur auf höchster Stufe alles darunter lässt sich umgehen.

Inwiefern? D.h. ich kann bei dieser Stufe mit Userrechten immer PrivilegeEscalation auf volle Administratorrechte erreichen?

Und was @Labberlippe schreibt kommt dann noch dazu.

Das passiert beim PW eingeben genauso.
Möglicherweise schon eher, weil der aufgewandte Zeitaufwand höher wird (insbesondere bei einem notwendigen Wechsel des Accounts).

 

[cbtestarossa]

Zuerst aktiviert man den Useraccount "Administrator" oder erstellt ein neues Adminkonto.
Dann muss den bereits bestehenden Useraccount einfach in die Gruppe BENUTZER oder HAUPTBENUTZER schieben und entfernt dann diesen User aus der Gruppe ADMINISTRATOREN.

Die UAC bringt dem normalen User sowieso nichts.
Denn erstens wird er sich entweder nicht auskennen und zweitens immer alles gefrustet wegklicken.
Also kann man die UAC auch gleich deaktivieren.

sei es das Drücken eines Knopfes, setzen eines Jumpers, Anschließen von Logic Analyzern, Manipulation von Betriebsspannungen, Anschluss an Jtag/Serial whatever.

Ja in der Theorie.
Da so gut wie alles nur noch per Software gelöst ist gibt es echte Hardwareschalter meist gar nicht mehr.
Betriebsspannungen kann auch ein Programm erledigen.
In den meisten Fällen sogar BIOS/UEFI manipulieren bzw flashen.
Auch sind m.W.n.Fehler in Chipsets und IME und anderen Spezial Sicherheitschips aufgetaucht.
Bietet dann gleich noch größere Angriffsfläche am OS vorbei.
Nee das ist alles nur Gebastel. Nicht Fisch nicht Fleisch.

 

[AlphaKaninchen]

Inwiefern?

In der Aufgabenverwaltung eine Aufgabe erstellen ist ohne abfrage möglich, kann aber Aufgaben ausfüren die eigentlich einer UAC abfrage bedürfen. Und mir ging es nicht um das PW sondern darum das User es einfach wegklicken

 

[new Account()]

Dafür, dass es ein Problem ist, müsste ein Programm (Userrechte, ohne UAC Abfrage) diese Änderung vornehmen können.
Wenn ich das selbst mache, ist das ja OK.

 

[Piktogramm]

Ja in der Theorie.
[...]

https://www.bsi.bund.de/SharedDocs/...netrationstest.pdf?__blob=publicationFile&v=3
Nix Theorie, Wortregelung die in der IT-Branche und beim BSI festgelegt ist.

Da so gut wie alles nur noch per Software gelöst ist gibt es echte Hardwareschalter meist gar nicht mehr.
Betriebsspannungen kann auch ein Programm erledigen.

Wie etwas implementiert ist, ist total egal. Irgendwo läuft der Kram auf einem physischem (körperlichem) Gerät. Dieses Gerät kann in seinem körperlichem Dasein manipuliert werden. Das wäre dann ein physischer Angriff, gegen den man auf völlig andere Art und Weise reagieren muss als gegen Angriffe auf den Logikschichten.

 

[AlphaKaninchen]

Dafür, dass es ein Problem ist, müsste ein Programm (Userrechte, ohne UAC Abfrage) diese Änderung vornehmen können.
Wenn ich das selbst mache, ist das ja OK.

calling the task scheduler

 

[new Account()]

Auch für ein Problem,

?

calling the task scheduler

Wie man dort sieht, wird das Programm in einer Administrator previligierten Kommandozeile ausgeführt (und ist zudem mit Windows Vista ausgeführt worden).
Oder hast du das eben selber ausprobiert (ohne Adminrechte?)

 

[AlphaKaninchen]

Wie man dort sieht, wird das Programm in einer Administrator previligierten Kommandozeile ausgeführt (und ist zudem mit Windows Vista ausgeführt worden).
Oder hast du das eben selber ausprobiert (ohne Adminrechte?)

Hab leider kein Windows, daher kann ich es nicht Probieren ich habe es nur mal vor einer ewigkeit gesehen das es wohl geht (daher kann ich leider nicht sagen ob es noch möglich ist)

 

[cbtestarossa]

@Piktogramm
Es macht einen Unterschied ob ein physikalischer Hardwareschalter exisitiert oder nicht.
Denn jede Softwarelösung kann attackiert werden.
Und was das BSI schreibt interessiert mich schon gar nicht.

Und noch mal zum mitschreiben.
In 99% aller Fälle wird irgend ein Programm auf einen PC losgelassen.
Da braucht nicht Werner Wichtig physisch davor sitzen oder gar den PC aufschrauben.
Denn kein Mensch könnte so schnell denken und reagieren wie eine CPU arbeitet.

 

[Labberlippe]

Inwiefern? D.h. ich kann bei dieser Stufe mit Userrechten immer PrivilegeEscalation auf volle Administratorrechte erreichen?



Das passiert beim PW eingeben genauso.
Möglicherweise schon eher, weil der aufgewandte Zeitaufwand höher wird (insbesondere bei einem notwendigen Wechsel des Accounts).

Hi

In der Regel ist für die meisten User eine PW Eingabe wieder etwas anderes als nur UAC zu bestätigen.

Da hat er nochmal ein deutlicheres Stop.
Einige hatten mich dann zusätzlich angerufen ob es wohl passt.

So kommt auch eine gewisse Lernkurve dazu.

Gruss Labberlippe

 

[new Account()]

Da hat er nochmal ein deutlicheres Stop.

Ich würde mal sagen jedem das seine. Nicht jeder ist gleich.
Bei mir tuts die UAC. Wenn Bedarf ist, kann man sich einen sparaten Account anlegen - wenn nicht, dann nicht.
Ob jetzt die meisten so sind oder so (vermutlich war weißt du das auch nicht), ist im Prinzip egal.

 

[cbtestarossa]

Ja nur hilft da eine Passworteingabe auch nur bedingt wenn Hugo Habicht plötzlich ADMIN Rechte erhält aber ansonsten null Tau von Tuten und Blasen hat.

Und genau das ist das Problem seit Jahrzehnten.
Dass man ADMINRECHTE für jeden Bockmist benötigt.
Und sei es nur dafür um ein stinknormales Anwenderprogram zu installieren.

Zusätzlich noch das Problem dass so gut wie jedes Progamm so gut wie jede Datei der ganzen Platte zumindest lesen kann.
Und viele Arbeitsdateien löschen oder gar per Erpressungstrojaner verschlüsseln kann.
Und dafür aber keine Adminrechte benötigt.

Die OS Hersteller sollten mal ihr Hirn einschalten und etwas bauen was dem entgegenwirkt.
Die UAC ist nur eines, nervig und sinnlos.

 

[zelect0r]

Was bringt einem die Hoch-Sicherheits CPU, wenn man sich danach per Software zum Abschuss frei gibt?
Richtig, nichts!

Und die Wahrscheinlichkeit das genau diese Sicherheitslücke gegen einen Verwendet wird, ist wohl eher gering.

Seit XP bin ich mit einem Standard Nutzer Konto ohne Admin Rechte unterwegs und kann das nur jedem empfehlen.
Wer da keine Lust drauf hat, wird wohl eher mit der Argumentation kommen, "das ist mir zu aufwendig".
Und da dies genau die Mehrheit behaupten wird, interessiert eine solche CPU Sicherheitslücke auch kaum jemanden.
Außer natürlich den treuen CB'lern und sonstigen Nerds, die wissen aber auch wie man sich sonst gut schützen kann.

Wie sieht es denn eigentlich mit den SoCs bei Android aus?!
Worüber heutzutage mehr gemacht wird denn je!

Ich glaube das daß Know How um eine solche Lücke erfolgreich nutzen zu können,
dermaßen hoch sein muß, das dadurch auch das Ziel eines sein wird, mit dem sich der Otto Normal Verbraucher kaum identifizieren kann.