News Ryzen und Epyc: Sicherheitslücke betrifft alle aktuellen AMD-Prozessoren

[Nizakh]

Nicht, wenn es um Erpressung oder Sabotage geht, Stuxnet als Beispiel. Auch Hacker im Auftrag von Firmen/Regierungen sind und bleiben Hacker.

Da würde ich aber eher von staatlichen Einheiten ausgehen. Die Entwicklung von Stuxnet hat angeblich mehr als doppelt so viel wie eine Atombombe gekostet. Und ja: Staatliche Einheiten Arbeiten mit Sicherheit auch Hand in Hand mit Sicherheitsforschern.

Fatalerweise bringen sie ihre Forschungsergebnisse online, bevor die Lücken geschlossen wurden. Das ist doch eher etwas, was ich nicht erwarten würde. Und natürlich profitieren die davon, muss nicht zwingend monitär sein.

Nicht unbedingt unüblich. IdR werden 6 Monate Zeit eingeräumt. Siehe die ganzen Veröffentlichungen durch das Google Security Forschungszentrum bzgl. anderer Produkte (auch die von Konkurrenten).

 

[mkl1]

Tja war klar daß man auch was bei AMD findet. Jetzt stellt sich die Frage wie wird AMD damit umgehen? Genauso unprofessionell wie Intel?
Und bisher steht AMD bei der Anzahl an Sicherheitslücken viel besser da als Intel.
Hoffe da kommt bald ein fix von AMD.

Na es wird erstmal hochprofessionell verschwiegen:

pro-aktiv ist der Konzern, der die Lücke seit sieben Monaten kennt, nicht an die Öffentlichkeit gegangen.

Desto größer die Verbreitung von AMD Prozessoren wird, desto mehr Sicherheitslücken werden zukünftig ans Tageslicht kommen. Zen 1 und Zen 2 sind ja noch recht neu im Gegensatz zu Intels Core Architektur, die grundlegend immer noch den gleichen Aufbau aufweisen.

 

[DarkerThanBlack]

Also, eine Sicherheitslücke wurde nun gefunden. Das ist auch gut so, denn dann kann man sich darauf konzentrieren und das Problem beseitigen.

Allerdings bei Intel habe ich mittlerweile den Überblick an Sicherheitslücken verloren und beschäftige mich einfach nicht mehr damit.
Da kaufe ich dann einfach AMD und weiß dann wenigstens was mich erwartet.

 

[WinnieW2]

Ist wohl leider Fakt dass je komplizierter eine CPU-Architektur ist desto wahrscheinlicher ist es dass darin verborgene Fehler stecken, und manche dieser Fehler lassen sich für Dinge ausnutzen welche die Chip-Entwickler so nicht beabsichtigt hatten.

Man sollte sich von dem Gedanken verabschieden dass CPUs perfekt bzw. frei von Fehlern sind.

 

[Piktogramm]

Lasst uns einfach hoffen dass es per Microcode gefixt werden kann.

Durch Abschalten der Funktion und entsprechenden Leistungseinbußen. Weswegen im Paper empfohlen wird, die ausgenutzte Funktionalität zur Laufzeit deaktivierbar zu machen.

Ich hoffe AMD reagiert jetzt endlich darauf! Meine Hoffnung ein deutlich sicheres System in der Zukunf haben zu können kippt gerade^^. Denn einfach via JavaScript & via Browser auf den Cache zugriff zu bekommen ist schon echt bitter und könnte täglich passieren!

Die Attacke ist unglaublich aufwendig und skaliert nicht all zu gut. Damit ist sie für Kriminelle im Massenmarkt unattraktiv. Allenfalls ganz besonders interessante Ziele würden den Aufwand lohnen.

Es reicht oft schon aus, nur Scripte von der Ursprungsseite zuzulassen. Dann sind Bananenrepublik-Werbenetzwerke etc. immer noch ausgesperrt.

Viel Spaß, typischerweise werden 1-20 externe Frameworks geladen ohne die oft nichts geht.

Fatalerweise bringen sie ihre Forschungsergebnisse online, bevor die Lücken geschlossen wurden. Das ist doch eher etwas, was ich nicht erwarten würde. Und natürlich profitieren die davon, muss nicht zwingend monitär sein.

Ohne öffentlichen, Gewinne gefährdenden Druck bewegt sich im Kapitalismus nichts.

 

[.Sentinel.]

aber auch dieser Punkt gefällt mir nicht:
"Angriffe seien dabei über JavaScript in Browsern wie Firefox und Chrome erfolgt, sowohl bei einem lokalen Gerät als auch über einen Cloud-Zugriff via Amazon AWS EC2."

DAS ist der Punkt, der einem Unbehagen bereiten sollte, da man über das Stadium des Theorems bezüglich einer Ausnutzbarkeit anscheinend schon im Exploit- Bereich liegt, wo aktiv ausgenutzt wird.

Ich gehe mal stark davon aus, dass Java nur als Vehikel für einen sekundären Angriffsvektor genutzt wurde, also das ganze nicht nur durch Java auszunutzen wäre.

Jetzt heisst es schnell aber besonnen handeln. Eine Situation in der AMD glänzen könnte.

Die Attacke ist unglaublich aufwendig und skaliert nicht all zu gut. Damit ist sie für Kriminelle im Massenmarkt unattraktiv. Allenfalls ganz besonders interessante Ziele würden den Aufwand lohnen.

Exakt - Wie "bequem" und Erfolgsversprechend bzw. zielführend ist dieses Verfahren im Gegensatz zu den üblichen Techniken, wo man über Softwarehintertürchen einsteigt. Das ist die Frage.

Ist der Aufwand zu hoch, ist auch das mal wieder nur eine "nette" News, wo allerlei Leute in Panik verfallen, die aber in der freien Wildbahn keinerlei Bedeutung erlangen wird.

LG
Zero

 

[Frankenstein0]

Dann baue ich jetzt mein Motorola 68000er ein.

 

[Termy]

Ich finde es immer wieder geil wie Intel Fans auf AMD Fans einschlagen und umgekehrt. Auch die Schadenfreude die manche dabei empfinden. Einfach nur kindisch.

Ich hatte/habe sowohl Intel als auch AMD Prozessoren und bin froh, dass auf dem Feld gesucht, geforscht und gefunden wird. Das kann nämlich nur zu sichereren Produkten führen. Verschont wird sowieso keiner bei der Komplexität dieser Produkte.

Wie @Baal Netbeck sagt wichtig ist es wie Intel/AMD und all die anderen damit umgehen.

Ich wollte grade so ziemlich genau das gleiche schreiben
Wir alle profitieren davon - und zum einen mit in Zukunft sichereren Produkten, zum andern lernen wir, wie professionell oder unprofessionell die Firmen damit umgehen.

Bei dieser konkreten Lücke klingt es für mich zum Glück danach, dass es nur innerhalb desselben Cores funktioniert. Da die Scheduler wegen dem CCD-Aufbau bei Ryzen die Threads deutlich weniger hin und her schieben sollten die praktischen Implikationen für einen Angriff via Browser wohl eher gering sein. In VM-Umgebungen könnte das ggf. schon anders aussehn.

 

[SIR_Thomas_TMC]

Mal sehen wie die Lücke funktioniert.

Das hab ich mich auch gefragt, was muss wie gemacht werden/passieren, dass die Lücke greift. Kann mir das wer in einfachen (!) Worten erklären?

Fatalerweise bringen sie ihre Forschungsergebnisse online, bevor die Lücken geschlossen wurden. Das ist doch eher etwas, was ich nicht erwarten würde. Und natürlich profitieren die davon, muss nicht zwingend monitär sein.

eigentlich wollte ich da auch was zu schreiben, aber unverschämter Weise hat das @Nizakh einfach schon erledigt:

Nicht unbedingt unüblich. IdR werden 6 Monate Zeit eingeräumt. Siehe die ganzen Veröffentlichungen durch das Google Security Forschungszentrum bzgl. anderer Produkte (auch die von Konkurrenten).

 

[Shririnovski]

War klar, dass irgendwann auch bei AMD Fehler gefunden werden. Bleibt abzuwarten, wie damit umgegangen wird. Bei Intel stört mich mehr, wie die mit ihren Lücken umgehen, bzw. diese sogar in Kauf nehmen. Vielleicht zeigt AMD da ja ein besseres Verhalten.

 

[bad_sign]

Interessant wird auch, ob 7 Monate gereicht haben, um Zen 3 darauf hin anzupassen.

 

[KlaraElfer]

Bei Intel stört mich mehr, wie die mit ihren Lücken umgehen, bzw. diese sogar in Kauf nehmen.

Hat Intel nicht mittlerweile ein Programm, welches Forscher bei Entdeckung einer neuen Sicherheitslücke auszahlt? Soviel ich weiß schon.

 

[Exar_Kun]

Von Intel gesponsorte Wissenschaftler...

 

[jk1895]

Wenn der Fix der Sicherheitslücke jetzt noch etwas Performance kostet, dann ist wenigstens Gleichstand bei dem kindischen Fanboy*-Krieg.

*nein, auch wenn es den Anschein hat, ich bin kein Intel Fanboy! 😛

 

[fortunes]

The key takeaway of this paper is that AMD’s cache way predictorsleak secret information. To understand the implementation details,we reverse engineered AMD’s L1D cache way predictor, leadingto two novel side-channel attack techniques. First, Collide+Probeallows monitoring memory accesses on the current logical core without the knowledge of physical addresses or shared memory. Second, Load+Reload obtains accurate memory-access traces of applications co-located on the same physical core.

Der Angriff ist auf den einen logischen bzw. physischen Kern beschränkt.

Es dürfte daher eines Software-/UEFI-Patches genügen, um die Zugriffe auf den logischen bzw. physikalischen Kern zu "kontrollieren".

 

[WinnieW2]

Wenn man sich die Anzahl der Sicherheitslücken bei Intel ansieht und es mit AMD vergleicht, sind die AMD CPUs in Ermangelung von Alternativen durchaus "hochsicher".

Provokante Aussage von mir, als Technik-Ketzer:
Ist eine Momentaufnahme.
Kann einfach daran liegen dass in Intel-CPUs nur länger und gründlicher nach versteckten Fehlern gesucht wurde im Vergleich zu AMD CPUs.
Hat der Autor ja auch sinngemäß so geschrieben.

Die wichtigeren Fragen dürften jetzt sein:

• Kann das per Software gepatched werden?
• Performance-Auswirkungen eines Patches per Software
• Wird das bei Zen 3 noch (in Hardware) gefixt werden?

 

[bad_sign]

Hat Intel nicht mittlerweile ein Programm, welches Forscher bei Entdeckung einer neuen Sicherheitslücke auszahlt? Soviel ich weiß schon.

Dann müssen daraus halt auch noch konsequenzen gezogen werden, nciht nur die Forscher zum Schweigen bringen!

Von Intel gesponsorte Wissenschaftler...

Intel erbringt hier einen guten Dienst! Je mehr Lücken aus der "guten" Ecke kommen, und hoffenltich gefixt werden, desto weniger bleiben für die "bösen"

 

[Shririnovski]

Hat Intel nicht mittlerweile ein Programm, welches Forscher bei Entdeckung einer neuen Sicherheitslücke auszahlt? Soviel ich weiß schon.

Ist doch sogar in der News, dass die ein Programm haben, das entsprechende Belohnungen auszahlt. Das finde ich an sich auch ein gute Sache.

Trotzdem, ich bleibe dabei, dass Intel sich nicht unbedingt mit Ruhm bekleckert hat als Specter/Meltdown bekannt wurden.

 

[Termy]

Na es wird erstmal hochprofessionell verschwiegen:



Desto größer die Verbreitung von AMD Prozessoren wird, desto mehr Sicherheitslücken werden zukünftig ans Tageslicht kommen. Zen 1 und Zen 2 sind ja noch recht neu im Gegensatz zu Intels Core Architektur, die grundlegend immer noch den gleichen Aufbau aufweisen.

Naja, dass eine nicht gefixte Lücke nicht rausposaunt wird ist Gang und Gäbe und ja auch nicht grundsätzlich falsch.
Wichtig ist, wie AMD jetzt reagiert wo es publiziert wurde - immerhin haben sie die Lücke schonmal nicht ignoriert/als nicht vorhanden bezeichnet, wie es andere Hersteller vorgemacht haben

 

[poi]

Das AMD seit August davon weiß und noch nichts passiert ist finde ich ziemlich traurig.