News Ryzen und Epyc: Sicherheitslücke betrifft alle aktuellen AMD-Prozessoren

[Multivac]

@HerrRossi
Durch messen von Zeit.

https://mlq.me/download/takeaway.pdf
2.2 Cache Attacks
Cache attacks are based on the timing difference between accessing cached and non-cached memory.

 

[goldener Reiter]

Naja, wenn das gescheit läuft...

Und was hat nun im speziellen Android mit der Arm-Architektur am Hut? Linux läuft da ebenso- gar ein Windows 10 IOT. Ich denke das du dich hier gerade gehörig verläufst.

Nope, ich rede von den meist verbreiten Systemen. Habe ja auch meine Aussage ergänzt das es sowohl Probleme mit ARM gibt, als auch mit den meist verbreitenen OS.
Man verläuft sich eher wenn man meint ARM und Windows sei das große Ding. Oder wie soll man deine Aussage verstehen?

 

[Gewuerzwiesel]

Nenne es wie du willst, ob gekauft oder finanziert. Fakt ist, durch die Finanzierung ist keine Neutralität gewährleistet, es entsteht auch ein fader Beigeschmack. Solche Institute sind von fortlaufenden Zahlungen abhängig. Und oh Wunder, auf einmal entdeckt man die Fehler bei AMD und nicht mehr Intel.
Da haben sie mal wieder zwei Fliegen mit einer Klappe geschlagen.
Wenn du das als neutral ansiehst, dann kannst du das. Ist aber eben deine Meinung, ich sehe es so wie geschildert wird.

Naja dürfen die Forscher nun gar keine Produkte von AMD analysieren? Zumindest in den Bereichen in denen ich aktiv war und es eben von anderen Kollegen/Freunden wurden die Verträge von mehreren Seiten durchgeackert um quid pro quo auszuschließen. Wir dürfen z. B. nicht mal Professoren zum Essen einladen, da es als Bestechung eines Amtsträgers ausgelegt werden kann...

 

[goldener Reiter]

Die dürfen das natürlich, ist schließlich nicht illegal finanziert zu werden. Ist halt nur mehr als blöd wenn es die selbe Branche ist und dann so etwas raus kommt über den Konkurrenten. Ich mein, ist doch echt Banane das irgendwie noch schön zu reden.
Ist genauso wie Studien von Ölkonzernen das es den Klimawandel nicht gibt. Du kannst mit Geld alles und jeden bezahlen das es zu deinem Gunsten ausfällt.

 

[guru_meditation]

Die Diskussion, wer die TU Graz finanziert finde ich total unnötig: mir ist wichtig, dass vorhandene Fehler gefunden werden, egal wie. Auch ist Häme seitens Intel Fanboys bei dem Thema unangebracht: wer bis zum Hals in Scheisse steckt sollte nicht darauf hinweisen, dass es beim anderen schlecht riecht.
Ich finde den Artikel leider nicht gut, mir fehlt die Einordnung des Fehlers. Das erwarte ich von IT Journalisten. Auf Heise ist ja erst gar nichts zu dem Bug zu finden, ob das besser ist...
In dem Twitterthread schrieb einer, dass man physischen Zugang zum Rechner braucht. Das würde natürlich die Kritikalität deutlich nach unten drücken. Auch das es noch keinen PoC geben soll finde ich erstmal komisch, würde natürlich auch eher dafür sprechen, dass die Kritikalität niedrig ist.

 

[new Account()]

Fakt ist, durch die Finanzierung ist keine Neutralität gewährleistet, es entsteht auch ein fader Beigeschmack. Solche Institute sind von fortlaufenden Zahlungen abhängig. Und oh Wunder, auf einmal entdeckt man die Fehler bei AMD und nicht mehr Intel.
Da haben sie mal wieder zwei Fliegen mit einer Klappe geschlagen.
Wenn du das als neutral ansiehst, dann kannst du das. Ist aber eben deine Meinung, ich sehe es so wie geschildert wird.

Ist doch absolut egal, ob neutral oder nicht: Wenn die Sicherheitslücke da ist, ist sie da. Da gibts nichts zu rüttlen.

 

[goldener Reiter]

An der Sicherheitslücke nicht, korrekt. Habe diese schließlich nicht bestritten.
Nur die Art und Weise und derjenige der das finanziert ist halt: Intel.

 

[Kuba]

Was ist denn eigentlich ein intel-fanboy und/oder amd-fanboy. Wie muss man sich das vorstellen? Hängen sich die kinder aus dem cb forum intel bzw. amd poster an die wände oder laufen mit entsprechenden shirts durch die gegend? Auf dem schulhof bzw. auf der arbeit in der pause wird dann gestritten wer die bessere firma ist?!

Ihr habt keine 5 ghz allcore ..., ihr habt so viele sicherheitslücken ..., amd hat bessere mc leistung ..., ach leck mich, intel ist gaming könig ... bla bla bla!

Das muss so hart peinlich sein und das forum spiegelt die betroffenen leute perfekt wieder auch wenn sie es nicht mal verstehen.

Wie kann man überhaupt ein fanboy von einem unternehmen bzw. einem produkt sein? Zum glück gibt es noch leute die etwas grips besitzen und produkte nach ihrem bedürfniss in verbindung mit dem P/L verhältniss kaufen.

Die anderen machen sich freiwilig in dem größten europäischen computer-fachforum zum horst, lang lebe das internet

 

[Pocketderp]

Nope, ich rede von den meist verbreiten Systemen. Habe ja auch meine Aussage ergänzt das es sowohl Probleme mit ARM gibt, als auch mit den meist verbreitenen OS.

Wenn wir schon beim Thema bleiben dann fokussieren wir uns aber weiterhin auf Arm für den Desktop, ja? keine Ahnung warum du nun ausgerechnet die Muse hast mobile Geräte und dessen Software mit in den Fokus zu ziehen. Und wie bereits schon mehrfach erwähnt ist Gruss bzw dessen Gruppe gleichwohl für die Entdeckung und Veröffentlichung von Meltdown verantwortlich, willst du nochmal mit dem Argument kommen das er parteiisch sei? Meines erachtens verteidigt er sich auf Twitter gegen solche Aussagen zurecht.

 

[RAMSoße]

In Zeiten von Corona und Hamsterkäufen geht diese Meldung sowieso unter.
Das ist wie mit datansammelden Apps. Interessiert keinen, außer Sicherheitsrelevante Unternehmen.
Unser IT-ler in der Arbeit wusste gar nicht was ich meine, als ich ihn damals auf Meltdown angesprochen habe -_-

Wie dem auch sei, ich muss dann mal wieder....Konserven stapeln....

 

[CableGuy82]

Ich verstehe das Drama (?) nicht. Es war klar, das AMD ebenfalls Sicherheitslücken hat und ich würde mich an Stelle von AMD bei Intel sogar bedanken (keine Ironie), bezahlen Sie doch andere für die Suche nach deren Sicherheitslücken.

Besser man weiß wo die Lücken sind und kann sie fixen, als das nur die "bösen Buben" (damit meine ich die wirklich Bösen - ausdrücklich nicht Intel) sie kennen und aktiv ausnutzen.

Oder?

 

[bad_sign]

An der Sicherheitslücke nicht, korrekt. Habe diese schließlich nicht bestritten.
Nur die Art und Weise und derjenige der das finanziert ist halt: Intel.

Wenn mans genau nimmt, kann man froh sein, das "Intel" Lücken in AMD CPUs findet. So kann sich AMD diese Forschungsgelder "sparen".
Wird die Lücke geschlossen, profitieren alle AMD Besitzer.

 

[RNG_AGESA]

Zensur

 

[ghecko]

Javascript im Browser ist schon länger per default OFF, erst recht unter Firefox

Das war auch nur ein Beispiel. Diese Mechanismen lassen sich auch außerhalb von Javascript in Browsern umsetzen. Nur ist diese Möglichkeit wohl das problematischste Beispiel.

 

[Cool Master]

Javascript im Browser ist schon länger per default OFF, erst recht unter Firefox

ttps://addons.mozilla.org/de/firefox/addon/noscript/

Das ist aber nicht wirklich "default". Das isn Addon und daher alles andere als "default". Zumal Firefox in Sachen Datenschutz und "nach hause telefonieren" seit einigen Jahren nicht mehr auf Platz 1 ist. Die sind mittlerweile nicht viel besser als Google.

 

[grützbrütz]

Die Lücke ist seit August 2019 bekannt und an AMD gemeldet worden. Bis heute ohne fix. Das ist schon versagt meiner Meinung nach.

Vermutlich Absicht, damit man schön viele ZEN2 verkaufen konnte.

Ergänzung (7. März 2020)

"Angriffe seien dabei über Javascript in Browsern wie Firefox und Chrome erfolgt "

Javascript im Browser ist schon länger per default OFF, erst recht unter Firefox

ttps://addons.mozilla.org/de/firefox/addon/noscript/

Tja dumm nur, dass 99.999% des heutigen Internets nicht mehr funktionieren ohne JS.

 

[frkazid]

Um welche Art von Metadaten handelt es sich denn?

 

[Nureinnickname!]

Jetzt sind die AMD Fans aber in der Zwickmühle.

Gibt irgendwo eine Liste mit allen aktuell bekannten Sicherheitslücken aktuellen Intel Prozessoren, waren glaube ich ein paar hundert Stück wenn ich mich nicht irre. Aber wie schon geschrieben wurde, keine CPU wird jemals absolut fehlerfrei sein. Weder von AMD noch Intel noch sonst wem

 

[adius]

Solche " Panik " Meldungen lese ich immer erst von hinten. Denn erst da steht das was WICHTIG ist, nämlich das Wurstkäse Als Privatanwender mit alleinigem physischen Zugriff usw. finde ich solche Wissenschaftlich gefundenen Lücken zwar interessant, sehe aber nun kein Grund auf andere mit dem Mahnfinger zu zeigen. Das gleiche auch bei anderen Fehlermeldungen die Software betrifft. Was der Mensch bisher erdacht hat war selten Perfekt. Bitte alle die NEGATIVE Erfahrung im Privatbereich, aber nur im Privatbereich, gemacht haben können ja mal ihre Crash's hier veröffentlichen. Aber bitte nur die die 100%tig auf die CPU Fehler zurück zuführen sind

 

[Nureinnickname!]

Könnte man genau so gut sagen, Sicherheitslücke bei Verschlüsselung gefunden, wenn der Angreifer das Passwort weiß, ist man quasi ungeschützt. Genau so ein Schwachsinn