Du verwendest einen veralteten Browser. Es ist möglich, dass diese oder andere Websites nicht korrekt angezeigt werden. Du solltest ein Upgrade durchführen oder einen alternativen Browser verwenden.
NewsSicherheitslücken: OpenBSD warnt massiv vor Intels Hyper-Threading (SMT)
Du hast erfolgreich auf mehreren Seiten gekonnt vom Thema abgelenkt. Aber wir sind nicht doof, OK und jetzt finde dich damit ab, dass die INTEL Prozessoren nun mal nicht sicher sind und dieses Problem INTEL weiterhin verfolgen wird.
Das Fazit dieser News:
Theo de Raadt „Ich werde mein Geld in Zukunft bei einem vertrauenswürdigeren Anbieter ausgeben“.
Ich frage mich, weshalb einige sich so mit einer Firma identifizieren, wo tuts denn weh? Und zum Schluss noch, die Designfehler von INTEL betreffen uns Verbraucher auch, nicht nur Serverbetreiber, aber da werden Behauptungen aufgebaut.
Ja, genau, ICH habe von dem Thema abgelenkt. Alles klar.
Und ich finde es sehr schade, dass Du ein branchenweites Problem als Hebel verwendest, um Deiner Abneigung gegen eine bestimmte Firma zu huldigen. Das sieht man ja immer wieder, nicht nur bei Intel sondern auch bei NVidia, Apple, Microsoft und vielen anderen. Da ist so viel Emotion drin, so viel Hass, und auf der anderen Seite, zu den jeweiligen Konkurrenten, fast schon eine aufopfernde Zuneigung und Liebe, dass ich mich echt frage, wie man sein Leben und sein Weltbild um so etwas wie Konzerne und deren Produkte aufbauen kann.
Wenn es AMD auf dem Weg, den sie gerade beschreiten, tatsächlich langfristig gelingt den großen Konkurenten in Schach zu halten oder sogar zu übertreffen, dann wäre das optimal für den Markt und den Kunden. Auf diesem Weg wünsche ich AMD allen besten Erfolg. Das selbe gilt auch für die GPUs, mit einem anderen Gegenspieler freilich.
AMD hat es dazu aber eigentlich gar nicht nötig, dass irgendwelche ...boys mit Verschwörungstheorien um die Ecke kommen und auf Teufel komm raus ein Problem für "ihren" Hersteller kleinreden oder in Abrede stellen, nur um den Konkurrenten schlechter dastehen zu lassen.
Ja, genau, ICH habe von dem Thema abgelenkt. Alles klar.
Und ich finde es sehr schade, dass Du ein branchenweites Problem als Hebel verwendest, um Deiner Abneigung gegen eine bestimmte Firma zu huldigen. Das sieht man ja immer wieder, nicht nur bei Intel sondern auch bei NVidia, Apple, Microsoft und vielen anderen. Da ist so viel Emotion drin, so viel Hass, und auf der anderen Seite, zu den jeweiligen Konkurrenten, fast schon eine aufopfernde Zuneigung und Liebe, dass ich mich echt frage, wie man sein Leben und sein Weltbild um so etwas wie Konzerne und deren Produkte aufbauen kann.
Du redest Unsinn! Du schließt von Dir auf andere! Solche Äußerungen wie Deine zeigen meisten ein Mangel an Argumenten, der mit einem Angriff auf die Person kaschiert wird.
Und Du lenkst wieder von Thema ab.
Nochmal für Dich! INTEL Prozessoren sind laut Theo de Raadt nicht sicher und er wird in Zukunft keine INTEL Prozessoren kaufen!
Und das sollte einen zu denken geben. Daher keine INTEL Prozessoren laut Theo de Raadt kaufen, nur weil DU ein INTEL Prozessor hast und Deine bevorzugte Firma jetzt ein großen Problem hast, muss DU sie nicht verteidigen.
Sach ma, geht's noch? Wer bist Du denn, mir hier das Wort verbieten zu wollen, weil ich es wage, einen anderen Standpunkt als Du zu vertreten? Das ist, gelinde gesagt, eine ziemliche Unverschämtheit.
Mir ist reichlich egal, was ein Theo de Raadt sagt, aber beim heutigen Stand der Dinge davon auszugehen, dass ausschließlich Intel von den Prblemen bei SMT und speculative execution betroffen wären, halte ich für reichlich gewagt. Zumal ja von Anfang an ziemlich klar gesagt wurde, dass praktisch alle modernen CPU Architekturen grundsätzlich anfällig wären.
Aber bitte, träum ruhig weiter und fröhne Deinem geliebten Hersteller.
Wenn es AMD auf dem Weg, den sie gerade beschreiten, tatsächlich langfristig gelingt den großen Konkurenten in Schach zu halten oder sogar zu übertreffen, dann wäre das optimal für den Markt und den Kunden. Auf diesem Weg wünsche ich AMD allen besten Erfolg. Das selbe gilt auch für die GPUs, mit einem anderen Gegenspieler freilich.
betrachte es einfach mal anderes herum, Intel hat über jahre hinweg um das letzte Quentchen Leistung aus den Prozessoren zu holen die Sicherheit massiv vernachlässigt (wäre das Problem nur im Desktop bereich würde es vermutlich nicht so dramatisch sein). Das ganze betrifft allerdings VM Anbieter und zwar Azure, AWS & CO und hier geht es ums Geschäft und da ist dies praktisch ein massiver schaden (hier geht es auch bei Intel um viel Geld). Was für Intel hier viel schwieriger werden wird ist das man sich damit den Ruf und das Vertrauen zerstört und dann hat man langfristig gesehen massive Probleme im Markt seine Position zu halten.
Was Du schreibst klingt so, als hätte Intel die Sicherheit insbesondere in den letzten Jahren für mehr Performance geopfert. Aber das ist nicht ganz korrekt so.
Nochmal, beschäftigt Euch damit, wie die Attacken funktionieren, bevor ihr solche Behauptungen in die Welt setzt.
Als die Techniken erstmalig eingeführt wurden, wurden bestimmte Annahmen getätigt. Eine davon war, dass es ausreicht, bei einer zurückgrollten (also letztlich nicht legalen oder gewollten), spekulativen Ausführung, den Prozessor derart in einen korrekten Zustand zurück zu versetzen, dass es für den Prozess nicht mehr möglich ist, auf irgendwelche Resultate oder Informationen aus der zurückgerollten Ausführung zuzugreifen oder auf sie schließen zu können.
Niemand ist damals auf die Idee gekommen, dass ein zweiter Prozess über Sidechanneling und Zeitmessungen indirekt Rückschlüsse auf die eigentlich nicht sichtbaren Ergebnisse ableiten könnte. Diese Idee ist auch wirklich alles andere als offensichtlich.
Und es ist eben NICHT nur Intel, die in diese Falle getappt sind. Nahezu alle, wenn nicht gar wirklich alle Architekturen haben wohl das selbe Problem.
In wie weit das nun auch für SMT gilt, kann ich nicht sagen. Aber es ist naheliegend, dass es bei SMT ähnliche Probleme wie bei speculative execution gibt.
Das jetzt immer wieder zitierte "Intel hat Sicherheit auf dem Altar der Performance geopfert" klingt zwar irgendwie logisch und nachvollziehbar, aber das als bewusste Entscheidung hinzustellen, greift zu kurz. Es ist ja nichts neues, dass bei einer neuen Idee und Technologie noch nicht gleich alle Konsequenzen offen liegen und sich erst über Jahre zeigen. Das gibt es überall und der Mensch hat oft gar keine andere Chance als über Fehler und auftretende Probleme zu lernen. Niemand kann alles, was theoretisch passieren kann, von anfang an abschätzen.
Ich habe am Wochenende auf der FrOSCon mit einem Amazon-Vertreter über das Thema L1TF/Foreshadow gesprochen. Er hat betont, wie wichtig Amazon es ist und wie hart sie daran gearbeitet haben, dass die Kunden durch die Sicherheitspatches höchstens geringe Einbußen haben (nur wenige Prozent im allgemeinen Fall, bestimmte Workloads sind jedoch stark betroffen).
Aber den Schaden haben am Ende die AWS-Kunden, denn sie bekommen zum Ausgleich nicht mehr Rechenzeit o.ä. zugeteilt. Bei anderen Anbietern wird es denke ich ähnlich sein, keiner wird auf dem Schaden sitzen bleiben, sondern er wird schön an die Kunden weitergereicht.
Was Du schreibst klingt so, als hätte Intel die Sicherheit insbesondere in den letzten Jahren für mehr Performance geopfert. Aber das ist nicht ganz korrekt so.
Das ist ja auch der fall ob Sie es nun absichtlich gemacht haben oder nicht (ich spreche ihnen jetzt nicht die Absicht ab vielmehr wurde das Risiko einfach inkauf genommen), siehe AMD und deren Implementierung, wenn das ein regelfall wäre dann müsste es durch die bank sämtliche CPU Architekturen betreffen die spekulative Ausführungen erlauben. Intel hat eben gewisse Annahmen getroffen und auf weitergehende Prüfungen verzichtet also ja das ist sehrwohl ein Thema bei Intel das ihnen gerade um die ohren fliegt.
und daher wird das auch einen Wirtschaftlichen Schaden nach sich ziehen und perfekt ist niemand auch AMD hat oft genug in die sprichwörtliche "schei****" gegriffen.
Sach ma, geht's noch? Wer bist Du denn, mir hier das Wort verbieten zu wollen, weil ich es wage, einen anderen Standpunkt als Du zu vertreten? Das ist, gelinde gesagt, eine ziemliche Unverschämtheit.
Ja, es geht noch. Denn ich bin derjenige der dir hier das Wort nimmt die du diesen Beitrag anscheinend nicht verstehen kannst oder willst.
Die Schreibrechte für diesen Thread erhältst du in 6 Monate wieder.
Aber auch alle anderen sollten sich am Threadthema halten. Für private Differenzen gibt es die "Unterhaltung".
Hier wurde mehrfach gesagt, dass nur virtuelle Maschinen (VMs) von der Sicherheitslücke betroffen sind und das es daher eher ein Problem von Hostern ist und nicht von Privatpersonen.
Ihr wisst schon, dass das System auch automatisch VMs erstellt und verwendet, oder? Beispielsweise jedes Mal, wenn ihr ein Java-Programm ausführt. Beispielsweise auch Minecraft (welches ja in Java geschrieben wurde).
Aus diesem Grund hat die Sicherheitslücke aus meiner Sicht ein anderes Ausmaß, als viele hier meinen.
Nicht nur Serverbetreiber sind davon betroffen, sondern einfach alle Besitzer eines Intel-Prozessors mit HyperThreading. Also auch Gamer, Office-User und Home-User jeglicher Art.
Hier wurde mehrfach gesagt, dass nur virtuelle Maschinen (VMs) von der Sicherheitslücke betroffen sind und das es daher eher ein Problem von Hostern ist und nicht von Privatpersonen.
Ihr wisst schon, dass das System auch automatisch VMs erstellt und verwendet, oder? Beispielsweise jedes Mal, wenn ihr ein Java-Programm ausführt. Beispielsweise auch Minecraft (welches ja in Java geschrieben wurde).
Aus diesem Grund hat die Sicherheitslücke aus meiner Sicht ein anderes Ausmaß, als viele hier meinen.
Nicht nur Serverbetreiber sind davon betroffen, sondern einfach alle Besitzer eines Intel-Prozessors mit HyperThreading. Also auch Gamer, Office-User und Home-User jeglicher Art.
Das bestimmte Anwendungen als VM ausgeführt werden stimmt schon. Jedoch bin ich mir auf meinem PC über die ausgeführten Anwendungen bewusst. Bösartige Anwendungen schaffen es zudem vermutlich deutlich leichter Informationen ab zugreifen als diese Sicherheitslücke zu verwenden.
Ganz anders schaut dies in einem Rechenzentrum aus, wo ich nicht weiß mit welcher VM ich mir gerade einen Core teile.
Ich sehe daher einen normalen Privatanwender als nicht sonderlich betroffen und sehe keinen Grund hier auf HT zu verzichten.
Die Informationspolitik von Intel ist natürlich eine Katastrophe und ich vermute sogar das die Sicherheitslücken bei der Implementierung von HT in Kauf genommen wurden.
Sicher nicht völlig auszuschließen (siehe Wolfsburg, worüber ich immer noch nur den Kopf schütteln kann), aber reichlich unverantwortlich (im Sinne des Konzerns) und unwahrscheinlich.
Du bist schon reichlich blauäugig in Bezug auf die Industrie.
Mit minimalem Aufwand maximalen Umsatz erzielen. Alles andere ist zweitrangig.
Wenn ich aus dem Nähkästchen der Finanzindustrie plaudern würde, würden Dir wohl sämtliche Gesichtszüge entgleisen.
Solange sich deren CPUs verkaufen, warum sollten die was ändern?
Und warum sollte Intel nicht genau da weitermachen wo sie bisher - zwangsläufig, da verurteilt - aufhören mussten?
Die sind schon viel weiter gegangen als Betrug, wieso nicht wieder?
Sie verschweigen die Probleme nicht nur, sondern preisen sie als Fortschritt sogar an.
Steht ja sogar im Post: Die "where a write-protect or non-execute bit for a page table entry is ignored".
Man kann mir ja viel erzählen, dass jedoch ein CPU-Designer / -Ingenieur derartige Probleme "übersehen hat"?
Im Leben nicht. Das wurde dann in den oberen Etagen wegdiskutiert und gut war's.
Abgeheftet im Ordner "Risk", somit gemanaged und gut war's.
Damit wurden sie wahrscheinlich schneller und somit "besser" als die Konkurrenz.
Das hat gezählt. Und wenn man sich die ganzen massiven OC-Hochfrequenzjünger so ansieht, hat sich das ja auch voll ausgezahlt. Die schütten Intel nach wie vor das Geld mit'm Bagger auf's Konto.
... In Bezug auf Umsatz hat Intel alles richtig gemacht.
Jetzt fliegt ihnen der Laden eben in Puncto Security um die Ohren.
Dumm für Intel, dass sowas plötzlich weit mehr interessiert als noch vor ein paar Jahren, weil alles in die Wolke muss.
Oma Erna, Opa Wichtel und alle anderen hier im Forum haben von den Lücken nur wenig zu befürchten auf ihren privaten Rechnern. Das stimmt.
Pech halt, dass so vieles nicht mehr auf privaten Rechnern liegt sondern in der Wolke auf VMs.
... Hupps!
Ergänzung ()
Grestorn schrieb:
Ich behaupte, dass nur ein winzig kleiner Teil von CPU-Ingenieuren je im Traum darauf gekommen wären, dass man hier überhaupt ein Problem hat.
Man kann mir ja viel erzählen, dass jedoch ein CPU-Designer / -Ingenieur derartige Probleme "übersehen hat"? Im Leben nicht. Das wurde dann in den oberen Etagen wegdiskutiert und gut war's. Abgeheftet im Ordner "Risk", somit gemanaged und gut war's.
Es ist in der Tat nicht davon auszugehen das die derart bescheuert bei Intel sind. Das Konzept Cache Side Channel attacks durchzuführen ist ja alles andere als neu. Und der Umstand das sowohl Via als auch AMD (und somit alle anderen x86 Hersteller) schon lange Sicherheitsfeatures implementiert haben zeigt das ja auch schön.
Unnu schrieb:
Wenn ich aus dem Nähkästchen der Finanzindustrie plaudern würde, würden Dir wohl sämtliche Gesichtszüge entgleisen.
Ob AMD betroffen ist oder nicht, ist sicherlich Spekulation. Fakt ist, dass die Exploits wohl auf AMD deutlich schwerer zu implementieren sind. Eben da es diesen shared-bereich für zwei Kerne in dieser Form nicht gibt.
Das feit AMD aber ganz sicher nicht zu 100% von allen theoretischen Angriffsmöglichkeiten dieser Art von Attacken. Prinzipiell kann man jede Spekulative Ausführung auf "falsche" Befehle trainieren. Der Aufwand ist aber sicherlich grundsätzlich unterschiedlich einzustufen.
Grestorn schrieb:
Sach ma, geht's noch? Wer bist Du denn, mir hier das Wort verbieten zu wollen, weil ich es wage, einen anderen Standpunkt als Du zu vertreten?
Registrierungsdatum einen Tag nach Bann Hill Ridge.
Ergänzung ()
L1TerminalFault schrieb:
Du redest Unsinn! Du schließt von Dir auf andere! Solche Äußerungen wie Deine zeigen meisten ein Mangel an Argumenten, der mit einem Angriff auf die Person kaschiert wird.
Mit Verlaub. Zu einem Streitgespräch gehören immer noch zwei Leute. In eine Diskussion mit den Worten "Du redest Unsinn!" einzusteigen, ist sicherlich nicht die feine Englische. Ich bin zu dem Thema relativ neutral, aber als Leser der weder Vorlieben noch Abneigungen zu einem der beiden Schreiberlinge hat, gehören zu der Eskalation sicherlich zwei. Ja, Du hattest gestrom vorher gewarnt. Dies sollte dann aber als Warnung für alle Teilnehmer zu verstehen sein, welche sich zu einem etwaigen Thema noch weiterhin äußern mögen.
Wenn jemand dann diese Diskussion bewusst wieder anflammt, sollte dem Angegriffenen entweder die Möglichkeit gegeben werden sich dahin gehend auch zu äußern. Oder aber man erstickt diesen Versuch, in dem derjenige der nach Mod-"Allgemeinermahnung" wieder anfängt, auch gleich mit abstraft.
Ist sicherlich nur meine Meinung. Aber ein solches "kommt mal zum Thema zurück" sollte nicht einseitig auf eine Argumentationsseite angewendet werden.
Ich kann nur für mich sprechen, aber ich bin mit dem Thema definitiv durch und aufgeklärt. Mir hätte das nur mal jemand sagen sollen als ich zu Studizeiten noch geglaubt hab das die Aufgabe eines Finanzberaters wäre zu Beraten. ;-)
Das ist sehr sehr lange und viele Erfahrungen her.
@Ned Flanders : Aha.
Gut. Ich formuliere mal so:
Mit der Security in der Finanz-IT (Finanz weit gefasst) verhält es sich so ähnlich wie mit dem Berater.
Ablenkung: Kennst Du diesen Rant schon? Auch nett.
