News Sicherheitslücken: OpenBSD warnt massiv vor Intels Hyper-Threading (SMT)

[Botcruscher]

Ja, AMD hat eine vollkommen andere Implementierung von SMT entwickelt.
SMT von AMD ist auch viel leistungsfähiger!

Ich wäre mit der Aussage sehr vorsichtig. Gerade Prefetch und spekulative Speicher/Code/Sprungvorhersage ist ein Grundstein der letzten Jahrzehnte. Lücken waren bis jetzt auch bei AMD aber eben zum Glück nicht im Bereich der Nutzbarkeit.

Betrifft dies nur OpenBSD oder alle OS oder haben andere Distris schon gegengesteuert?

Es betrifft ausnahmslos jede Art von Software und BS.

Und was für VMs sind das? Haben da Dritte Zugriff?

Alle und ja das ist ja eben genau der Bug.

 

[raekaos]

[...]
Für mich grundsätzlich nur interessant, wie forsch der Ton der Beteiligten (geworden) ist. Normalerweise ist man bei den, zumindest für die Öffentlichkeit bestimmten, Aussagen etwas liberalere und zurückhaltendere Töne gewohnt.

Ich glaube die haben langsam einfach die Schnautze gestrichen voll von Intels (Des-)Informationspolitik.

Für Firmen, die VMs bei großen Hostern betreiben, ein absoluter Albtraum, da hast du eine VM mit Linux super fett abgesichert und die wirst von einer fremden VM auf dem selben Server kompromitiert.
Heißt für mich, Back to the Roots, die Server wieder Inhouse und direkt aufs Blech.

 

[Grestorn]

Die Panik die manche hier fahren ist schon süß.

Selbst wenn Angriffe denkbar sind und vielleicht auch bereits vorbereitet werden - bis die bei Euch kleinen Privat-PCs ankommen vergeht ne ganze Weile. Und bis dahin hört man an anderer, deutlich relevanterer Stelle viel eher etwas - z.B. bei den ganzen Cloud- und Rechenzentren-Anbietern. Das sind die lohnenden Targets.

Ein Angriff über ein JavaScript beispielsweise, in der Breite, ohne exakte Daten über das Zielsystem, seine Hard- und SW-Konfiguration zu kennen, über einen Sidechannel-Angriff der auf exakteste Zeitmessungen angewiesen ist - all das ist in der Theorie möglich, aber in der Praxis für einen breiten, ungezielten Angriff viel zu aufwendig.

Da ist ein ganz einfacher herkömmlicher Angriff über eine Mail mit einem EXE. dass der Anwender selbst anklickt, viel einfacher und vielversprechender. Und ein solcher Angriff braucht weder HT noch Speculative Execution. Sondern nur einen unwissenden Anwender. Und von denen gibt es endlos viele, und die sind viel zuverlässiger und einfacher auszunutzen als diese ganzen jetzt auftauchenden Probleme.

Also, Kirche im Dorf lassen und einmal kräftig druchschnaufen... bevor man panisch ins BIOS geht und HT ausschaltet oder gar nen neuen Prozessor kauft.

 

[Alexus6677]

Tja. GG Intel... Kann diesen Saftladen eh nicht leiden. In meiner Familie gibt es schon seit dem 64 Bit Athlon (3000?) keine Intel CPUs mehr. Bin mit meinem Ryzen wirklich zufrieden. Es kann AMD ja auch noch erwischen, aber bisher kann der Umgang mit solchen Problemen ja nur besser werden, als Intel das im Moment macht. Freue mich ein bisschen für die Leute, die den tollen 8700k für ihre Spiele gekauft haben. Die paar Prozent Vorsprung macht Intel bestimmt wieder mit ihren tollen Frickellösungen kaputt. Wird ja eh weiter Nvidia und Intel gekauft...

Edit: @Grestorn und wie kommt es nicht bei mir an, wenn Google einen Haufen der Daten über mich mal nicht nur verkauft sondern auch verliert und diese dann im ganzen Netz landen? Von Kreditkartendaten und sensiblen Informationen, die bei Ämtern etc. liegen mal ganz abgesehen. Tolle Weitsicht!

 

[Grestorn]

Der Glaube an AMD ist etwas verfüht, denke ich. Warten wir ab. Diese neue Welle an Sidechannel-Angriffen ist noch nicht zuende und zeigt Probleme auf, die bei weitem nicht nur auf Intel begrenzt sind. Letztlich öffnet das eine Möglichkeit, an die ganze Generationen von CPU Entwickler nicht gedacht haben. Und die sitzen nicht nur bei Intel.

Ich würde nie wirklich relevante Daten unverschlüsselt in der Cloud speichern. Deswegen ist es für mich auch nicht relevant, ob jemand die Daten von Google oder anderen abgreift. Wenn jemand meine Urlaubsbilder so toll findet, dass er sie unbedingt klauen muss - bitte schön.

 

[Shrimpy]

Beeindruckend wie die marktmacht der letzten 7 Jahre Intel nun eingeholt hat.
Kann halt passieren wenn alle Server der Welt mit nahezu den selben Xeons laufen.

 

[Dr@gonXP]

Die eine Sache ist die Thematik bezüglich der Sicherheitslücken, eine ganz andere ist, das ein Hersteller sich auf eine solche Art und Weise einen Wettbewerbsvorteil verschafft und in Kauf nimmt seine Kundschaft zu übervorteilen...

 

[ThePowerOfDream]

Ich denke wenn dann wird Core i7-9700K und alle anderen ohne HT noch interessanter. Warum überhaupt HT kaufen wenn es so viele Probleme bereitet.

Warum überhaupt noch was von diesen Betrügern kaufen ?

 

[Grestorn]

Du verharmlost mit einem solchen Beitrag eigentlich nur den Begriff "Betrug".

Betrüger sitzen z.B. in Wolfsburg und auch an vielen anderen Stellen. Intel kann man einiges vorwerfen, nicht zuletzt auch unfairen Wettbewerb. Aber Betrug, so weit ich das erkennen kann, eigentlich nicht.

Die eine Sache ist die Thematik bezüglich der Sicherheitslücken, eine ganz andere ist, das ein Hersteller sich auf eine solche Art und Weise einen Wettbewerbsvorteil verschafft und in Kauf nimmt seine Kundschaft zu übervorteilen...

Das impliziert Absicht und bewusstes unterschlagen. Es mag sein, dass Intel irgendwann 2015 oder so ein Licht aufgegangen ist, aber ab dann geht es nur noch um Schadenbegrenzung.

Absichtlich diese Techniken in vollem Wissen um ihre Problematik einzuführen und weiterzuentwickeln, wäre ein extrem riskantes Vorgehen. Sicher nicht völlig auszuschließen (siehe Wolfsburg, worüber ich immer noch nur den Kopf schütteln kann), aber reichlich unverantwortlich (im Sinne des Konzerns) und unwahrscheinlich.

 

[JaKno]

Betrag ist es nicht, aber grobe Fahrlässigkeit.

 

[savage.]

Na ja, wenn Intel jetzt nicht mehr weiter weiß können sie ja für ein paar Milliarden die AMD Patente nutzen.

Der passende Werbeslogan wäre dann: INTEL jetzt mit AMD Inside

 

[MK one]

Der Glaube an AMD ist etwas verfüht, denke ich. Warten wir ab. Diese neue Welle an Sidechannel-Angriffen ist noch nicht zuende und zeigt Probleme auf, die bei weitem nicht nur auf Intel begrenzt sind. Letztlich öffnet das eine Möglichkeit, an die ganze Generationen von CPU Entwickler nicht gedacht haben. Und die sitzen nicht nur bei Intel.

.

mal hübsch bei der Wahrheit bleiben , AMD schneidet wesentlich besser ab als Intel , alle zuletzt bekanntgewordenen Lücken betreffen nur Intel , manchmal ARM und bis auf Spectre V2 war bei AMD kein Microcode Update der CPU notwendig

 

[werpu]

Der Glaube an AMD ist etwas verfüht, denke ich. Warten wir ab. Diese neue Welle an Sidechannel-Angriffen ist noch nicht zuende und zeigt Probleme auf, die bei weitem nicht nur auf Intel begrenzt sind. Letztlich öffnet das eine Möglichkeit, an die ganze Generationen von CPU Entwickler nicht gedacht haben. Und die sitzen nicht nur bei Intel.

Ich würde nie wirklich relevante Daten unverschlüsselt in der Cloud speichern. Deswegen ist es für mich auch nicht relevant, ob jemand die Daten von Google oder anderen abgreift. Wenn jemand meine Urlaubsbilder so toll findet, dass er sie unbedingt klauen muss - bitte schön.

Klar kann es AMD durchaus noch erwischen, aber dass es sie noch nicht erwischt hat bzw. sie ihren L1 cache pro thread segmentieren und die grenzen checken (was natürlich ein bischen performance kostet) spricht eher dafür dass zumindest Meltdown/L1 ähnliche Attacken auf AMD eher nicht möglich sind.

 

[maxik]

@Grestorn Das weis man ja nicht? Falls dieser Fehler vorsätzlich drin gelassen wurde um mehr Leistung in Benchmarks vorweisen zu können - ergo mehr Verkäufe - dann ist das schon Betrug


Mal nebenbei: Was kann in dem Fall ein Europäischer Kunde machen? Es wurde mir ja ein Produkt mit Fehlern und hoher Leistung verkauft, nach dem Update gibt es keine Fehler mehr jedoch eine geringere Leistung

 

[Grestorn]

mal hübsch bei der Wahrheit bleiben , AMD schneidet wesentlich besser ab als Intel , alle zuletzt bekanntgewordenen Lücken betreffen nur Intel , manchmal ARM und bis auf Spectre V2 war bei AMD kein Microcode Update der CPU notwendig

Unterstellst Du mir gerade die Unwahrheit zu sagen?

Dann lies meinen Beitrag nochmal und hole erst mal tief Luft, bevor Du weiter austeilst.

Das weis man ja nicht? Falls dieser Fehler vorsätzlich drin gelassen wurde um mehr Leistung in Benchmarks vorweisen zu können - ergo mehr Verkäufe - dann ist das schon Betrug

Da es extrem unwahrscheinlich ist, dass die Problematik unentdeckt bleibt, wäre das als bewusste Entscheidung, wie gesagt, extrem riskant. Nicht auszuschließen, aber es sitzen ja nicht überall solche Vollidioten wie in bestimmten deutschen Konzernen.

 

[maxik]

Naja, bei dem was sich Intel bisher geleistet hat (Schmierung usw. usw.) kann man so was nun auch nicht mehr ausschließen oder?

 

[Grestorn]

Geschmiert wird überall.

Wenn man den Markt etwas genauer kennt, erschreckend oft. Ich kenne aus meinem persönlichen Umfeld z.B. Fälle, wo man mit an Sicherheit grenzender Wahrscheinlichkeit davon ausgehen muss, dass einer der größten Elektronik-Hersteller der Welt (u.a. auch im Handy-Bereich) seine Marktmacht massiv über bestimmte Methoden ausbaut, die dazu geeignet sind, den Konkurenten auszubooten und die nach deutschem Recht nicht legal sind.

 

[savage.]

Du verharmlost mit einem solchen Beitrag eigentlich nur den Begriff "Betrug".

Betrüger sitzen z.B. in Wolfsburg und auch an vielen anderen Stellen. Intel kann man einiges vorwerfen, nicht zuletzt auch unfairen Wettbewerb. Aber Betrug, so weit ich das erkennen kann, eigentlich nicht.

Das sehe ich nicht so.
VW kann die Abgaswerte einhalten doch verliert dadurch Leistung.
Intel kann die Leistung bringen doch ist dann unsicher.

Beide können nicht das versprochene einhalten. Und ich gehe mal davon aus beide bewusst gehandelt haben.

 

[Grestorn]

Bei VW wissen wir, dass die absichtlich und mit genau dem Ziel, zu betrügen, gehandelt haben.

Selbst FALLS ein Intel-Ingenieur jemals auf die Idee gekommen sein sollte, dass es da ein Risiko gibt, dann mag er vielleicht ein ungutes Gefühl gehabt haben. Es ist aber WEIT davon entfernt, ein "Defeat-Device" zu sein, wie es VW in die Software eingebaut hat (Auswerten des Lenkereinschlags um den Prüfstand zu erkennen).

Das sind ganz andere Größenordnungen. Ihr unterschätzt glaube ich deutlich, den Aufwand und die ziemlich um die Ecke-Denke, die notwendig ist, um diese Angriffe auszuführen. Jetzt, wo das dokumentiert ist, ist es natürlich einfach. Ich behaupte, dass nur ein winzig kleiner Teil von CPU-Ingenieuren je im Traum darauf gekommen wären, dass man hier überhaupt ein Problem hat.

 

[MK one]

Dann lies meinen Beitrag nochmal und hole erst mal tief Luft, bevor Du weiter austeilst.

hab ich gelesen , du hast defenitiv von Intel abgelenkt indem du auf andere gezeigt hast , bisher war der Side Channel das einzige wo auch AMD angreifbar war , jedoch auch nicht in dem Maße wie Intel
man sieht s am
Spectre v1.1 / v1.2 = Bounds Check Bypass Store (BCBS) = Spectre-NG 4 = CVE-2018-3693
Intel, ARM, AMD nur v1.1
während es bei AMD (v1.1) mit Mühe vermutlich möglich ist Daten auszulesen , kann man bei Intel (v1.2) sogar Daten (Schadcode) einschleusen .
Auch bei Spectre V1 und V2 war bei Intel die Erfolgsquote beim auslesen von Daten während der Machbarkeitsstudie um das 10 fache höher , das macht schon was aus ...