Du verwendest einen veralteten Browser. Es ist möglich, dass diese oder andere Websites nicht korrekt angezeigt werden. Du solltest ein Upgrade durchführen oder einen alternativen Browser verwenden.
NewsSpoiler: Neues Sicherheitsleck betrifft alle Intel-Core-CPUs
Gerade das, macht mir sorgen, weil immer wieder behauptet wird, dass Spectre, Meltdown und Co., jetzt Spoiler angeblich Privatnutzer nicht betrifft, was aber nicht stimmt.
Selbst beim Surfen im Internet ist man als Privatnutzer bzw. Otto-Normalverbraucher davon sehr wohl betroffen. Vieles wird heutzutage im Browser virtuell ausgeführt.
Kannst du das näher erläutern? Herkömmliche Webseiten führen doch keinen Maschinencode aus sondern werden vom Browser selbst in einer höheren Abstraktionsebene interpretiert. Wie soll man da eine CPU Sicherheitslücke ausnutzen?
Ergänzung ()
matti30 schrieb:
also von diesen ominösen Performance"einbußen" merke ich im Alltag nix. Komisch..
Naja mein Laptop in der Firma ist "gefühlt" schon deutlich langsamer da es nur ein kleiner 4 Kerner ist. Ist natürlich nur eine Wahrnehmung und Vermutung, die Symptomatik tauchte aber genau seitdem auf. Schon komisch. Bei meinem Desktop PC mit 6 Kern Ryzen merke ich aber nichts, vermutlich weil ich hier eh kaum im CPU Limit arbeite.
Mich interessiert, ob und wie schnell sowie gründlich INTEL darauf reagiert.
Werden sie den Fehler in ihren CPU´s zugeben und entsprechend reagieren mit konstruktiven Updates oder werden sie versuchen dies stillzuschweigen und still und leise irgendwann Patche mit den Windows-Updates zu verteilen, wobei die Wirkungsweise "Betriebsgeheimnis" von INTEL bleibt, so wie in der Vergangenheit ?
Die Lage ist aus meiner Sicht jetzt wirklich ernst auch aufgrund der Verbreitung von INTEL-Chips und ich bin weit davon entfernt mich über INTEL lustig zu machen, denn Fehler können überall passieren bei jedem Hersteller von Chips.
Eventuell lassen sich diese sich häufenden Fehler (Spectre, Meltdown, Spoiler, ...) mit dieser Prozessorarchitektur nicht mehr patchen, wenn dies so sein sollte, dann ist INTEL wirklich in echten Schwierigkeiten und die Anwender mit, denn wer kann dann noch sicher sein, das sein Rechner richtig funktioniert.
Intel ist der Standard, an dem sich die Programmierer orientieren.
Hardware und Software spielen doch immer zusammen und müssen
aufeinander abgestimmt werden.
Okay, das was du da schreibst wird oft im Zusammenhang mit Benchmarks erwähnt.
Dass Intel CPUs etwas längeren Balken haben nur weil die Software darauf optimiert wurde.
Das aber vehement bestritten wird, um ja die Intel CPUs zu verteidigen.
In dem Fall scheint es aber OK zu sein.
ToXiD schrieb:
Die Frage, die sich mir bei solchen Meldungen immer stellt, ist: Welchen Erkenntnisgewinn soll ein normalsterblicher Anwender daraus ziehen? Wohl kaum die Erkenntnis, sich einen neuen Rechner mit der CPU eines anderen Hersteller zu kaufen. Wobei auch dann fraglich wäre, welchen Sicherheitsgewinn es gäbe - dann gibt es eben andere Sicherheitslücken.
Dann lass uns doch gar nicht über solche Sicherheitslücken und Probleme berichten.
Wir lassen einfach alle im Dunkeln, dann kann auch keiner auf die Idee kommen eine Gegenmaßnahme zu entwickeln.
Ist viel einfacher für alle und günstiger für Hersteller.
Ich frage mich dann nur, wer ist wohl der Verlierer dann?
Eben, zumal ein Gutteil der IPC-Steigerung der letzten Dekade durch die teils unabwendbaren Patches wieder zunichte gemacht wird... und das trifft eben genau den Otto.
Was soll der Quatsch? Wenn du genau wüsstest, wann das Ausmaß des größten Skandals der Hardwaregeschichte aufkam wüsstest du warum ich "noch" einen Intel habe.
ME und ihre "Eigenschaften" waren schon keine völlig Unbekannten mehr als der 6700k erschien. Die ganze Ring <0 Spielerei hat um Längen schlimmeres Potenzial als ein paar Speicherlecks die man mit Patches zwar nicht völlig aber weitgehend in den Griff bekommen kann.
Richtiger Quatsch wäre dagegen ME und Spectre zum größten Skandal aufzublasen.
Intel's hyperthreading in NetBurst based processors has a vulnerability through which it is possible for one application to steal a cryptographic key from another application running in the same processor by monitoring its cache use.[15]
das ihr system für SMT nicht wirklich gut ist, wissen sie schon lange.
Diese Lücke in der Netburst Arch ist meines wissens nach für Core/Core2/Core-i geschlossen worden (bzw. aufgrund des anderen Pipeline aufbaus nicht mehr vorhanden.
alle welt wundert sich, warum intel nicht längst auf 4fach HT ein upgrade gefahren hat. irgend wo muss da irgend ein typ mal was zusammen geschustert haben, was super schnell ist.
evtl. sind die alten hasen auch in rente. das aktuelle system ist stein alt und hat immer noch "kinderkrankheiten". jedes work around macht es langsamer und damit wieder weniger sinnvoll.
wir sehen jetzt immer mehr cpu´s ohne ht. mal sehen was demnächst kommt. intel hat eine ziemlich kurze pipeline.
alu hut absetz
die art und weise, wie die kerne "verdoppelt" werden, hat nichts mit der kern architektur zu tun.
Eher mit dem EPYC Rome Launch , denn in den Datacentern hatte man schon genug Ärger mit Meltdown /Spectre , da auch SGX kompromittiert wurde bei Spectre , obwohl dieses Feature als " so sicher wie nur möglich " vermarktet wurde seitens Intel , die zahlreichen Patches kosten nicht nur Performance , man muß sie auch einpflegen , dafür muß der Server oftmals vom Netz genommen und neu gestartet werden , selbst wenn man den Vorgang selbst automatisiert , es entstehen Ausfallzeiten und der Admin bekommt auch genug zu tun ...
Theo de Raadt empfiehlt Intels HT komplett zu deaktivieren ....
Laut seiner Erkenntnis ist die Technik des Simultaneous Multithreading (SMT), oder laut Intels Marketing-Bezeichnung Hyper-Threading, „grundlegend defekt“. Denn die Teilung der Ressourcen in den zwei Threads aus einem Kern, lassen viele Sicherheitsvorkehrungen, die eigentlich für die Prozessorkerne in Betrieb sind, nicht greifen und deshalb leicht umgehen.
It is not just buggy, but Intel has gone further and defined „new ways to handle page tables“ (see page 58).Some of these bugs are along the lines of „buffer overflow“; where a write-protect or non-execute bit for a page table entry is ignored. Others are floating point instruction non-coherencies, or memory corruptions — outside of the range of permitted writing for the process — running common instruction sequences.All of this is just unbelievable to many of us.“
Dann lass uns doch gar nicht über solche Sicherheitslücken und Probleme berichten.
Wir lassen einfach alle im Dunkeln, dann kann auch keiner auf die Idee kommen eine Gegenmaßnahme zu entwickeln.
Ist viel einfacher für alle und günstiger für Hersteller.
Ich frage mich dann nur, wer ist wohl der Verlierer dann?
Häh? Darum geht es doch gar nicht. So wie ich @ToXiD verstehe, geht es ihm zum Einen um die Art der Berichterstattung. Wo liest man denn mal über einen wirklichen Angriffsweg? Wie genau kann sich ein Laie das vorstellen?
Zum Anderen fehlen eben irgendwie auch die Lösungsvorschläge und Risikoeinschätzungen. Bin ich mit einem Intel-Prozessor so angreifbar wie mit einem Windows XP ohne Servicepacks und Virenscanner? Oder wird eben der "normale" Hacker/Kriminelle zu 99,99% der Zeit einen anderen Weg wählen, wie z.B. Phishing, Sicherheitslücken in Browsern usw.
Das Problem dabei ist nur, dass diese Hacks sehr mikroarchitektur-spezifisch sind.
Gesucht bzw. entwickelt werden die Hacks auf Intel-CPUs und dass die dann nicht zwangsweise exakt so auf anderen CPUs funktionieren ist ja naheliegend.
Die Frage, die sich mir bei solchen Meldungen immer stellt, ist: Welchen Erkenntnisgewinn soll ein normalsterblicher Anwender daraus ziehen? Wohl kaum die Erkenntnis, sich einen neuen Rechner mit der CPU eines anderen Hersteller zu kaufen. Wobei auch dann fraglich wäre, welchen Sicherheitsgewinn es gäbe - dann gibt es eben andere Sicherheitslücken.
Für die meisten Menschen dürften die beschriebenen Sicherheitslücken viel zu abstrakt sein. Es fehlt schlicht an Hintergrundwissen. Und, das wäre die nächsten Fragen: Was wäre denn ein realistisches Angriffsszenario auf den Rechner von Erika Mustermann? Wie genau wäre der Ablauf? Leider bleiben so gut wie alle IT-Magazine eine konkrete Antwort schuldig. Wenn überhaupt, dann auch hier wieder: Sehr abstrakt und theoretisch das ganze.
Warum sollte ich mir also als krimineller Hacker die Mühe machen, einen komplizierten Angriff über die Schwachstellen in der Hardware eines Rechners auf Privatpersonen zu machen, wenn es die Rechnung.PDF per Mail erheblich einfacher und effektiver tut?
Im Artikel werden ja schon Drive-By Angriffe genannt. Aber im Prinzip waere ein Artikel ueber theoretische Angriffsszenarien gut da viele es einfach abtun, da es sie ja "nie betreffen" wird. Gerade Spoiler hat das Zeug richtig boese zu werden, da nicht in Sofware fixbar laut den Forschern. Schadcode in Adbannern, manipulierte Webseiten, Spoiler + Rowhammer + Meltdown + Spectre und viel Glueck dem Nutzer. Sobald sich jemand die Muehe macht das zu implementieren kann man das recht einfach nutzen um das ganze im grossen Stil zu nutzen. Derzeit lohnen sich nur Einzelattacken, aber mit den neuen Luecken waere es moeglich das ganze zu streuen. Irgendwen trifft es schon.
Amusens schrieb:
Die frage ist die ob Intel davon wusste und gezielt verschwiegen hat um an der Spitze zu bleiben, um "Geschwindkeitsvorsprung" zu AMD zu haben.
Ergänzung ()
Und so gesehen alles Fixen könnte um "Sicherer" zu sein?
Kann ja sein....... egal wegen den Sicherheitslücken ...... findet eh keiner Raus ..
Mittlerweile spricht einiges dafuer. Es haben sich auch schon Forscher gemeldet, die Intel das schon vor Jahren praesentiert haben. Das Design der Architektur scheint Sicherheit einfach zu ignorieren, Performance ueber alles. Jetzt geht es halt nach hinten los.
Naxtrumrar schrieb:
Kannst du das näher erläutern? Herkömmliche Webseiten führen doch keinen Maschinencode aus sondern werden vom Browser selbst in einer höheren Abstraktionsebene interpretiert. Wie soll man da eine CPU Sicherheitslücke ausnutzen?
Ergänzung ()
Naja mein Laptop in der Firma ist "gefühlt" schon deutlich langsamer da es nur ein kleiner 4 Kerner ist. Ist natürlich nur eine Wahrnehmung und Vermutung, die Symptomatik tauchte aber genau seitdem auf. Schon komisch. Bei meinem Desktop PC mit 6 Kern Ryzen merke ich aber nichts, vermutlich weil ich hier eh kaum im CPU Limit arbeite.
Webseiten fuehren JavaScript auf deinem Rechner aus. Den Code kannst du infizieren. Theoretisch sollte das ganze in einer Sandbox bleiben, aber mit Spoiler etc kannst du die Sandbox einfach ignorieren. Alle bekannten Luecken wie Spectre, Meltdown, Spoiler, Rowhammer, etc ignorieren die Berechtigungen. Von dem her kannst du so viel wie du willst auf hoeheren Abstraktionsebenen haben, es nuetzt nichts.
Banned schrieb:
Das ist halt das Problem, wenn eine Architektur schon so Ewigkeiten auf dem Markt ist. Es wird immer mehr gefunden.
Generell fühle ich mich mit der Site Isolation in Chrome aber trotzdem recht sicher. Denn dort sollte damit eine SC-Attacke nicht funktionieren.
Bleibt nur noch das Risiko von infiltrierter Software.
Abwarten ob Site Isolation wirklich so funktioniert wie es soll. Mit Pech reicht es nicht aus. Zu infizierter Software zaehlt leider auch JavaScript, was lokal ausgefuehrt wird. Und da die derzeitigen Patches keine Auswirkung auf Spoiler haben kannst du damit machen was du willst.
Sie haben umgestellt, ja, endlich, aber Retpoline wird nicht die volle Performance wiederherstellen. Jeder Fix wird Performance kosten, weil die CPU nicht genauso arbeiten kann wie vorher. Mit Retpoline leitest du ja um, aber selbst das kostet. Zum Glueck weniger als die bisherigen Patches. Und dann muss man hoffen, dass es wirklich alles verhindert.
MK one schrieb:
Eher mit dem EPYC Rome Launch , denn in den Datacentern hatte man schon genug Ärger mit Meltdown /Spectre , da auch SGX kompromittiert wurde bei Spectre , obwohl dieses Feature als " so sicher wie nur möglich " vermarktet wurde seitens Intel , die zahlreichen Patches kosten nicht nur Performance , man muß sie auch einpflegen , dafür muß der Server oftmals vom Netz genommen und neu gestartet werden , selbst wenn man den Vorgang selbst automatisiert , es entstehen Ausfallzeiten und der Admin bekommt auch genug zu tun ...
Theo de Raadt empfiehlt Intels HT komplett zu deaktivieren ....
Laut seiner Erkenntnis ist die Technik des Simultaneous Multithreading (SMT), oder laut Intels Marketing-Bezeichnung Hyper-Threading, „grundlegend defekt“. Denn die Teilung der Ressourcen in den zwei Threads aus einem Kern, lassen viele Sicherheitsvorkehrungen, die eigentlich für die Prozessorkerne in Betrieb sind, nicht greifen und deshalb leicht umgehen.
It is not just buggy, but Intel has gone further and defined „new ways to handle page tables“ (see page 58).Some of these bugs are along the lines of „buffer overflow“; where a write-protect or non-execute bit for a page table entry is ignored. Others are floating point instruction non-coherencies, or memory corruptions — outside of the range of permitted writing for the process — running common instruction sequences.All of this is just unbelievable to many of us.“
Intel hat einige Warnungen ignoriert. Das Ergebnis sehen wir derzeit. Gerade die HT Implementierung wird noch viel Spass bereiten. So wie es aussieht wird es Jahre dauern, bis Intel wieder einigermassen sicher ist. Fuer den Cloud und Datacenter Bereich duerfte das AMD etwas helfen.
@kisser Ja, genau so funktioniert das... Tut mir leid, aber das ist schlichtweg Verblendung. Der ganze Prozess faengt theoretisch an und nicht mit "lass uns mal was bei Intel suchen". Die ganzen Luecken bei Intel kommen raus, weil Intel beim Design geschlampt hat. In den frueheren Artikeln und Berichten wurde klar gesagt, dass die AMD Architektur von Grund auf mehr auf Sicherheit achtet. Und daher auch z.B. langsamer bei SSD Tests ist (surprise, nach den Intel Fixes sind sie auf dem gleichen Level wie AMD). Dass Intel einfach schon die Ringe bei den Berechtigungen ignoriert sagt schon alles.
Ein Rowhammer Angriff macht nur dann Sinn wenn man nicht irgendwelche Bits im Speicher zu kippen bringt sondern ganz gezielt Bits die den Zugriff beschränken , dazu verhilft wiederum Spoiler indem dieser die verwendeten/benutzen Speicherbereiche/Speichersadressen weitergibt
Vorsprung vor was? Den AMD FX?? Hahahaha....
Die Antwort auf die Frage lautet ganz klar nein.
Ergänzung ()
Kacha schrieb:
Die ganzen Luecken bei Intel kommen raus, weil Intel beim Design geschlampt hat. In den frueheren Artikeln und Berichten wurde klar gesagt, dass die AMD Architektur von Grund auf mehr auf Sicherheit achtet.
Wenn ich die Suchergebnisse der drei Suchmaschinen richtig deute, passen auch andere Software-Hersteller wie VMWare ihre Programme an, damit sie gegen entsprechende Lücken besser geschützt sind.
war ja klar das das jetzt kam ... , Intel Jünger ...
aber lass dich überraschen , es wird garantiert Exploids geben die nur bei Intel mit Erfolgsaussicht funktionieren weil sie auf die Infos von Spoiler angewiesen sind , schon allein weil Spoiler sich so leicht über den kompromitierten Code einer Java Web Site ausnutzen läßt und die Erfolgsaussichten einen Rowhammer ähnlichen Angriffs stark erhöht
Die Einstellung ist grandios. Das ist wie wenn man nackt durchs Feuer rennt und schreit "mir wird schon nichts passieren". Nimm es nicht persoenlich, aber du bist das perfekte Beispiel wie einige hier mit Sicherheit umgehen. Bitte bitte, sobald der naechste Leak rauskommt, still sein. Denn, oh Wunder, genau diese Einstellung gibt es ueberall, auch in Unternehmen. Und dann kracht es halt mal.
Okay, das was du da schreibst wird oft im Zusammenhang mit Benchmarks erwähnt.
Dass Intel CPUs etwas längeren Balken haben nur weil die Software darauf optimiert wurde.
Das aber vehement bestritten wird, um ja die Intel CPUs zu verteidigen.
In dem Fall scheint es aber OK zu sein.
Dann lass uns doch gar nicht über solche Sicherheitslücken und Probleme berichten.
Wir lassen einfach alle im Dunkeln, dann kann auch keiner auf die Idee kommen eine Gegenmaßnahme zu entwickeln.
Ist viel einfacher für alle und günstiger für Hersteller.
Ich frage mich dann nur, wer ist wohl der Verlierer dann?
Das ist doch gar nicht der Punkt. Dass über Sicherheitslücken berichtet wird,
ist doch ok. Es ist nur nicht ok, jedes Mal Intel wie die Sau durchs Dorf zu treiben
und wenn jemand anderes Bockmist baut, wird das mit der Achsel weggezuckt,
weils bei denen halt Business als usual is(t). Siehe die schwere Chrome Lücke,
die gestern gepatched wurde NACHDEM sie bereits aktiv ausgenutzt wurde.
Und genau das ist bei Intel und Spoiler nicht der Fall, trotzdem bekommen
die mehr Kritik. Wo siehst du da die Verhältnismäßigkeit?
Und klar hast du Recht, dass auf bestimmte Hardware optimierte Software
besser läuft als auf nicht optimierter. Neulich gesehen bei Dirt Rallye 2, das
trotz weniger Rohleistung auf einer AMD VII schneller läuft als auf der 2080 Ti.
Das Spiel ist für alle gleich. Wenn jeder seinen Job macht, läuft es.
Wenn nicht, baden wir alle das aus. Der, der die Intel CPU hat, der der
den Chrome Browser nutzt, der der ein ungepatchtes Windows hat.
Wir sitzen doch alle im gleichen Boot. Heute triffts mich, morgen dich.
Uns gegenseitig mit Dreck zu bewerfen hilft doch keinem weiter.
![[wege]mini](https://pics.computerbase.de/forum/avatars/m/778/778975.jpg?1575883542){kind=avatar}
