News Spoiler: Neues Sicherheitsleck betrifft alle Intel-Core-CPUs

[ToXiD]

@NikoNet: Bitte nicht einfach aus dem Zusammenhang heraus zitieren und dann völlig falsche Schlüsse ziehen.
ZeusTheGod hat das schon vollkommen richtig erkannt. Sicherheitslücken sollten der Öffentlichkeit nicht vorenthalten werden. Nur wenn hier der Hersteller in der Pflicht ist und ich als Normal-Anwender aktiv kaum etwas tun kann, dann greift so eine Warnung einfach zu kurz.

Unter anderem auch deshalb, weil jetzt mal wieder über Intel hergezogen wird. Ich sehe hier überhaupt gar keinen Anlass zur Schadenfreude. Mit welchem Wissen will man denn garantieren, dass AMD-Nutzer nur deshalb automatisch sicher sind, weil hier gerade nur Intel angreifbar ist? Es ist doch eher die Frage, was an sicherheitskritischen Lücken in der Prozessorarchitektur eben auch bei AMD noch nicht entdeckt wurde. Und das schreibe ich als begeisterter Ryzen-Nutzer.

@Kacha: Die Frage ist doch nur: Warum sollte ich es mir so wahnsinnig kompliziert machen, wenn ich einen einzelnen Rechner attackieren möchte? Zumal ich doch auf anderen und einfacheren Wegen auch noch AMD-Systeme kompromittieren könnte? Ich bleibe dabei: Bei Privatpersonen möglich, aber sehr, sehr unwahrscheinlich. Hier sind wohl eher Firmen und Konzerne gefragt, die bestimmte Setups in ihrer IT betreiben.

 

[MK one]

Unter anderem auch deshalb, weil jetzt mal wieder über Intel hergezogen wird.

und das zu recht !!!
es ist nämlich nicht neu das die Core Architektur , vor allem HT , löchrig ist wie Schweitzer Käse
Intel weiß das nicht erst seit gestern ... , nur recht wenig wird über Hardware gefixt , das meiste überlässt Intel den Programmierern der OS und Browser , die die Lücken dann umgehen müssen
https://winfuture.de/news,105916.html
Diese Schwachstelle ist wie schon bei Spectre im Grunde ein altes Problem. Einer der beteiligten Forscher hatte Teile des jetzt genutzten Angriffs schon im Jahr 2009 prognostiziert.

Es wird zwar immer behauptet , theoretisch wäre AMD auch angreifbar , aber meist fehlt dafür ein Nachweis ... , und man kann davon ausgehen , das bei der Marktdominanz von Intel Malware primär für Intel CPUs entwickelt wird .

 

[Dark_Soul]

Meltdown hat da schon gewisses Potential, aber dagegen gibt's ja mittlerweile Patches.

Aber da muss auch ein BIOS Update hinterher. Mein Board ist sau alt.. 2011 oder so. Da gibts natürlich kein Update mehr. Ich war bisher immer Intel / Nvidia fan, aber in Zukunft werde ich zumindest bei der CPU auf AMD wechseln denke ich.

 

[itm]

Es ist ja schön das sie auf ECC verweisen, leider Unterstützen es AMD und Intel nicht in ihren Consumer CPUs.

AMDs Memory Controller unterstützen es (zumindest bei ZEN und Zen+) im Agesa Profil. Ob unregistriertes ECC supported wird hängt vom Mainboard Hersteller ab.

Intels Core (Celeron bis zum i3) unterstützen ECC unregistered als Drop in Replacememt auf C2xx Xeon Chipsätzen. Quasi für das Marktsegment unterhalb des kleinsten Xeon auf LGA115x Chipsätzen

 

[PERKELE]

Bei dem Titel dachte ich erstmal an "Achtung, Spoiler Alarm!" 😂

Btt: Intel hat sich jedes Prozent Mehrleistung mit Löcher in der Sicherheit erkauft.

Ein Emmentaler trifft es da ganz gut, nur ist der irgendwann aufgegessen und er ist nicht mehr da.

 

[Benji21]

Wird Zeit für ne neue Architektur (hoffentlich nach nem kräftigen Umsatzeinbruch).

 

[nazgul77]

Ihr seid köstlich!

Schon wieder eine neue Lücke ist natürlich echt übel. Plus Meltdown, Spectre und mehrerer Intel ME-Lücken.

Köstlich ist auch die Reaktion von Intel, den Fanboys und der Industrie:

1. Mit Software bekommt man das doch in den Griff, und Spezial-RAM hilft auch ein wenig. Anders formuliert: Andere können doch unsere Probleme lösen. Sehr charmant.
2. .. betrifft den Endanwender sowieso nicht ... den betrifft es sehr wohl auch. Die Nutzerzahlen von Facebook und Whatsapp zeigen aber, das nur wenig Bewusstsein für IT-Sicherheit vorherrscht.
3. Die Industrie macht weiter wie bisher. "Augen zu und durch" Warum man sich so krampfhaft an einen Hersteller mit Lieferproblemen bindet ist mir unverständlich. Gut, Anfang der 2000er waren es Schmiergelder in Milliardenhöhe. Diese Nummer wird aber nicht mehr ziehen.

Ergänzung (7. März 2019)

Wird Zeit für ne neue Architektur (hoffentlich nach nem kräftigen Umsatzeinbruch).

Du kannst davon ausgehen, dass Intel seit März 2017 (Launch der Ryzen-Architektur von AMD) im Panik-Modus ist und mit Vollgas an einer neuen Architektur arbeitet. Die haben mit ihrer dicken Portokasse kräftig starkes Personal zum Beispiel von AMD abgeworben - mehr Persönlichkeiten als Jim Keller und Raja Koduris. Eine Neuentwicklung dauert in etwa 4-5 Jahre. Ich persönlich rechne 2021 mit einer neuen Intel-Architektur. Ich vermute, dass Intel seit der zweiten Core-Generation die Architektur nur noch mit geringem Engagement weiter entwickelt hat. Die "Leistungssteigerungen" sind primär durch neue Fertigungstechnik erzielt worden.

 

[MK one]

Exakt ... , das sich Intel im Panikmodus befindet kann man soch schon daran erkennen das Intel es für nötig befunden hat ne zweite HEDT Plattform aufzumachen mit einem 3654 ? Sockel für einen doch arg eingeschränkten Markt bei 28 Kernern bei Preisen vom 3000 Euro für die CPU und 1000 Euro für s MoBo ...
hat man denen eigentlich ECC belassen ? ist schliesslich 6 Channel ...

 

[Krautmaster]

naja, Intel nutze zB ich da ich für meinen kleinen Heimserver ECC, ITX, 10Gbe und 16x SAS / SATA haben wollte - auf < µATX ohne Extra Controller Karten da 1HE platz fürs Board.

Deswegen werkelt da nen X10SDV-4C-7TP4F drin. Da is auch alles an Sicherheitspatches aktiv da einiges an VMs drauf läuft (auch Webserver die im Netz hängen).

Und im Desktop gabs damals keine 32C TR, wobei ich wohl da auch eher da viel HEVC / AVX Workload eher zum SLX gegriffen hätte, auch wegen dem doch gut 20% höheren Turbo / IPC Verhältnis auf wenig Threads.

Mit Zen 2 auf 7nm kann sich das aber schnell ändern. Dort gibt es nicht mehr das Problem dass über IF auf einem Sockel hinweg die RAM Latenz ansteigen kann und das Thread Sheduling wird durch den IO Chip für das OS sicher deutlich einfacher. Dazu noch ggf hoher Turbo Takt und eben 7nm.

Entgegen der Meinung mancher hier sehe ich das heute nicht so eindeutig pro AMD, mal ist das eine, mal das andere besser. Zb hab ich von ner starken iGPU nur was wenn ich sie nutze - und im Notebook muss schon das Gesamtpaket passen. Auch gibt es keine NUC Alternative von AMD bisher. Stand jetzt mach ich den PrivatPC kauf eigentlich nicht von irgendwelchen Sicherheitslücken abhängig. Schon eher davon wie schön sich die Plattform Managen lässt, gerade wenn es darum geht ein quasi wartungsfreies leichtgewichtiges stabiles System zu haben.

Und ja, ich habe die letzten 2 Jahre sicher mehr AMD PCs an diverse Bekannte verteilt als Intels. Dazu gehören lustigerweise eher die "Gaming" Rechner. Einmal mit APU für casual gaming, einmal mit nem schönen 6 Kern Zen.

Für die Rechner die aber unscheinbar für Office Arbeiten herhalten sollen waren es meist kleine NUCs die mit 1-2 Head betrieben werden, SSD + 8GB Ram. Finde das hat seinen Charm sein 5-20W System lautlos neben den 2 Monitoren stehen zu haben und Wifi, BT usw alles mit drin is, das mir deutlich angenehmer als die Selbstbaukisten.

 

[RoccoMD]

Arme Firma INTEL, bekommen ihre "günstigen, prähistorischen" CPUs immer schlechter an den Mann.

 

[Holt]

Man muss sich damit abfinden das es keine Sicherheit und Privatsphäre mehr gibt.

Eben, wobei es die Leute gerade bzgl. der Privatsphäre auch offenbar nicht stört, sonst würden sie ja nicht so viel in den "sozialen" Netzwerken über sich preisgeben, sich zugleich aber auch noch so wenig Gedanken über die Sicherheitseinstellungen der Seiten machen.

Warum sollte ich mir also als krimineller Hacker die Mühe machen, einen komplizierten Angriff über die Schwachstellen in der Hardware eines Rechners auf Privatpersonen zu machen, wenn es die Rechnung.PDF per Mail erheblich einfacher und effektiver tut?

Eben, diese ganze Sicherheitslücken sind für den Privatanwender irrelevant, da es viel zu aufwendig die zu nutzen bei viel zu wenig potentieller Beute. Da ist die Nutzung der menschlichen Dummheit der Anwender oder die von Lücken in der Software viel einfacher.

Vor allem Server und Cloudbetreiber sollten sich Gedanken darüber machen ob eine homogene Serverlandschaft die so anfällig ist das Richtige ist.

Die homogene Serverlandschaften sind weniger das Problem, sondern eher die gerade durch die Virtualisierung fehlende Trennung, denn wenn virtuelle Server vermietet werden, dann ein Angreifer die Chance seine Schadsoftware auf den gleichen CPU Kernen auszuführen auf denen auch die Software der andere Kunden läuft. Trotzdem würde ich die Gefahr für die Sicherheit durch menschliches Versagen, als viel größer einschätzen, wenn etwa alte Hardware mit sensiblen Daten darauf einfach in dem Müll geworfen oder gar von Mitarbeitern entwendet und auf eBay vertickt wird, wenn zu simple Passwörter verwendet werden oder auch absichtlich Daten gestohlen werden. Letzteres war ja auch bei den diversen Steuer-CD oder Veröffentlichungen auf Wikileaks der Fall, da wurden die Server auf denen diese Daten waren nicht von außen gehackt, sondern die Daten wurden von Mitarbeitern kopiert und nach außen gebracht.

Mich interessiert, ob und wie schnell sowie gründlich INTEL darauf reagiert.

Die so readieren wie immer: Wenn das Problem über ein Microcode Update zu beheben ist, wird es welche geben und sonst muss man die Erkenntnisse in die Entwicklung der nächsten bzw. übernächsten Architektur einfließen lassen, die Entwicklung der nächsten (Sunny Cove) dürfte nämlich schon langst abgeschlossen sein.

Die Lage ist aus meiner Sicht jetzt wirklich ernst auch aufgrund der Verbreitung von INTEL-Chips

Dann ist jede Sicherheitslücke in Windows oder Android noch viel ernster, weil diese noch verbreiteter sind. Die Lücke sehe ich eher als irrelevant an, da sie keinen direkt Zugriff auf irgendwelche Daten ermöglicht.

Siehe die schwere Chrome Lücke,
die gestern gepatched wurde NACHDEM sie bereits aktiv ausgenutzt wurde.

Eben, gegen die zahlreichen Lücken in der Software, sind die Hardwarelücken eher irrelevant, zumindest für den normalen Anwender. Bei Hochsicherheitssystem auf die gezielte Angriffe interessant sind, sieht es anderes aus.

Wird Zeit für ne neue Architektur

Sunny Cove ist doch schon auf dem Weg.

Da is auch alles an Sicherheitspatches aktiv da einiges an VMs drauf läuft (auch Webserver die im Netz hängen).

Solange da niemands anderes Software aufspielen und ausführen kann, dürfte auch dies kein Problem sein und die Lücken in der Software viel wahrscheinlicher ein Risiko als die Lücken der Hardware sein.

Aber was gibt es bei Dir denn überhaupt zu klauen? Vielleicht ein paar delikate Fotos oder Filmchen, die dann auf Bezahlplattformen landen könnten? Die findet man bei den großen Cloud Anbietern viel wahrscheinlicher oder greift sie über eine App direkt von dem Smartphones ab mit dem sie gemacht wurden. Deine Zugangsdaten fürs Homebanking? Da ist Phishing viel erfolgversprechender als Tausende Heimserver nach sowas zu durchsuchen. Passwörter für Seite wie diese? Dann greift man doch besser konkret die verbreiteten Passwortmanager an, da findet man diese bestimmt. Das interessanteste dürfte sein, die Rechenleistung fürs Mining abzugreifen und ihn als Bot zum Versenden von Spam oder für DDoS Angriffe zu nutzen.

 

[Krautmaster]

Phishing ist absolut 1000x riskanter, da läuft man selbst als gehiefte Person teils in Gefahr der Sache auf dem Leim zu gehen.
Bei allem was iwi kritisch ist habe ich 2 Faktor an. Genau deswegen.
Da ich aber eh nich sage könnte ob der Schutz nun an oder aus is, also Performance technisch, lass ich die Sache an.

 

[LawZero]

Krass, wie der Zufall die Karten manchmal neu mischen kann...vor ein paar Jahren war AMD fast Geschichte, dann sind sie mit einem Comeback um die Ecke gekommen, dass selbst die Erwartungen der Fans übertroffen hat. Selbst da war Intel aber noch übermächtig und niemand hatte gedacht, dass das so schnell bröckelt, aber was Intel die letzte Zeit an Tiefsschlägen einstecken muss: massive Verzögerung in der Fertigung, eine kritische Sicherheitslücke nach der anderen. Klar kann das AMD oder sonst wem auch passieren, aber es ist schon verrückt zu sehen, wie unerwartete Ereignisse selbst die größten Giganten ins taumeln bringen...

Auf der anderen Seite frage ich mich oft, wie viele (außer vielleicht den US-amerikanischen Nachrichtendiensten) diese - höchst theoretischen - Lücken überhaupt je entdeckt hätten, wenn nicht Forscher diese veröffentlicht hätten.

Ich glaube das Wort, das du suchst ist KARMA!
Intel hat es nicht anders verdient. Das, was die mit AMD abgezogen haben, trifft die wie ein Bumerang mit voller Härte zurück und ich gönne es AMD sowas von.

 

[fuyuhasugu]

Es ist doch eher die Frage, was an sicherheitskritischen Lücken in der Prozessorarchitektur eben auch bei AMD noch nicht entdeckt wurde.

Bei den untentdeckten Sicherheitslücken nehmen sich alle Hardwarehersteller nichts. Ähnliches gilt für Software ebenso wie für Naturgesetze und Götter.

 

[dominiczeth]

Ich frage mich ob es Software/Hardware ohne Sicherheitslücken gibt... Wenn die Antwort "Ja" ist fress ich nen Besen. Live. Auf Twitch. Während ich Fortnite spiele. Oben ohne.

Nicht falsch verstehen, ich will das nicht verharmlosen. Dennoch wenn man gründlich sucht findet man bei jedem etwas. Sei es ein Betriebssystem, ein Open Source Programm, usw... Frage ist halt bloß wie viel kann eine Lücke anrichten. Bei einem Computerspiel nicht viel, bei einer CPU sieht das natürlich anders aus.

 

[Naxtrumrar]

Webseiten fuehren JavaScript auf deinem Rechner aus. Den Code kannst du infizieren. Theoretisch sollte das ganze in einer Sandbox bleiben, aber mit Spoiler etc kannst du die Sandbox einfach ignorieren. Alle bekannten Luecken wie Spectre, Meltdown, Spoiler, Rowhammer, etc ignorieren die Berechtigungen. Von dem her kannst du so viel wie du willst auf hoeheren Abstraktionsebenen haben, es nuetzt nichts.

Das glaube ich nicht, so mächtig ist Javascript doch nun auch wieder nicht oder hast du da Quellen für?

 

[Jesterfox]

Hier z.B. die Stellungname von Mozilla weshalb sie Abwehrmaßnamen in de Firefox gepatcht haben:

https://blog.mozilla.org/security/2018/01/03/mitigations-landing-new-class-timing-attack/

 

[Iscaran]

@Naxtrumrar:

Doch das ist GENAU der Angriffsweg den die Autoren von Spoiler genutzt haben
https://arxiv.org/pdf/1903.00446
"Then, we show how this can improve the Prime+Probe attack by a 4096 factor speed up of the eviction set search, even from sandboxed environments like JavaScript."

Freie Dt. Übersetzung:
"Dann zeigen wir wie wir die Prime+Probe Attacken um den Faktor 4096 beim eviction set search verbessern können, sogar aus sandbox Umgebungen wie JavaScript."

" 2. proposes an attack, SPOILER, to efficiently exploit this leakage to speed up the reverse engineering of virtual-to-physical mappings by a factor of 256 from both native and JavaScript environments."

"2. stellen einen Angriff vor, SPOILER, um Effizient diese Lücke zu nutzen um das reverse-engineering von virtuellen zu physischen Mapping um den Faktor 256 zu beschleuning aus native als auch aus JavaScript Umgebungen."

"3. demonstrates a novel eviction set search technique from JavaScript and compares its reliability and efficiency to existing approaches."

"3. zeigen wir eine neuartige eviction set Such Technik aus JavaScript heraus und vergleichen ihre Zuverlässigkeit mit existierenden Ansätzen"

" Additionally, Gruss et al. [16] ex-ploit the timing information obtained from the prefetch instruction to leak the physical address information. The main obstacle to this approach is that the prefetch instruction is
not accessible in JavaScript, and it can be disabled in native sandboxed environments [59], whereas SPOILER is applicable to sandboxed environments including JavaScript."
"SPOILER is particularly helpful for attacks in sand-boxed low-privilege environments such as JavaScript, where previous methods require a time-consuming brute forcing of the memory addresses"

"Zusätzlich haben Gruss et al. ausgenutzt, dass die Timing Information die erhalten wird aus der Prefetch Instruction eine Leak auf eine Physikalische Adresse erlaubt. Das Hauptroblem dieses Ansatzes ist es, dass die Prefetch Anweisung nicht zugänglich ist in JavaScript und auch deaktiviert werden kann in nativen Sandbox Umgebungen, wohingegen SPOILER anwendbar ist in sandbox Umgebung inklusive JavaScript. SPOILER ist insbesondere hilfreich für Angriff in Sandbox low-privilege Umgebungen wie JavaScript, wo frühere Methode eine Zeitintensives Brute Forcing der Speicher adressen erfodern."

Ergänzung (8. März 2019)

@Jesterfox:

https://blog.mozilla.org/security/2018/01/03/mitigations-landing-new-class-timing-attack/

Das betrifft die ALTEN Mitigations gegen Spectre ! (siehe Datum 2018 !)

 

[Jesterfox]

Das war auch mehr als generelles Beispiel gedacht das man diese Art von Lücken auch mit JavaScript ausnutzen kann. Mein Vorposter hat ja auch auf einen Beitrag geantwortet der alle Lücken dieser Art erwähnte.

 

[Rockstar85]

Es gibt Lücken in Hard und Software, und ich schaue mal in die Glaskugel
und sage, dass wenn sich Wissenschaftsteams auf dem Globus mal die AMD
CPUs genauer anschauen..

Einer? Ich hab da ne Devise.. Es ist so lange sicher, bis man die Lücke gefunden hat... Grade im Bereich Elektrotechnik wäre ein "Sicheres" System sehr Erstrebenswert, ist aber Mumpitz, weil es das noch nicht gibt..
Errata hieß die Datenbank bei Intel mit den Fehlern, richtig?
Ach und genau DAS haben Forscher ja nicht nur bei Meltdown gemacht, auch mit AMD.. Wir schon gesagt wurde, es gibt mehr als nur Intel und AMD