News Spoiler: Neues Sicherheitsleck betrifft alle Intel-Core-CPUs

[MK one]

https://www.fudzilla.com/news/pc-hardware/48276-amd-might-make-a-killing-from-new-intel-chip-bug
The researchers say that Spoiler improves Rowhammer attacks and cache attacks that reverse-engineer virtual-to-physical address mapping. Using Spoiler, they show the leakage can be used to speed up reverse-engineering by a factor of 256. It also can speed up JavaScript attacks in the browser.

und was sagt Intel dazu : da müssen halt die Programmierer der OS und Browser dafür sorgen das die Attacke nicht ausgenutzt werden kann ... oder der User sollte nur Arbeitsspeicher verwenden der gegen Rowhammer abgehärtet wurde ....
https://www.wired.com/story/rowhammer-ecc-memory-data-hack/
AN INGENIOUS DATA HACK IS MORE DANGEROUS THAN ANYONE FEARED

und genau da kommt Spoiler ins Spiel indem sie Rowhammer Attacken beschleunigen und Cache Angriffe um den Faktor 256 beschleunigen kann

 

[K7Fan]

oder der User sollte nur Arbeitsspeicher verwenden der gegen Rowhammer abgehärtet wurde ....

Also nur noch Module mit TRR bei DDR4?
Mit DDR3 steht Team blau demnach, abgesehen von ein paar Xeons ab IB (oder SB ?) die pTRR unterstützen, eigentlich komplett im Regen wenn ich das recht verstehe?

Zum Glück ist Rowhammer wenigstens leicht zu detektieren und noch immer relativ langsam.

 

[MK one]

Also nur noch Module mit TRR bei DDR4?
Mit DDR3 steht Team blau demnach, abgesehen von ein paar Xeons ab IB (oder SB ?) die pTRR unterstützen, eigentlich komplett im Regen wenn ich das recht verstehe?

Zum Glück ist Rowhammer wenigstens leicht zu detektieren und noch immer relativ langsam.

https://www.thethreatreport.com/the-spoiler-processor-bug-is-intel-in-trouble-again-in-2019/
Intel on their part is not denying the existence of Spoiler, but it downplays its effect, the chipmaker does not expect it of having the same impact compared to Spectre. “Intel received notice of this research, and we expect that software can be protected against such issues by employing side channel safe software development practices. This includes avoiding control flows that are dependent on the data of interest. We likewise expect that DRAM modules mitigated against Rowhammer style attacks remain protected. Protecting our customers and their data continues to be a critical priority for us and we appreciate the efforts of the security community for their ongoing research,” emphasized an Intel representative.

wie würdest du das übersetzen ? ich verstehe darunter das es den Software Entwicklern überlassen wird diese Art des Seitenkanal Angriffs zu unterbinden ( anstatt den Ursprung an der Quelle = Intel CPU Design , zu bekämpfen ....)

 

[K7Fan]

wie würdest du das übersetzen ? ich verstehe darunter das es den Software Entwicklern überlassen wird diese Art des Seitenkanal Angriffs zu unterbinden ( anstatt den Ursprung an der Quelle = Intel CPU Design , zu bekämpfen ....)

Würde ich in etwa ebenso sehen, man kennt das Problem aber erwartet dass es von Entwicklern in deren Software umgangen werden könnte.
Wer (p)TRR RAM hat bleibt sicher.

 

[.Sentinel.]

Bei den untentdeckten Sicherheitslücken nehmen sich alle Hardwarehersteller nichts. Ähnliches gilt für Software ebenso wie für Naturgesetze und Götter.

Genau so siehts aus- Hier ein Auszug aus den Errata von AMD (Liste wächst wie bei Intel jährlich an):
https://www.amd.com/system/files/TechDocs/55449_Fam_17h_M_00h-0Fh_Rev_Guide.pdf

Ist zwar feinster Whataboutism, unterstützt jedoch die These, dass komplexe Prozessoren weit davon entfernt sind in allen Szenarien fehlerfrei und ohne Sicherheitsprobleme zu arbeiten.

Ist wie beim Kopierschutz auch ein Katz und Maus - Spiel. Systeme mit hohem Verbreitungsgrad stehen naturgemäß immer ungleich mehr im Feuer.

LG
Zero

 

[MK one]

@ZeroZerp
die Seiten 13 - 19 ... 8 th Gen ... des PDF https://www.intel.com/content/www/us/en/products/docs/processors/core/8th-gen-core-spec-update.html

und das ist die 8 te Version/Überarbeitung der Core Gen ... = Din A4 6 Seiten = 114 Errata

dein AMD Link https://www.amd.com/system/files/TechDocs/55449_Fam_17h_M_00h-0Fh_Rev_Guide.pdf
= 2 Seiten Din A4 ( s12 + s13 ) = ca 50 Errata

= 1. Ryzen Gen , umfasst alle Sockel , alle Ryzen Prozessoren ...

ich sehe da schon einen feinen Unterschied ....

Core i7 = 81 Errata ( s 9 - 11 ) https://www.intel.com/content/dam/w...dates/core-i7-6xxx-lga2011-v3-spec-update.pdf

Core i6 , besonders ergiebig = 177 Errata s. 9-18 https://www.intel.com/content/dam/w...s/desktop-6th-gen-core-family-spec-update.pdf

davon abgesehen sind es oft keine sicherheitsrelevanten Fehler die aufgelisted werden
Bei AMD zb
911 IOMMU Unnecessarily Updates Dirty Bit (D-bit) While Handling Non-supervisor DMA Write Request To Writable Supervisor-only Page Description IOMMU incorrectly sets the D-bit in the guest page table when it encounters a DMA write request without supervisor privilege to a writable supervisor-only page. Potential Effect on System No functional issue is expected; the non-permitted DMA write request is aborted without any memory content modification. However, the affected pages may be unnecessarily written out to the pagefile by software. Suggested Workaround None Fix Planned No fix planned

 

[.Sentinel.]

@MK one
Es ging mir hier weniger um den wie immer gepflegten sch.... vergleich, der hier schon wieder aufgefahren wird (mein Prozessor ist viel fehlerfreier als Deiner), sondern um die systemisch richtige Bemerkung, dass die Prozessoren ob der Komplexität mit an 100% grenzender Wahrscheinlichkeit alle fehleranfällig und schwachstellenbehaftet sind für Szenarien, die noch nicht bekannt sind.

Auch sehe ich keine zwingende Korrelation bezüglich der öffentlich genannten und der tatsächlich vorhandenen Anzahl an Bugs/Lecks. Ansonsten wäre der nächste Intel Prozessor bei dem diese Liste nicht öffentlich gepflegt wird dann potenziell fehlerfrei.

Wenn man Deine Argumentationswese mal in ein anderes Licht rückt, könnte man auch sagen, dass Intel ehrlicher mit den eigenen Schwächen umgeht bzw. deren Forschungsabteilung und externe Stellen dort einfach akribischer arbeitet und somit mehr entdeckt und dokumentiert.

Schau mal wie oft bei den Errata bei AMD steht, dass deren Auswirkung nicht abzusehen sei.
"Unpredictable system behavior."

Grüße
Zero

 

[MK one]

ja klar , Intel geht akribischer damit um ....
und überhaupt , eine bereits 8 fach überarbeitete und gefixte Architektur sollte eigentlich nahezu fehlerfrei sein .... , trotzdem finden sich bei Intel mehr Errata als bei AMD obwohl Ryzen die 1. st Gen ist , da sollten eigentlich zwangsläufig mehr Bugs drin sein ...
im übrigen , ein paar Errata mögen von AMD oder Intel selbst stammen , der überwiegende Rest wird jedoch von Programmierern und Entwicklern stammen oder Server Admins , halt Leuten denen etwas aufgefallen ist und das an AMD / Intel weitergemeldet haben , das hat nichts mit Akriebi zu tun , allenfalls etwas mit Verbreitungsgrad und da weit mehr auf Intel optimiert wird als auf AMD .....

 

[.Sentinel.]

@MK one
Dann gib mir doch mal irgendeinen Anhaltspunkt dafür, dass Du für irgendeiner Deiner nun getätigten Aussagen einen Beleg hast, der meiner Kernaussage entgegensteht bzw. meiner Ausführung eines möglichen Alternativszenarios.

Ansonsten wäre es nur eine Gegenrede unter Nutzung weiterer, haltloser Behauptungen.
So lässt sich aber dann kaum Diskutieren...

Grüße
Zero

 

[MK one]

wenn du gesunden Menschenverstand als haltlose Behauptungen hinstellst , bin ich dagegen machtlos ....
ansonsten empfehle ich die die Errata zu zählen die bei Intel und AMD auftauchen und sie aus statistischer Sichtweise prozentual in Relation zu setzen ... , möglicherweise fällt dir dann was auf ...

Ganz zu schweigen von den sicherheitsrelevanten Mängeln in der Architektur , die eigentlich keine Bugs sind und bei denen Intel seit Anfang 2018 nicht zur Ruhe kommt ...

 

[.Sentinel.]

wenn du gesunden Menschenverstand als haltlose Behauptungen hinstellst , bin ich dagegen machtlos ....
ansonsten Empfehle ich die die Errata zu zählen die bei Intel und AMD auftauchen und sie aus statistischer Sichtweise prozentual in Relation zu setzen ... , möglicherweise fällt dir dann was auf ...

Ja- Nur, dass Du offenbar meinen Text nicht vollständig gelesen hast...

Es ging mir hier, wie schon einmal angemerkt, zudem nicht um Spekulationen, Schuldzuweisungen und "meiner ist besser als Deiner" -das ist nämlich ein Spiel, das ich aus Gründen offensichtlich mangelnder Belege immer sehr schnell langweilig finde-,
sondern darum, dass sich auch derjenige in falscher Sicherheit wähnt, dessen Schwachstellen noch nicht öffentlich im Netz aufzufinden sind oder von offizieller Seite nicht aufgeführt werden.
Es kann jeden immer und überall treffen.

Das ist für mich genauso abstrus, wie einen Qualitätsmaßstab in Sachen Sicherheit daraus ableiten zu wollen, dass man in den Windows Betriebssystemen vergleichsweise oft Schwachstellen ausbessern muss.

Grüße
Zero

 

[MK one]

oh ja , 0815 Postings nach dem Motto " Fehler haben alle CPUs , bei AMD fallen diese nur nicht so oft / schnell auf ..."
Ablenkungsweise a la Intel nach dem Motto " Nicht nur wir sind betroffen ... ) , trifft seit geraumer seit jedoch nur selten zu , 3 oder 4 von 5 Spectre NG Lücken waren Intel /Arm only , Spoiler , Intel only , Meltdown Intel/Arm only

Klar wird auf Chipzilla mehr geachtet , jedoch steckt Intel das 10 fache in R+D wie AMD , da sollte man doch ein wenig mehr erwarten dürfen , oder ? Ich befürchte nur Sicherheitsrelevanz mußte bisher hinter Performance / Marktanteil zurückstehen ...

 

[nazgul77]

Intel ist der Standard, an dem sich die Programmierer orientieren.
Hardware und Software spielen doch immer zusammen und müssen
aufeinander abgestimmt werden.

Das ist völliger Unsinn, es sei denn du programmierst für Spezialfälle in Assembler. Die meiste Programmierung erfolgt in Hochsprachen, und da ist selbst die Plattform belanglos.
Für die Abstimmung Software auf Hardware sorgt der Compiler.

Wenn man nach Anzahl verkaufter CPUs geht, so wäre ARM der Standard.

 

[MK one]

zudem borizb in seiner typischen Unkenntniss vergisst das alle 64 Bit Programme nur deswegen auf seiner CPU laufen weil AMD die x86-64 Bit Befehlserweiterung entwickelt hat , erst 2 Jahre später adaptiert Intel diese 64 Bit Erweiterung weil ihre eigene 64 bit Itanium-Architektur „IA-64“ sich nicht durchsetzen konnte ....
https://de.wikipedia.org/wiki/X64

 

[Holt]

Wobei heutzutage immer mehr Software interpretiert wird, wie Java, Javascript oder C#, da sorgt das Framework für die Schnittstelle zur Hardware.

 

[Dittsche]

Statement auf Webseite von AMD: https://www.amd.com/en/support/kb/faq/pa-240

 

[MichaG]

Artikel-Update: AMD erklärt in einer Stellungnahme, dass das Unternehmen davon ausgeht, nicht von der Sicherheitslücke Spoiler betroffen zu sein. Die Begründung für diese Annahme lautet wie folgt:

„Der SPOILER-Exploit kann während Ladeoperationen auf Teiladressinformationen über dem Adressbit 11 zugreifen. Wir glauben, dass unsere Produkte für dieses Problem nicht anfällig sind, da AMD-Prozessoren beim Lösen von Lastkonflikten keine partiellen Adressübereinstimmungen über dem Adressbit 11 verwenden.“

We are aware of the report of a new security exploit called SPOILER which can gain access to partial address information during load operations. We believe that our products are not susceptible to this issue because of our unique processor architecture. The SPOILER exploit can gain access to partial address information above address bit 11 during load operations. We believe that our products are not susceptible to this issue because AMD processors do not use partial address matches above address bit 11 when resolving load conflicts.

 

[Ozmog]

Davon gingen ja die Entdecker von Spoiler auch bereits aus, dass andere davon nicht betroffen sein dürfen.

 

[ashrakk]

Also ein Emmentaler kommt mir nicht ins Gehäuse. Ich hole mir lieber einen neuen Ryzen, Codename Tilsit Ridge

 

[Pisaro]

Gerade das, macht mir sorgen, weil immer wieder behauptet wird, dass Spectre, Meltdown und Co., jetzt Spoiler angeblich Privatnutzer nicht betrifft, was aber nicht stimmt.

Doch es stimmt. nachzulesen auf fast allen Seiten im Netz. Meltdown, Sprecte etc sind für Privatanwender zu 99,99% uninteressant.