News Threadripper Pro: Lenovo bindet CPUs per AMD PSB an eigene Systeme

[Jan]

Mit Threadripper Pro 3000 hat AMD die Server-CPU Epyc als 1-Sockel-Variante in die Workstation gebracht. Threadripper Pro übernimmt von Epyc das 8-Kanal-Speicherinterface mit bis zu 2 TB Kapazität, Registered-DIMM-Unterstützung, 128 PCIe-4.0-Lanes und Sicherheitsfunktionen. Das bedeutet auch in diesem Fall Vor- und Nachteile.

Zur News: Threadripper Pro: Lenovo bindet CPUs per AMD PSB an eigene Systeme

 

[Teralios]

Was sind da eigentlich nun wirklich die Vorteile für Sicherheit? Weil so ganz schlau werde ich da aus all den Informationen nicht.

 

[Neodar]

Solcher Mist gehört verboten. Hier geht es einmal mehr um rein finanzielle Interessen der Hersteller.
Der Endnutzer ist wieder der Angeschmierte.

 

[Jan]

Was sind da eigentlich nun wirklich die Vorteile für Sicherheit? Weil so ganz schlau werde ich da aus all den Informationen nicht.

Dass dir niemand eine kompromittierte CPU einbaut, die die ganze Sicherheits-Kette danach ad absurdum führt.

 

[Malex2018]

Zu Sicherheit: Es kann niemand eine Workstation aufschrauben, die CPU ausbauen und zuhause auf seinem WRX80 Asus/ASrock/ was auch immer Board betreiben. #klauen

😂

Verstehe ich auch nicht was das mit Sicherheit zu tun hat.

 

[crackett]

Von wegen Sicherheit! Das soll einzig und allein den Weiterverkauf einschränken.

 

[Bigfoot29]

Ich sehe jetzt auch den Vorteil nicht... Firmware wird per UEFI/geladen, eigenen Speicher für gefährlichen Code (oder Daten) haben CPUs nicht (und das SRAM ist tot, bevor die CPU irgendwo anders steckt und man es auslesen könnte). Hier gehts meiner Meinung tatsächlich nur um das Verhindern des Weiterverkaufs.

:/

Regards, Bigfoot29

Nachtrag: @Jan: Die CPU darf nicht in andere Systeme. Es steht nirgends, dass eine andere CPU nicht in das EIGENE System darf?

 

[Yesman9277]

kompromittierte CPU

Gibt es hierfür Beispiele?
Was kann man denn mit einem Threadripper anstellen, dass man die Sicherheitskette außer Kraft setzt?

 

[Jan]

Nachtrag: @Jan: Die CPU darf nicht in andere Systeme. Es steht nirgends, dass eine andere CPU nicht in das EIGENE System darf?

Stimmt.

 

[Rhoxx]

Dass dir niemand eine kompromittierte CPU einbaut, die die ganze Sicherheits-Kette danach ad absurdum führt.

Wer eine CPU kompromitieren kann, kann bestimmt auch die Seriennummer der CPU kompromitieren.
Es gibt doch so viele einfachere Wege in ein System, wenn man an die Hardware auf Mainboard-Level herankommen kann. (USB-Protokoll, Lightning Bolt-Firmware, Massenspeicher (HDD, SSD) etc.

 

[mae]

Dass dir niemand eine kompromittierte CPU einbaut, die die ganze Sicherheits-Kette danach ad absurdum führt.

Was in dem Artikel beschrieben ist (also dass man die CPU nicht in einem anderen Modell (oder gar einem anderen Exemplar) verwenden kann), ist fuer so eine Funktion weder notwendig noch hinreichend.

 

[Scobi]

extra 10.000 für den 64core Upgrade, wo dieser im web nicht mal volle 4k kostet

 

[NguyenV3]

Ich sehe jetzt auch den Vorteil nicht...

Vielleicht muss man das große ganze betrachten bzw. die gesamte Sicherheitskette. Dass die CPU dabei nicht mehr woanders verwendet werden kann, ist halt "unglücklich". Hier in dem Artikel heißt es:

Spoiler

Wie AMD gegenüber STH erklärt, lässt sich die RoT im PSP per PSB auch dazu verwenden, um das digital signierte BIOS des Mainboards zu schützen. Dazu dienen unwiderruflich nur einmal beschreibbare Bits im Prozessor, sogenannte One-Time Programmable Fuses (OTP Fuses).

Hat das Mainboard diese OTP Fuses "geschossen", ist der Prozessor an die Herstellersignatur im jeweiligen BIOS gebunden und startet nicht mehr, wenn diese Signatur beziehungsweise die Firmware manipuliert wurde. Das erschwert Angreifern Änderungen an der Server-Firmware, etwa um SVE oder UEFI Secure Boot auszuhebeln.

 

[Zegermann]

Unnachhaltige und verachtenswerte Praxis. Das Sicherheitsargument klingt nach einem Feigenblatt. Ich nehme gerne gebrauchte Hardware zu verschiedenen Zwecken, das wird dadurch erheblich eingeschränkt.

Edit:
Gerade den Beitrag über mir gelesen. Wenn, wie im Artikel beschrieben, verschiedene Workstations des selben Modells verschiedene Signaturen haben, dann muss doch jedes offizielle BIOS-Update genau die individuelle Signatur tragen. Klingt kompliziert.

 

[PERKELE]

@Jan Nehmen wir mal an, ein solcher TR Pro mit PSB geht kaputt, liese sich dann die CPU durch ein Modell aus dem freien Endkundenmarkt ersetzen?

 

[nagus]

Von wegen Sicherheit! Das soll einzig und allein den Weiterverkauf einschränken.

ist vlt ein Nebeneffekt aber sicher nicht der Hauptgrund. Und wieviel Leute rüsten denn solche workstation CPUs auf? 5%? Völlig egal. Wenn dann wird sowieso das ganze System vertickt.

 

[Salutos]

Somit wird die CPU quasi zum Wegwerfartikel.
Gut, gebe zu, habe noch selten eine CPU in einem Server Upgegraded. Wenn dann wird der ganze Server ausgetauscht.
Das Feature ist eigentlich mehr für Shared-Serverfarmen interessant.

Bin mal gespannt wann das für andere austauschbare Komponenten auch kommt.

Ergänzung (6. April 2021)

@Jan Nehmen wir mal an, ein solcher TR Pro mit PSB geht kaputt, liese sich dann die CPU durch ein Modell aus dem freien Endkundenmarkt ersetzen?

Davon ist nicht auszugehen, ansonsten würde "das Feature" ad adsurdum geführt.

 

[pmkrefeld]

Ja ja, genau wie man bei Lenovo die WLAN-Karten nur gg. Lenovo-freigegeben tauschen konnte facepalm. War auch wg. Sicherheit. Ergebnis: Intel OEM-Karte 12€, die gleiche Intel Lenovo-Karten 120€.
WLAN USB-Stick 15€

 

[PfeifenEule]

@Jan Nehmen wir mal an, ein solcher TR Pro mit PSB geht kaputt, liese sich dann die CPU durch ein Modell aus dem freien Endkundenmarkt ersetzen?

Bei den Dell Servern war es so, dass man jede beliebige CPU einbauen konnte, diese CPU war danach aber unbrauchbar für andere Systeme (z.B. Supermicro).

 

[Pitt_G.]

jaja das Totschlagsargument mit der Sicherheit, klar sicher, bei Servern versteh ichs erst recht nicht, man nimmt ja gerne die ganze Storage mit , Tintenpatronen, Automobile, und Co machens vor