Du verwendest einen veralteten Browser. Es ist möglich, dass diese oder andere Websites nicht korrekt angezeigt werden. Du solltest ein Upgrade durchführen oder einen alternativen Browser verwenden.
NewsWindows 10: Neuer Intel-Microcode gegen Spectre V3a, V4 & L1TF
100% der User bei Facebook sind genau der gleichen Meinung wie Du, das ihre Posts für niemanden von Interesse. Gleichzeitig verdient Facebook sich eine goldene Nase mit den Daten der User.
damit vergleichst du äpfel mit birnen.
ist ja wohl ein unterschied, ob ich aktiv etwas ins netz setze, oder ob mich jemand "ausspioniert".
Ned Flanders schrieb:
Wenn Du Dich heute in deinem Browser bei der Sexfetisch Seite deiner Wahl einlogst oder aus einer Laune heraus den ISIS Blog liest weil dich mal interessiert was die da so posten, oder auf der geheimen Seite der türkischen Opposition ließt.... Alles Dinge die in manchen Ländern von interesse sind --- übrigens durchsaus auch für Verwandte.
und nochmal: ich rede von mir. für wen bitte schön sollte mein surfeverhalten interessant sein???
lass mir doch bitte meine meinung und mein umgang mit dieser angelegenheit und jedem, der das genauso sieht.
wenn sich jemand für gefährdet hält, kann er ja alle sicherheitsvorkehrungen treffen, die er für relevant hält.
und alle anderen tun das nicht.
Dein Surfverhalten kann sehr interessant sein und zwar auch für die gesamte Gesellschaft as such, weil daraus allerlei Schlüsse gezogen werden können. Warum meinst du sind Cookies so interessant? Warum kannst du selbst SPON nicht mehr ansurfen wenn du ein "Do not Track" in deinem Browser einschaltest? Und was meinst du was aus sensiblen Surf informationen eines Daddies an konsequenzen für Familienmitglieder entsehen kann? In zeiten von Big Data und KI ist es doch völlig naiv zu glauben das es ein Problem wäre interessante Daten zu extrahieren.
@Ned Flanders: du redest die ganze zeit von "irgendwelchen" leuten, ich rede von mir.
es ist mir jetzt auch echt zu mühselig zu versuchen, dir den unterschied begreiflich zu machen.
Also Spectre Mitigations Einschalten/Abschalten (via InSpectre) auf meinem Ryzen Sys bringt keinen auch nur messbaren Unterschied in den typischen Benchmarks. Definitiv eingeschaltet lassen!
Schon darin schlägt der Author vor, dass man unterschiedliche Privilige Domains von einander trennt. Also genau das, was AMD offensichtlich umgesetzt hat und Intel nicht.
Ich gehe mittlerweile davon aus, dass Intel genau wusste was abging und sie, wie einige im Forum hier, Performance vor Sicherheit stellten. Jetzt geht halt die Party los. Und da wird noch einiges kommen.
Andybmf schrieb:
mir als leihe, der solchen updates ausgeliefert ist, bleibt da immer wieder nur mal meine cpu zu benchen, um zu schauen, ob sich leistungsmässig etwas verändert hat.
wenn microsoft die sicherheits updates mit rein packt, komme ich ja fast nicht mehr daran vorbei.
ich würde am liebsten ganz darauf verzichten, weil es für mich als otto keinen sinn macht und ich mir keinen sorgen machen muss, dass ich so interessant bin, dass jemand diese lücken bei mir nutzt.
bei firmen, oder clouds und server sieht das ganze natürlich anders aus.
es ist aber für mich einfach nicht mehr nachzuvollziehen, was mit den updates gemacht wird, oder ob ich überhaupt welche bekomme.
jemand, der ein solches forum wie hier nicht regelmässig besucht, bekommt schlicht weg garnichts mit.
Verdam.... wie kann ich den Dreck abschalten!? Ich bin weder Cloud Anbieter noch betreibe ich VMs. Ich will und brauch diesen Performance Krüppel-Mist nicht auf meinen PCs.
Ergänzung ()
Völliger Schwachsinn. Außerdem ist InSpectre seit Windows 1809 verbuggt. Hab den Autor schon mehrfach angeschrieben. Reagiert nicht.
Besonders zu L1TF gab es bisher nirgens Windows 10 Desktop Performance-Vergleiche vorher/nachher. Und zu Spectre 3/4 auch nicht.
Aber wir sind uns schon einig, das die Wahrscheinlichkeit, als 08/15 user einem Angriff ausgesetzt zu sein minimal ist? Und es ist meine Entscheidung ob ich dieses Risiko eingehen möchte oder nicht. Eine 30-50%ige Reduzierung der Performance ist jedenfalls für mich nicht akzeptabel, wäre ich in den USA, würde ich mich vermutlich einer Sammelklage anschließen...
@Shagrath Völliger Blödsinn. Erstens haben die Browser eigene Schutzmaßnahmen integriert, daher ist auch der RAM Verbrauch von Chrome nochmal explodiert (10 tabs und 3GB RAM Nutzung, n Witz). Zweitens ist die Wahrscheinlichkeit wertvolle gezielte Informationen auszulesen gegen Null. Drittens würde es sonst wie lange dauern 16GB RAM mit 10kb/s auszulesen, da ist man von der Seite schon vor Tagen runter oder hat den PC aus. Dazu kommt noch, dass man nicht auf duibiosen Seiten surft, Scriptblock und Adware nutzt.
Ich will und brauch die Microcode Krüppelgülle nicht auf meinen PCs haben. Ich kann selber entscheiden, wie und wo ich surfe und was ich als sicher erachte.
was nichts an meiner meinung ändert, dass ich zu 99% nicht von interesse bin, dass diese sicherheitslücke bei mir ausgenutzt wird, um daten zu klauen.
ich spreche nur von mir und so habe ich es auch geschrieben.
und mit meinem 4790k, der schon oft genug an der kotzgrenze arbeitet und der wahrscheinlichkeit, dass ich mehr als 5% leistungsverlust habe, spielt das für mich eine erhebliche rolle.
Natuerlich koennen 08/15 Nutzer angegriffen werden. Vor allem wenn man seinen Angriff breit streut. Igendeinen Deppen gibt es bestimmt der meint er braucht das ganze nicht. Die Wahrscheinlichkeit bei einem Angriff, bei einmal auslesen was zu erwischen ist nicht sehr hoch, ja. Aber die erhoeht sich je oefter man liest, je mehr Ziele man hat. Und wenn dann mal was passiert ist das Geheule gross und es braucht irgendeinen Schuldigen. Ich wuensche wirklich euch trifft es mal.
Schutzmassnahmen in Browsern sind nur Notloesungen. Die machen das nicht weil sie so nett sind, sondern weil speziell ein Prozessorhersteller sonst Probleme hat. Ich erinnere mich wie hier einige Fanboys sich ueber die SSD Leistung von AMD lustig gemacht haben. Und nach den Patchen ist Intel auf der gleichen Leistung. Das ist keine Verkrueppelung, sondern einfach die Leistung wenn man minimal auf Sicherheit achtet.
Das wirklich interessante daran ist, dass wegen Leuten wie euch Zwangsupdates noetig sind. Ich will gar nicht wissen wie viele Windows 7 Systeme ungepatcht sind, weil jemand meint er waere super schlau. Wenn ihr wirklich darauf besteht Performance ueber Sicherheit zu stellen, dann habt ihr kein Recht mehr auch nur einen Mucks von euch zu geben wenn euch irgendwas gestohlen wird, wenn andere mal wieder ein Datenleck haben, oder sonst irgendwas passiert.
Shagrath schrieb:
Nein, wir sind uns nicht einig. Solche Lücken könnten, da sie selbst via JavaScript dank der POC-Sourcecodes einfach zu implementieren sind, breitflächig über infizierte Sites und übernommene Server auch Normaluser angreifen, während diese einfach und nichtsahnend ihren Browser nutzen. Natürlich nur, wenn man vorsätzlich die Patches deaktiviert.
Die Browserdaten wie gespeicherte Passwörter und ggf. auch Daten anderer Prozesse (etwa Passwortmanager) könnten da schon interessant werden, selbst wenn der User das initial nicht war. «Gelegenheit macht Diebe.»
Man muss kein Rechenzentrumsbetreiber sein, um von gestreuten Angriffen getroffen zu werden. Die Betroffenheit wäre dann vielleicht aber groß, wenn man für selbst 10% oder ein paar FPS ingame seine Passwörter "veröffentlicht" hat.
Wenigstens einer der es versteht. aber auf jeden der es versteht scheint es 100 zu geben, die es nicht verstehen, nicht verstehen wollen, oder einen Dreck darauf geben.
Helios_ocaholic schrieb:
Übrigens... Windows 10 (19H1) wird auf Google's Retpoline zur Mitigation der Spectre-Lücken basieren. MS Insider können dies jetzt schon austesten.
Oh, hat sich Microsoft gegen Intel durchgesetzt? Intel hat ja ordentlich rumgemacht als das im Linux Kernel implementiert werden sollte.
Andybmf schrieb:
@Ned Flanders: du redest die ganze zeit von "irgendwelchen" leuten, ich rede von mir.
es ist mir jetzt auch echt zu mühselig zu versuchen, dir den unterschied begreiflich zu machen.
Und du denkst du bist sicher? Du denkst dir koennte nichts passieren weil du ja immer weisst was dein Rechner macht und was passiert? Das ist ehrlich gesagt ziemlich naiv. Du hast ein gewisses Wissen und meinst es ist ausreichend dich zu schuetzen, bis es kracht. Ich habe auch ein gewisses Wissen, ich nehme trotzdem nicht an, dass es ausreicht. Aus dem einfachen Grund, dass ich nicht wissen kann was genau zu jedem Zeitpunkt passiert. Teilweise hilft es von der Selbstueberschaetzung runter zu kommen.
@Kacha Leider alles falsch und peinlich was du da schreibst. "Aber die erhoeht sich je oefter man liest, je mehr Ziele man hat.", nein, der RAM ändert sich ständig, was für mehrere Ziele mit selbem RAM Inhalt? "Schutzmassnahmen in Browsern sind nur Notloesungen." nein die reichen fürs normale Surfen aus. "Natuerlich koennen 08/15 Nutzer angegriffen werden. Vor allem wenn man seinen Angriff breit streut. " wovon redest du da bitte, nichts was du sagst ergibt den geringsten Sinn. Sind Daten von dir auf meinem PC im RAM? Wäre mir neu. Bin ich ein Cloud-Anbieter von dir? Weiß ich auch nichts von. Ich entscheide auf meinen System was wichtiger ist, Performance oder Sicherheit. Ich bin kein Cloud-Anbieter mit Kundendaten auf meinen privaten PCs.
@Kacha Leider alles falsch und peinlich was du da schreibst. "Aber die erhoeht sich je oefter man liest, je mehr Ziele man hat.", nein, der RAM ändert sich ständig, was für mehrere Ziele mit selbem RAM Inhalt? "Schutzmassnahmen in Browsern sind nur Notloesungen." nein die reichen fürs normale Surfen aus. "Natuerlich koennen 08/15 Nutzer angegriffen werden. Vor allem wenn man seinen Angriff breit streut. " wovon redest du da bitte, nichts was du sagst ergibt den geringsten Sinn. Sind Daten von dir auf meinem PC im RAM? Wäre mir neu. Bin ich ein Cloud-Anbieter von dir? Weiß ich auch nichts von. Ich entscheide auf meinen System was wichtiger ist, Performance oder Sicherheit. Ich bin kein Cloud-Anbieter mit Kundendaten auf meinen privaten PCs.
Alles falsch und peinlich? Ja, das kann ich gerne zurueckgeben. Nur weil der RAM sich aendert heisst das nicht, dass sich die Chance etwas zu finden nicht erhoeht. Vor allem nicht auf Intel Prozessoren die man mit korrekt manipuliertem Code dazu bringen kann sehr vorhersehbar zu sein.
Schutzmassnahmen im Browser moegen DERZEIT fuer normales surfen ausreichen. Aendert nichts an der Tatsache, dass sie Notloesungen sind weil auf Prozessorseite ein Schweizer Kaese exisitert.
Du hast schon mal von Botnetzen gehoert? Du hast schon mal davon gehoert, dass man mit Leichtigkeit eine massige Anzahl an Zielen angreifen kann? Dass man Webseiten manipulieren kann? Etc, etc, etc. Da kann man leicht kreativ werden. Wenn du das nicht weisst, ok, kann passieren, jetzt tust du es. Um es noch einfacher zu machen: es ist ein leichtes Millionen von Zielen anzugreifen, irgendwen findet man sicher und dann greift man den gezielter an.
Zum Glueck bist du kein Cloud-Anbieter und ich hoffe dein Arbeitgeber gibt dir keine Rechte auch nur minimal was an deiner Arbeitsumgebung zu aendern. Du kannst durchaus entscheiden was du mit deinem Rechner machst, aber behaupte nicht, dass es nicht ausnutzbar ist und alles scheisse und das man es so oder so nicht braucht. Das ist, gelinde gesagt, Bullshit. Du faellst unter die 99% denen Sicherheit sonst wo vorbei geht, kann man machen. Aber genau die heulen auch sofort rum wenn was schief geht oder wer anderes was falsch macht. Wenn man keine Ahnung oder keine Lust auf Sicherheit hat, dann sollte man in dem Bereich bitte die Klappe halten und sich mit ahnungslosen Aussagen zurueckhalten um es nicht noch schlimmer zu machen als es schon ist.
Es wäre sehr cool, wenn ihr vielleicht von ein paar der beliebtesten CPU der letzten Jahre wieder einen Benchmark mit einem hochgepatchtem Windows und BIOS macht und das mit den damaligen Benchmarks vergleicht. Klar kann es dabei diverse Einflüsse geben, aber unterm Strich sollte die Tendenz zeigen ob die damalige Leistung noch mehr oder weniger ankommt oder eben nicht.
ich finde CB sollte auch mal eine Auflistung machen was jetzt mit Leuten ist die Ryzen haben. Habe auch alle Sicherheitsmaßnahmen installiert bekommen durchs Windows Update obwohl ich ja gar kein Intel drin hab.
InSpectre sagt auch alle sind aktiv.
Verliere ich nun Leistung als AMD Ryzen User oder nicht?
gibt ja schon 2 verschiedene Meinungen Ned Flanders sagt man verliert keine
MKDR sagt man verliert Leistung weil Inspectre verbuggt ist mit 1809(was ich draufhab)
Ich will mit meinem Ryzen max Performance vorallem auch SSD. Was stimmt nun?
Und die Personen die weiter hin Angst schüren ganz vorne dabei
Was habt ihr davon jeden normalen User zu verunsichern ?
Fragwürdige Seiten machen wohl er was anderes als diese komplizierte Lücke zu nutzen
Da ist doch ein , ich greife das Wort flächendeckender Angriff via infizierten Dokumente , gepackte Dateien doch viel viel einfacher .... Zb vertreiben via Torrent oder noch einfacher verseuchte E-Mails .....
Mal ehrlich es ist sicher nicht schön was da gerade passiert aber übertreibt es doch nicht wenn privat Nutzer vor Spectre und co solche Panik haben soll wie es oft dargestellt wird dann erzählt den Leuten bloss nichts von den anderen gefahren die bei weiten schlimmer sind sonst springen die alle aus den Fenstern
Nie wieder eine Email öffnen habt Angst vor euren Routern ....
Das war übrigens inclusive microcode updates (siehe Kommentare von Aleph ganz unten) als mitigation.
Was meinst du was du für ein Scheunentor offen hast wenn du deine ganzen mitigations abschaltest ?
Ein klares JEIN.
Aus demselben grund ist JS im Browser ein Problem.
Und JS ist nicht der einzige Weg wie man einen Browser attackieren kann...und ich will gar nicht wissen was abgesehen von den veröffentlichten Exploitvarianten durch ein paar "White Hat" Hacker sonst noch so im Dünkel-Web rumgeistert.
Wer braucht eigentlich noch Trojaner die man noch lokal auf ein Rechner bringen muss, wenn man erstmal nen guten Spectre-Code auf eine bekannte Hostseite injiziert hat (z.B. Computerbase.de) - kein Antivirus schlägt darauf an. Keiner kann die Attacken später "nachschauen" da es keine Logs gibt.
Aber Wayne persönliche Daten/Infos sind ja in den letzten 20 Jahren völlig Wayne geworden.
Btw. Danke @Ned Flanders für den Link zur Genom-Datenbank. Das ist ja krass was da geht. Kennt wer noch Gattaca...
Ja, das ist über alle Maßen krass und ganz sicher lag das nicht in der Absicht der beteiligten Benutzer. Man wünscht sich halt das den Leuten generell mal dämmert das Datenmissbrauch eben NICHT dadurch begrenzt wird, das man sich etwas nicht vorstellen kann. Big Data + KI birgt große Chancen aber halt auch gewaltige Risiken und die letzteren hängen ausschließlich von der Verfügbarkeit von Daten ab. Der persönlichen Vorstellungskraft bedarf es da schlicht nicht.
Aber du siehst ja was die Mehrheitsmeinung ist. Von daher bin ich da ebenfalls wenig illusorisch.
Ja. Finde ich ja auch. Das Problem ist: Solche Sachen fallen unter Kundenservice. Und das will keiner machen. Weil das alles Dienstleistungen sind, nachdem der Kunde das Produkt schon gekauft hat.
Da steckt man lieber Geld ins Marketing. Sprich in dem Bereich wo es darum geht, dem Kunden etwas Neues zu verkaufen.
Nu könnte man natürlich einwenden, dass Kundenservice ja auch dazu dient die Kunden bei der Stange zu halten, damit die auch künftig weiter kaufen.
Aber muss man das wirklich?
Hat Intel mit Umsatzeinbrüchen zu kämpfen, nachdem Meltdown/Spectre bekannt wurde? Hat VW mit Umsatzeinbußen zu kämpfen nach dem Dieselskandal? Oder Microsoft, die ein ums andere Mal problembehaftete Upgrades für Windows 10 rausbringen? Oder Cisco, wo regelmäßig "Backdoors" bekannt werden?
Nö.
Also warum sollte man also Aufwand in so ein (durchaus sinnvolles) Tool stecken?
Der Normalo kann die Menge an fremden VMs die er täglich nutzt vermutlich nicht zählen. Hier muss er noch auf dritte vertrauen. Bis die Bombe auch bei im zB. über JavaScript platzt ist es aber nur ein Frage der Zeit.
deaktivieren von HT bei Intel schützt vor einigen dieser Lücken. Andere benötigen aber kein HT damit sie funktionieren (z.B. original Meltdown (v1), Spectre V1, V2)
L1TF bzw. Foreshadow z.B. wird durch abschalten von HT verhindert.
Das Abschalten des HTs hilft (bzw. ist erforderlich) strenggenommen nur für Attacken des Typs L1TF - VMM sowie für L1TF - SGX sofern in diesen Systemen HT oder VBS (Bzw. Hyper-V) zum Einsatz kommen.
Der Schutz gegen L1TF - VMM (CVE-2018-3646) ist zunächst ein Microcode-Update das auch schon gegen
Spectre v4 (Speculative Story Bypass, SSB bzw. CVE-2018-3639) und Meltdown 3a (Rogue System Register Read, RSRe bzw. CVE-2018-3640) eingespielt wird und gegen diese (RSRe bzw. SSB) beiden wirkt.
Dieses allein reicht jedoch gegen L1TF - VMM NICHT FALLS VMs bzw. VBS zum einsatz kommen oder HT-aktiviert ist ! https://portal.msrc.microsoft.com/de-de/security-guidance/advisory/adv180018
Kurz:
Für den L1TF - SMM reicht es Kernel-Updates einzuspielen (also windows updates)
Für L1TF - SGX microcode updates + ggf. HT deaktivieren
Für L1TF - VMM ebenso wie -SGX
