Intel kämpft mit schwerer Sicherheitslücke (Update: Intel veröffentlicht Server-Benchmarks)

[oooverclocker]

Erst hatte ich gehört es seien nur neuere CPUs betroffen, und der Test wird mit einem älteren modell gemacht.

Alle Intel-CPUs mit x86_64-Architektur, also laienhaft ausgedrückt, jede 64-Bit-CPU von Intel (wenn wir jetzt mal solche Dinge wie ia64 ausklammern) ist davon betroffen. Wenn man ein Laptop oder Intel-PC zu Hause hat, kann man davon ausgehen dass er betroffen ist, es sei denn, er wäre steinalt und kaum noch angenehm verwendbar.

Edit:

Laut Spiegel.de ist alles seit 1995 betroffen, außer Itanium und Atoms vor 2013.

Danke. Das ist noch deutlicher.

 

[Luxxiator]

Sind eigentlich Systeme mit deaktivierter Management Engine auch betroffen?

 

[Fallwrrk]

Sind eigentlich Systeme mit deaktivierter Management Engine auch betroffen?

Der Bug hat NICHTS mit der ME zu tun.

 

[Luxxiator]

Okay,dann bin ich ja beruhigt....

 

[scryed]

naja soweit kann man ja sagen keine dritten am oder auf dem rechner ist es ehr vernachlassigbar wie wäre es mit einem workaround für den fix damit ich das auf meinem rechner wieder ausschalten kann

ich geb es zu ich habe 0 ahnung von cpu fertigung und was alle drinne steckt aber meines wissen sind die so komplex es geht einfach nicht alle bug vor allem die man „nicht“ kennt vorab auszuschließen dann wiederum scheinen besonders in foren sich doch wie man meinen möchte doch recht viel cpu designer rumzutreiben die eben dieses können

edit ; das steht aktuelle auf cb, wie war das getöse noch amd wäre da raus

Spectre betreffe hingegen praktisch alle relevanten CPUs von Intel (u.a. Ivy Bridge, Haswell und Skylake) über AMD (u.a. Ryzen) bis hin zu ARM (u.a. Samsung und Qualcomm) und sei zwar schwerer auszunutzen aber auch schwerer zu beheben als Meltdown. Page-Table Isolation schafft hier keine Abhilfe. Mittels Spectre kann ein Prozess dazu verleitet werden, auf einen beliebigen Bereich seines Speichers zuzugreifen und somit in den Cache zu laden,

 

[Fallwrrk]

Okay,dann bin ich ja beruhigt....

Äh, nein, das hast du falsch verstanden. Der Bug ist vollkommen unabhängig von jeglicher ME-Diskussion. Es ist wumpe, ob deine ME an oder aus ist, du bist von dem Bug betroffen.

 

[unl34shed]

naja soweit kann man ja sagen keine dritten am oder auf dem rechner ist es ehr vernachlassigbar wie wäre es mit einem workaround für den fix damit ich das auf meinem rechner wieder ausschalten kann

Da jeder Webbrowser externen Code ausführt, braucht es keinen Zugriff auf deinen PC.

 

[oooverclocker]

naja soweit kann man ja sagen keine dritten am oder auf dem rechner ist es ehr vernachlassigbar wie wäre es mit einem workaround für den fix damit ich das auf meinem rechner wieder ausschalten kann

Du verstehst das wohl nicht ganz: Es muss keiner am Rechner sein. Es kann reichen, dass Du die falsche Seite ansurfst.

 

[Foxm83]

Und obwohl es nun zwei unterschiedliche Probleme gibt, wird in der Laien-Presse nun einfach alles über einen Kamm geschert.
Somit zieht Intel, die eigentlich das größere Problem haben, AMD und ARM mit in den Sog.

 

[DragonTear]

Web.de hats recht gut erklärt: Sicherheitslte

Und obwohl es nun zwei unterschiedliche Probleme gibt, wird in der Laien-Presse nun einfach alles über einen Kamm geschert.
Somit zieht Intel, die eigentlich das größere Problem haben, AMD und ARM mit in den Sog.

Es gibt keinen Sog.
Niemand wird deswegen jetzt keinen PC mehr kaufen.

Bei Servern könnte sich vieleicht mit Glück, ein leichter Vorteil für AMD herauskristalisieren. Aber auch da wird das keine langfristige Ruf-Änderung o.ä. hervorrufen. Ein Fehler der 20 Jahre lang nicht entdeckt wurde... Niemand mit Verstand kann glauben dass sowas nicht auch hätte AMD, oder jedem anderen Hersteller, passieren können.

 

[Luxxiator]

Äh, nein, das hast du falsch verstanden. Der Bug ist vollkommen unabhängig von jeglicher ME-Diskussion. Es ist wumpe, ob deine ME an oder aus ist, du bist von dem Bug betroffen.

Ich hatte es schon so verstanden (deswegen auch die Fratze) war mir aber nicht sicher ob wieder mal "nur" die ME oder quasi die CPU selber betroffen war;deswegen die Frage.Habe hier einen Rechner ohne ME und bis jetzt dieses Sicherheitsupdate auf dem Gerät nicht angeboten bekommen (tja,zu früh gefreut) aber das soll kein Fehler sein;ist bei diversen Geräten so aber die kommen auch noch dran......​

 

[junkb00ster]

Der Bug hat NICHTS mit der ME zu tun.

Die gabs 1995 auch noch nicht
Aber zum Thema ME wird uns auch noch einiges bevorstehen, da können wir sicher sein.

Das heftige an dieser Sache ist ja das der Fehler erst nach 23 Jahren publik gemacht wird, wer weiss wieviele Systeme schon infiltriert wurden...

 

[DragonTear]

Das heftige an dieser Sache ist ja das der Fehler erst nach 23 Jahren publik gemacht wird, wer weiss wieviele Systeme schon infiltriert wurden...

Zero-Day Bugs können ein paar Monate geheim gehalten werden.. vieleicht 1-2 jahre wenn es hoch kommt. Länger auf keinem Fall.
Der Fehler ist offensichtlich kein offensichtlicher

Habe hier einen Rechner ohne ME und bis jetzt dieses Sicherheitsupdate auf dem Gerät nicht angeboten bekommen aber das soll kein Fehler sein;ist bei diversen Geräten so......

Denke selbst im "Notfall" schaltet MS, die Updates nicht für alle hunderte Millionen Geräte gleichzeitig frei. Das würde die Server crashen...
Kommt also in Wellen.

 

[NasaGTR]

Und obwohl es nun zwei unterschiedliche Probleme gibt, wird in der Laien-Presse nun einfach alles über einen Kamm geschert.
Somit zieht Intel, die eigentlich das größere Problem haben, AMD und ARM mit in den Sog.

Es gibt 3 verschiedene Lücken.
1. (Teil von Spectre) Betrifft neben Intel auch AMD
2. (Teil von Spectre) Betrifft Intel, konnte auf AMD bisher nicht nachgewiesen werden, könnte theoretisch aber ebenfalls AMD betreffen.
3. (Meltdown) betrifft nut Intel

mMn. Berichtet Computerbase hier zu den Problemen mit Abstand am besten.


Microsoft bringt heute übrigens für Win 10 nen Patch, Win 7 und 8.1 folgen nächsten Dienstag zum regulären MS-Patchday




Mich würde es überhaupt nicht wundern wenn das wieder mal so ne Lücke ist, die Jahrelang in NSA Arsenal bekannt war...

 

[Foxm83]

@DragonTear, Mit Sog meinte ich eher, dass in dem Bericht nicht differenziert wird. Der schwerwiegendere Bug Meltdown betrifft sogesehen ja eher Intel. Und Intel's Aktien gingen gestern doch etwas weiter runter nach dem Bekanntwerden.

- - - Updated - - -

@NasaGTR, genau das meine ich. Es wird überhaupt nicht unterschieden, auch wenn ein Fehler schwerer wiegt.

 

[Don]

Wir haben der Meldung ein Update verpasst: Darin eine Gegenüberstellung welche Hersteller und Prozessoren nun betroffen sind. Derzeit schauen wir uns die Auswirkungen an und wollen einen Ausblick geben, wann mit einer Lösung zu rechnen ist.

 

[NasaGTR]

Die Auflistung ist gut Don!

Ich finds ja interessant wie Intel in deren Folien zusammenfassend von nur einem Exploit spricht der alle 3 (Intel, AMD und ARM) betrifft...

 

[bawder]

Die Auflistung ist gut Don!

Ich finds ja interessant wie Intel in deren Folien zusammenfassend von nur einem Exploit spricht der alle 3 (Intel, AMD und ARM) betrifft...

computerbase schreibt AMD ist auch betroffen...

 

[NasaGTR]

computerbase schreibt AMD ist auch betroffen...

lesen...
Siehe Übersicht im Artikel.

AMD ist nur gegen Spectre Anfällig was deutlich schwerer auszunutzen ist.
Das Hauptproblem ist Meltdown und betrifft nur Intel. Intel wirft aber alles auf einen Haufen um die Schuld stärker zu verteilen.

 

[Gelöschtes Mitglied 109555]

Treffend formuliert! Ich als AMD-Besitzer freue mich indessen einmal mehr.

 

[Don]

Mal nur auf Intel vs AMD bezogen:

Intel: Gegen alle drei Varianten anfällig. Alle CPUs, alles ab 1995
AMD: Spectre – fast kein Risiko, noch nicht auf AMD-CPU demonstriert, Meltdown – nicht betroffen

Also wenn ich das objektiv gewichte, hat Intel das größere Problem. Aber pauschal zu sagen AMD sei nicht betroffen ist ebenso falsch. Man muss eben genauer hinschauen.

 

[NasaGTR]

Was doch besonders interessant ist, dass Coffee Lake veröffentlicht wurde nachdem Intel schon längst von Meltdown bescheid wusste! (Laut Google wurden die Lücken im Juni gemeldet)

Hätte man Coffee Lake bereits gepatcht raus gebracht (gewisse anfällige Funktionen die jetzt von Patches eh deaktiviert werden also wenigstens per Microcode von Anfang an ausgeschalten - Hardware Änderungen dauern ja zu lange) hätte Coffee Lake in den Benchmarks nicht so toll abgeschnitten.

Sollte es irgendwelche Sammelklagen in den USA geben, so denke ich werden sich diese Hauptsächlich um die Prozessoren drehen die Intel nach Googles Mitteilung veröffentlicht hat.

 

[oooverclocker]

AMD ist nur gegen Spectre Anfällig was deutlich schwerer auszunutzen ist.

Genau genommen, nur auf Systemen, auf denen man den Kernel selbst konfigurieren kann und das auch mit ganz bestimmten Einstellungen getan hat. Falls das überhaupt in der Praxis jemand so am Laufen hat, ist sie Zahl der Betroffenen Systeme sicher im Promille-Bereich anzusiedeln.

Der Intel-Bug dagegen betrifft quasi 100% der verkehrsüblichen Intel-Systeme

 

[jdl]

Somit zieht Intel, die eigentlich das größere Problem haben, AMD und ARM mit in den Sog.

Ich habe das veröffentlichte Paper "Meltdown" überflogen. Auch AMD ist von Meltdown betroffen! Es gibt zu Intel nur einen kleinen Unterschied, während es für die Forscher möglich war auf den Intel-CPUs einen funktionierenden Angriff zu implementieren, ist ihnen das auf AMD CPUs bisher nicht gelungen. Sie konnten aber die Raceconditions auf den AMD CPUs erzeugen, d.h. auch die AMD CPUs haben diesen Konstruktionsfehler!

Nachtrag: Zitat Meltdown Paper

6.4 Limitations on ARM and AMD
We also tried to reproduce the Meltdown bug on several
ARM and AMD CPUs. However, we did not manage
to successfully leak kernel memory with the attack de-
scribed in Section 5, neither on ARM nor on AMD. The
reasons for this can be manifold. First of all, our im-
plementation might simply be too slow and a more opti-
mized version might succeed. For instance, a more shal-
low out-of-order execution pipeline could tip the race
condition towards against the data leakage. Similarly,
if the processor lacks certain features, e.g., no re-order
buffer, our current implementation might not be able to
leak data. However, for both ARM and AMD, the toy
example as described in Section 3 works reliably, indi-
cating that out-of-order execution generally occurs and
instructions past illegal memory accesses are also per-
formed.

Wesentlicher Teil von mehr hervorgehoben.

 

[Don]

Wie du schon sagst, derzeit ist Meltdown noch nicht auf AMD-Prozessoren nachgewiesen. Es ist UNKLAR, ob AMD und ARM betroffen sind.

Currently, we have only verified Meltdown on Intel processors. At the moment, it is unclear whether ARM and AMD processors are also affected by Meltdown.

 

[Gelöschtes Mitglied 109555]

Genau genommen, nur auf Systemen, auf denen man den Kernel selbst konfigurieren kann und das auch mit ganz bestimmten Einstellungen getan hat.

Hier gehe ich mal sehr stark davon aus, dass Leute, die entsprechende Konfigurationen vorgenommen haben, auch ziemlich genau über die aktuellen Bugs im Bilde sind und allgemein wissen, was sie da tun.

 

[jdl]

Wie du schon sagst, derzeit ist Meltdown noch nicht auf AMD-Prozessoren nachgewiesen. Es ist UNKLAR, ob AMD und ARM betroffen sind.

Momentan funktioniert der Meltdown-Angriff auf ARM und AMD CPUs nicht, aber das Prinzip des Angriffs funktioniert. Deshalb gehen die Forscher davon aus, dass das nur ein Performanceproblem auf diesen CPUs ist.

 

[scryed]

was heißt nicht verstanden wenn ich webseiten aufrufe die schädlich sind was ich nicht mache dann sind die auch ohne diesen bug schädlich bzw der browser alleine macht garnichts wenn dann die gefährliche seiten und das war auch schon immer so gewesen das man vorsichtig sein sollte auf welche webseite man geht und nicht blind umherklicken

es ist ja nicht so das ich gegen das beheben bin aber die panik die hier gemacht wird gerade im bezug auf private rechner ist nicht mehr feierlich genauso die artfremden medien also radio und co da wird nur gesagt riesen bug , daten können geklaut werden das es aber gewisse vorraussetzungen bedarf wie eben versuchte webseiten erwähnt keiner

 

[NasaGTR]

Wobei die Google Sicherheitsforscher selbst recht früh im Blogeintrag schreiben, dass die Prozessorhersteller das Problem deutlich besser analysieren können da nur die die Architektur kennen.

Und AMD und ARM (mit Ausnahme zum Cortex A75) sagen zu Meltdown klar das es nicht geht.

 

[jdl]

Und AMD und ARM (mit Ausnahme zum Cortex A75) sagen zu Meltdown klar das es nicht geht.

Bei AMD gibt es kein funktionierendes Proof-Of-Concept für Meltdown, aber das Problem tritt auch bei AMD CPUs auf! Deshalb kann man sich eben nicht darauf verlassen, dass niemand einen Angriff via Meltdown auf AMD CPUs umsetzen kann und man wird im Rechenzentrum gezwungen sein, ebenfalls die TLB Caches wie bei Intel CPUs zu leeren.