Intel kämpft mit schwerer Sicherheitslücke (Update: Intel veröffentlicht Server-Benchmarks)

[Holzmann]

für Meltdown via MS updater und für Spectre via Bios update, wenn ich richtig bin.

 

[nuts]

Und los geht's: openSUSE-SU-2018:0013-1: important: Security update for kernel-firmware
Was anderes wird auch nicht wirklich sicher sein. Das wird Leistung kosten. Die Frage ist wie intel das Spectre Problem lösen will.

Dazu hätte ich auch noch eine Frage: Die Software-Lösungen sehen jetzt vor die "branch prediction" einfach ganz abzuschalten?
Und das soll nur minimal Leistung kosten? Das kann es doch nicht sein ...

 

[KnSNaru]

Beim Gaming könnte es beim Starten des Spiels oder Laden des Spielstands zu Verzögerungen kommen.

Dann darf sich derHardi auf sein Let's Play von Dead Space 4 erst recht freuen, wenn er mit seiner verschlissenen HDD noch länger vor Türen ausharren muss, bis die Sequenzen im Puffer sind. xD

 

[neuli]

Dazu hätte ich auch noch eine Frage: Die Software-Lösungen sehen jetzt vor die "branch prediction" einfach ganz abzuschalten?
Und das soll nur minimal Leistung kosten? Das kann es doch nicht sein ...

Ja und was willst du machen? Das Problem ist die Sprungvorhersage. Also ausschalten. Oder halt irgendwie per Software kontrollieren. Nur ist die Sprungvorhersage ja im Prozessor.
Hier auch nochmal für intel: Sicherheit: Preisgabe von Informationen in QEMU - Pro-Linux
Gut möglich, dass das erst einmal die Holzhammermethoden sind. Da es noch keine brauchbaren Patches gibt. Also lieber zunächst komplett deaktivieren.
Ich bin im phoronix Forum darauf aufmerksam geworden und Michael hat bei AMD um eine Stellungnahme gebeten.
Siehe Post #21: https://www.phoronix.com/forums/forum/phoronix/general-discussion/999103-more-linux-kernel-gcc-patches-come-out-in-the-wake-of-spectre-meltdown/page3

Meltdown ist gefixt und kostet Leistung obendrauf kommen nun noch die Spectre Patches die auch nochmal Leistung kosten. Und weil das noch nicht lustig genug ist müssen sämtliche Programme neu kompiliert werden und abgesichert werden. Die neu kompilierten Programme werden dann auch nochmal langsamer sein. Siehe: More Linux Kernel GCC Patches Come Out In The Wake Of Spectre+Meltdown - Phoronix
Aber wieviel das nun am Ende ist und welcher Hersteller mehr Leistung verliert wird man einfach abwarten müssen.

 

[Phantomias88]

Laut Meltdown Paper ist aber genau das möglich. Lediglich das auslesen der Cache Lines funktioniert auf AMD (bisher) nicht. Der Bruch der Sicherheit durch Übertragung von Informationen aus Ring0 an Ring3 findet aber auch bei AMD statt. Dass das grundsätzliche Problem besteht sieht man an Spectre.

Stimmt schon, das fängt ja schon mit "sudo" an: linux - What does actually do? - Super User

 

[n0dder]

wo ist eigentlich unser intel-holt, wenn intel ihn mal braucht?
oder hat der heute gleitzeit genommen?

 

[fdsonne]

Bei den Surface-Geräten sind die Microcode-Updates wohl in den Patches enthalten. Wie das bei den Prozessoren aussieht, wo das Update per BIOS-Update kommt, ist wohl nicht ganz klar. Hier machen sicher viele regelmäßig ein Update. Das gilt aber nicht für den Großteil der Nutzer die keine Enthusiasten sind.

MS liefert sofern ich das sehe einfach den Intel Microcode als Bios Update für Spectre v2 und ggf. auch Meltdown. Bei letzterem lese ich wiederspeüchliche Aussagen - Intel schreibt von Spectre und Meltdown, aber bezieht das eher allgemein, da man von Software und Firmware spricht.
https://newsroom.intel.com/news-releases/intel-issues-updates-protect-systems-security-exploits/

Und Don, kannst du bitte den Artikel generell mal ordnen? Die neuesten Infos stehen ganz unten und teils sind die Zeilen vorher wiedersprüchlich. Das macht das Thema undurchsichtig und lässt falsche Schlüsse zu.
Z.B. das Thema Leistungsverlusst, oben steht, kostet gerade in Serverworkloads Leistung und ganz unten sind sich die großen Cloudprovider einig, es ist eher vernachlässigbar. Oder die 30% aus den ersten Benches mit ner Syscall-Schleife, die praktisch irrelevant sind.


Auch würde dem Artikel eine Zusammenfassung (ganz oben!) der jeweils aktuellen Erkenntnislage gut stehen:
- Meltdown -> Intel CPUs wohl ab PentiumPro, sicher ab Lynnfield/Nehalem, inkl. Xeon Phi und den Pentium/Celeron Ablegern, ARM Cortex A75, AMD angeblich nicht, obwohl das Whitepaper bescheinigt, dass dort das Grundverhalten analog zu Intel wäre, Lücke via Softwareupdate im Kernel umgangen (Windows 7 - 10/2008R2 - 2016, Linux Kernel ab 4.14.11, MacOS ab 10.13.2, iOS ab 11.2, Android ab keine Ahnung, aber auch Google verteilt den Fix)
Untern Strich, nach Einspielen der Updates ist man definitiv Sicher.

- Spectre v1 -> betrifft effektiv ALLE. Kein Fix via Bios, Firmware oder OS Patch global möglich, muss per Hardwareupdate getätigt werden. Software kann das Problem abschwächen, muss aber pro Anwendung gepatcht werden. Google und Mozilla liefern schon für Browser und anderes. Microsoft hat den IE und Edge gepatcht, scheinbar auch Teile vom OS.
Das nach bisherigem Stand gröbste Problem - da nicht behebbar mit nem Fix -> alte Software = anfällig. Kein Bios, Firmware, OS/Kernel Patch kann das verhindern UND es betrifft ALLE am Markt.
Untern Strich - ganz großer Bockmist!

- Spectre v2 -> betrifft effektiv ALLE, AMD meint aber near zero risk für ihre CPUs. Fix in Firmwareform wird von Intel verteilt, MS patcht Surface (leider nicht mehr das 2er mit Haswell Basis ), bei Apple, Microsoft und im Linux Kernel sind die Updates enthalten oder werden ausgeliefert.
Unterm Strich scheinbar sicher, vollends aber auch erst durch Hardware-Fix. Bisherige Ansätze sind Workarrounds zum Abmildern oder möglichem Umgehen wie auch bei v1.

Für Windows gibts mittlerweile ein Powershell Script von Microsoft zur Prüfung ob das eigene System für Spectre v2 und Meltdown empfänglich ist - v1 Spectre hingegen wird nicht benannt, weil das stand jetzt nicht fixbar, nur unwahrscheinlicher zu machen geht und pro Software zu betrachten ist...

Ich hoffe ich hab nix vergessen... Und vllt kann hier endlich mal diese Verbreitung von Unwahrheiten aufhören. (nicht auf den Artikel bezogen, eher die Kommentare hier)

Lt deren aussage ist auf low level nichts nötig, da die architektur der amds nicht anfällig ist auf low level. Das einzige was kommen wird sind die OS updates.

Bitte differenzieren! Es sind drei verschiedene Angriffsvektoren. AMD meint für Meltdown nicht empfänglich zu sein und für Spectre v2 ein near zero risk zu haben. v1 ist dennoch ein Problem.

 

[Holzmann]

@nodder

Das Problem ist noch zu jung, nicht ausreichend analysiert und momentan ist noch nicht klar wie Intel reagieren tut, sie haben immerhin lückenlos offengelegt, das es alle CPUs betrifft, was soll da User Holt noch retten.

 

[oooverclocker]

Spectre v2 -> betrifft effektiv ALLE, AMD meint aber near zero risk für ihre CPUs.

Falsch. Spectre Variante 2 betrifft AMD aktuell nicht nachweislich und AMD sieht fast kein Risiko, dass sie davon betroffen sind - so ist es korrekt. Aber man kann offensichtlich auch nicht mathematisch beweisen, dass es nicht mal in der Theorie einen Weg gibt, den man nur in die Tat umsetzen müsste. Bei den anderen Szenarien konnte aber, wie man sehen kann, sogar bewiesen werden, dass AMD diese Lücke nicht hat, und deshalb nie jemand einen Weg finden kann, sie auszunutzen.
Da aktuell keine Möglichkeit bekannt ist, AMD damit anzugreifen, muss man davon ausgehen, dass AMD-Prozessoren diese Lücke nicht haben - jedenfalls bis der (laut AMD) unwahrscheinliche Fall eintritt, dass irgendjemand doch irgendeinen Weg findet.

Es wäre ja noch schöner, wenn man beweisen müsste, dass man keine Lücke hat, während sie bei den entsprechenden Produkten noch gar nicht gefunden wurde.

Faktisch betrifft AMD aktuell nur Spectre Variante 1. Und die ist nur wirksam, wenn man seinen Kernel selbst konfigurieren kann(jedenfalls wurde das am Anfang so kommuniziert), also bei Windows und OS X schonmal nicht, und wenn man Linux nutzt, muss man den Kernel auch tatsächlich mit ganz bestimmten Settings betreiben - somit sind aktuell wenn überhaupt Promille an AMD-Systemen tatsächlich angreifbar - ich halte es sogar für wahrscheinlich, dass die entsprechenden Einstellungen überhaupt nicht im Produktiveinsatz sind, sondern nur im Labor nachgestellt wurden..

 

[Phantomias88]

somit sind aktuell wenn überhaupt Promille an AMD-Systemen tatsächlich angreifbar - ich halte es sogar für wahrscheinlich, dass die entsprechenden Einstellungen überhaupt nicht im Produktiveinsatz sind, sondern nur im Labor nachgestellt wurden..

Somit = Sumit Ridge....
In der Virtual Maschiene...
Über die Bios Backdoor, UEFI kennt ja keine(r)..
ESC und herunterfahren.

 

[bawder]

Falsch. Spectre Variante 2 betrifft AMD aktuell nicht nachweislich und AMD sieht fast kein Risiko

falsch

It is much more difficult on all AMD CPUs, because BTB entries are not aliased - the attacker must know (and be able to execute arbitrary code at) the exact address of the targeted branch instruction.

Technical Analysis of Spectre Meltdown : Amd

 

[Don]

Wir haben noch ein Update in der News. Darin geht es um die Überprüfung der Mitigation – also in wie weit ist mein Windows-System schon abgesichert. Die Überprüfung kann mittels PowerShell und einem Skript stattfindet und schlüsselt zwei der drei Lücken auf OS- und Hardware-Ebene auf.

 

[BF2-Gamer]

Nicht böse sein, aber ich habe den Überblick verloren.

Wie groß ist der Leistungsverlust eines 8700K in Gaming?

 

[Don]

Nicht böse sein, aber ich habe den Überblick verloren.

Wie groß ist der Leistungsverlust eines 8700K in Gaming?

Nicht spürbar und in den meisten Spielen auch nicht messbar.

 

[unl34shed]

Habt ihr mal Ladezeiten gemessen?

 

[Don]

Nein

Es gibt aber aus Server-Ecke wieder ein paar Werte, die sicherlich am nächsten an der Praxis von Anwendungen dran sind, die von Leistungseinbußen betroffen sind. Diese stammen von Red Hat: Speculative Execution Exploit Performance Impacts - Describing the performance impacts to security patches for CVE-2017-5754 CVE-2017-5753 and CVE-2017-5715 - Red Hat Customer Portal

Measureable: 8-19% - Highly cached random memory, with buffered I/O, OLTP database workloads, and benchmarks with high kernel-to-user space transitions are impacted between 8-19%. Examples include OLTP Workloads (tpc), sysbench, pgbench, netperf (< 256 byte), and fio (random I/O to NvME).

Modest: 3-7% - Database analytics, Decision Support System (DSS), and Java VMs are impacted less than the “Measurable” category. These applications may have significant sequential disk or network traffic, but kernel/device drivers are able to aggregate requests to moderate level of kernel-to-user transitions. Examples include SPECjbb2005, Queries/Hour and overall analytic timing (sec).

Small: 2-5% - HPC (High Performance Computing) CPU-intensive workloads are affected the least with only 2-5% performance impact because jobs run mostly in user space and are scheduled using cpu-pinning or numa-control. Examples include Linpack NxN on x86 and SPECcpu2006.

Minimal: Linux accelerator technologies that generally bypass the kernel in favor of user direct access are the least affected, with less than 2% overhead measured. Examples tested include DPDK (VsPERF at 64 byte) and OpenOnload (STAC-N). Userspace accesses to VDSO like get-time-of-day are not impacted. We expect similar minimal impact for other offloads.

 

[Luxxiator]

Hier gibt es ein paar Benchmarks dazu...

 

[oooverclocker]

It is much more difficult on all AMD CPUs, because BTB entries are not aliased - the attacker must know (and be able to execute arbitrary code at) the exact address of the targeted branch instruction.

Siehst Du, das schrieb ich doch. Sie können nicht nachweisen, dass die Lücke nicht ausnutzbar ist, weil man nicht vorhersagen kann, ob der Angreifer gleichzeitig die korrekte Adresse kennen kann und dann auch noch den Code dort ausführen kann. Es besteht somit in der Theorie eine Möglichkeit, von der man jedoch nicht weiß, ob sie in die Praxis umsetzbar ist. Bei den anderen Lücken weiß man aber, dass nicht mal in der Theorie eine Möglichkeit des Angriffs besteht.

 

[majus]

Heimnutzer: kaum bis gar nicht. Windows bekommt den Meltdown-Patch und gut ist. Für Spectre sind höhere Anforderungen Voraussetzung. Da muss also schon viel kriminelle Energie eingesetzt werden.

Das große Problem haben Nutzer von WinVista und älter - da kommen keine Patches. Falls also wer noch eine WinXP-Maschine nutzt, sollte er sich nur im Notfall damit im Netz bewegen oder gute Virenscanner und AdBlocker nutzen.

Aber auch hier gilt: was wollen die denn bei uns auslesen!? Mein 7tes Level in Anno2070?

Firmen hingegen müssen jetzt echt aufpassen. Meltdown bietet eine einfach Angriffsfläche für ausländische Firmenspionage. Und die ist ja bekanntermaßen ein Grundübel für westliche Firmen.

Abhörtechnik: Spione knacken fast jedes Betriebsgeheimnis - WELT

Intel hat den Firmen in Fernost einen großen Gefallen getan.

Ok danke.
Bin gespannt wann die ersten Berichte von größerem Datenklau kommen

 

[smalM]

Intel-Chef verkaufte Aktien vor Sicherheitslücken-Aufdeckung
Intel Chef verkauft Rechtzeitig seine 644.135 Aktien für 44,05 Dollar. Gewinn: 25 Millionen Dollar.

Stimmt nicht ganz, er muss 250.000 halten, weil er der CEO ist -> Er hat "nur" 11 Millionen Dollar eingesackt.

Er hat tatsächlich 644000 von 894000 Aktien verkauft, die 250000 hält er also noch.

Man sollte selbstverständlich nur die Differenz zwischen dem Aktienkurs, zu dem er verkauft hat, und dem jetzigen Kurs betrachten - und dann noch seine Einkommenssteuer abziehen. Dann kommt man auf einen Vorteil von 2,3 Mio.$.
25 Mio.$ klingt da natürlich viel doller.

Hat übrigens jemand mal auf den Verlauf des Intel-Kurses geguckt? Kein Wunder, daß er Ende Oktober die Optionsausübung angesetzt hat...

 

[Googlespoon]

Intel meint ja jetzt auch, dass das Firmware Update die Systeme gegen Spectre und Meltdown immun macht.
Was da dann dran sein wird kann man scheinbar noch nicht feststellen, kann mir allerdings nicht vorstellen, dass wenn alle sagen es nicht patchbar ist, eine neue Firmware immunisieren soll.

 

[NasaGTR]

Gibt es eig. schon Infos ob der Microsoftpatch zwischen AMD und Intel unterscheidet?

Und zum Thema AMD: gibt es eig. genaue Infos ob sich bei AMD zwischen Zen Prozessoren und den Bulldozer basierten was bei den Sicherheitslücken unterschiedet?

Der ganz ursprüngliche Test war ja mit Bulldozer (also den Nachfolgern) basierten Prozessoren gemacht worden.
Mit Zen hat AMD ja aber gewaltig viel geändert und viele meinten dass AMD Architektonisch ähnliche Wege geht wie Intel (z.B. Hyperthreading usw.)

Also gibt es irgendwo berichte wo auch explizit Zen Prozessoren getestet wurden?

 

[oooverclocker]

Hier sind Benchmarks von Windowsprogrammen, die über Wine gelaufen sind.

 

[DTX xxx]

.... Und da ists scheiß egal ob das AMD, ARM oder Intel based ist. Genau so ob du AMD, ARM oder Intel in Zukunft kaufst. ......

Das ist wirklich traurig.
Im Thread, ob es Außerirdische gibt, wurde mir ständig Weitblick gepredigt. Du sollst Weitblick haben, wurde gesagt und gleichzeitig mir nahe gelegt, dass ich endlich verstehen soll, dass wir verdammt wenig wissen.
Anstatt du deine Beiträge dazu genutzt hättest, diesem System, welches Korruption unabdingbar macht, die Stirn zu bieten, kommt wieder einmal die Selbstaufgabe.
Wir sind also vollkommen Ahnungslos und machen trotzdem um so heftiger weiter. Natürlich, bei so kräftiger Unterstützung von dir und zB Holt, die mit einer enormen Beitragsflut dem System die Stange halten und uns ständig bewerben mit Intel.
Ich sehe das anders. Wir wissen eben doch sehr viel, sonst hätten wir keine Halbleiter Technik. Klar, auf das große Ganze gesehen, ist die Theorie von wenig Wissen das wir haben sollen, durchaus legitim. fdsonne, du kennst sicherlich auch aus deinem Leben, etwas machbar machen, aber nicht können, weil ja Gald, Geld, Geld immer erst einmal dazwischen steht.
Hier auf dieser Plattform ist eben Intel im Mittelpunkt. Neben anderen Aktiengesellschaften ist und bleibt Intel hier im Mittelpunkt. Intel, der x86 Monopolist. Wir wissen nun aus der Geschichte der Halbleiter Technik, Korruption, Lügen, Betrügen, Urteile und Verurteilungen, natürlich Milliarden für Aktionäre. Ständige Kostensteigerungen und dadurch höhere Preise bei anscheinend endlosen Rekordgewinne von Quartal zu Quartal. 26 Milliarden Dollar in 12 Jahren für die Aktionäre (Intel). Fehler, Sicherheitslücken, immer mehr Einschränkungen für den Kunden, nur für den Umsatz, natürlich Milliarden für die Aktionäre.
Diese klugen Köpfe zB bei den x86 Hersteller hätten weit mehr entwickeln können, Doch die Entwicklung wird eben gebremst durch die sinnlose Billion Dollar in den letzten 50 Jahren, in denen sich Firmen bekriegen und Gelder in Hälse gestopft werden, die eh schon bis zur Oberkante gefüllt sind. Wir könnten schon viel weiter sein und dabei Ressourcen sparen. Und somit dem Weitblick, den ich sehr wohl habe, schneller nahe kommen.
Es macht einen Unterschied was man kauft. Denn nur so können wir auf so einen System einwirken. Intel als Firma mit einem Chef, der seine Anteile verkauft zeigt doch deutlich, dass dieses System mit AG und Geld auf Kosten anderer sicherlich kein Weitblick und Wissen. Das Geld wäre in Bildung besser investiert.

 

[Swp2000]

Bin jedenfalls mal gespannt wann die Firmware/BIOS kommen soll


Gesendet von iPhone mit Tapatalk Pro

 

[OSL]

Wollen wir doch hoffen, dass hier nicht mit der Kohl- Methode gearbeitet wird.

 

[fdsonne]

Falsch. Spectre Variante 2 betrifft AMD aktuell nicht nachweislich und AMD sieht fast kein Risiko, dass sie davon betroffen sind - so ist es korrekt.

Also betrifft es AMD ja doch, wenn selbst AMD nur fast kein Risiko sieht.

Sorry oooverclocker, aber mit so ner Krümelkackerei brauchste hier nicht kommen... Hier gehts lange nicht mehr um Schuldzuweisungen, das Kind ist seit Jahren im Brunnen und am ersaufen. Deine AMD Affinität in allen ehren, es interessiert sich im Business für soderlei Herstellerverbundenheit aber Keiner - zumal es im Rahmen des Ausmaßes der Lücken auch völlig unangemessen ist.
Gesteh es dir ein, auch AMD ist im gleichen Boot - alle samt haben hier vermeindliche Fehler im Design und egal bei wem, es lässt sich mindestens eine der Themen nicht ohne Hardwarefix vollends schließen.



Würdest du es mal nüchtern sehen - alles was fixbar ist, ist perse erstmal OK. Das Problem ist das nicht fixbare und! dass wieder haufenweise Produkte über bleiben werden, die keine Fixes sehen werden. DAS ist die wahre Scheiße der Thematik. Es kann sich niemand was von kaufen, wenn seine Geräte nicht gefixt werden! Da ists auch völlig egal, ob du da nun Wortklauberei bei Spectre v2 betreiben willst oder nicht!

Siehst Du, das schrieb ich doch. Sie können nicht nachweisen, dass die Lücke nicht ausnutzbar ist, weil man nicht vorhersagen kann, ob der Angreifer gleichzeitig die korrekte Adresse kennen kann und dann auch noch den Code dort ausführen kann. Es besteht somit in der Theorie eine Möglichkeit, von der man jedoch nicht weiß, ob sie in die Praxis umsetzbar ist. Bei den anderen Lücken weiß man aber, dass nicht mal in der Theorie eine Möglichkeit des Angriffs besteht.

Nein das schriebst du eben nicht, du schriebst "Spectre Variante 2 betrifft AMD aktuell nicht nachweislich, ...". Richtig wäre, v2 betrifft auch AMD, bis dato gibts aber keinen Exploit der da an Daten rankommt. AMD sieht ein near zero risk. Oder konkret: "Differences in AMD architecture mean there is a near zero risk of exploitation of this variant. Vulnerability to Variant 2 has not been demonstrated on AMD processors to date."
Da steht schlicht nicht: "Zero AMD vulnerability due to AMD architecture differences." - wie bei Meltdown kommuniziert.

Aber oooverclocker weis das natürlich besser, schon klar

Intel meint ja jetzt auch, dass das Firmware Update die Systeme gegen Spectre und Meltdown immun macht.
Was da dann dran sein wird kann man scheinbar noch nicht feststellen, kann mir allerdings nicht vorstellen, dass wenn alle sagen es nicht patchbar ist, eine neue Firmware immunisieren soll.

Wieso?
Meltdown lässt sich durch einen dirty Workarround fixen - kostet Performance je nach Workload, verhindert aber das durch den vermeindlichen Fehler Zugriff auf Daten besteht, weil nach dem Patch gar keine Daten mehr geladen sind, die man dort abgreifen könnte. (grob vereinfacht) Ist von der Seite also sicher...

Spectre lässt sich nicht vollends fixen, aber durch Abschalten von Features und verlängern von Zeitabständen kann man es unwahrscheinlich machen - Microsoft hat bspw. performance.now() zeitlich verändert und den jüngst erst eingeführten SharedArrayBuffer wieder entfernt bei Edge und scheinbar auch dem IE. Mozilla schrieb für Firefox das gleiche.
Was genau das Firmware Update bzw. der Microcode macht, müsste man mal genauer prüfen - Intel hält sich da noch bedeckt!?

Es macht einen Unterschied was man kauft.

Und schön irgendwas aus allen Zusammenhängen gerissen. Lass gut sein. Deine Prädigt das System zu kritisieren kannste gern tun, aber lass mich aus dem Spiel! Würde ich mich dazu äußern wollen, hätte ich dies getan. Es macht ohne die Aussage aus dem Zusammenhang zu reißen eben keinen Unterschied. Belege uns gern das Gegenteil, wo es auf das Securitythema betrachtet einen Unterschied macht - deine Systemkritik und der andere Firlefants ist HIER IM THREAD am Thema vorbei.

 

[oooverclocker]

Sorry oooverclocker, aber mit so ner Krümelkackerei brauchste hier nicht kommen...

Richtig, eigentlich hätte ich das gar nicht gebraucht, aber mittlerweile finde ich, dass es eine gute Idee war
Aber ich lass es mal gut sein und gehe auf den Rest nicht nochmal ein

 

[bawder]

ein user immer die größte schwachstelle
Anti Miner: Fragliches Plugin aus Chrome Web Store entfernt - ComputerBase

 

[jdl]

Falsch. Spectre Variante 2 betrifft AMD aktuell nicht nachweislich und AMD sieht fast kein Risiko, dass sie davon betroffen sind - so ist es korrekt.

Das ist komplett falsch formuliert.
Bekannt ist, dass auch bei AMD (sowie bei IBM, Intel, ARM, …) die CPU Probleme mit der out-of-order Verarbeitung hat.
Es ist bisher kein funktionierender Exploit für AMD und Spectre 2 bekannt, das ist etwas anderes als "betrifft AMD aktuell nicht nachweislich", denn wir wissen nicht, ob es nicht doch eine Möglichkeit gibt Spectre2 auf AMD durchzuführen. AMD selbst weiß es nicht, sonst würden sie nicht über Wahrscheinlichkeiten sprechen.

Aber man kann offensichtlich auch nicht mathematisch beweisen,

Der Punkt ist - man kann, wenn man bereit ist es durchzuführen was nicht unerheblich Geld kostet.

Es wäre ja noch schöner, wenn man beweisen müsste, dass man keine Lücke hat, während sie bei den entsprechenden Produkten noch gar nicht gefunden wurde.

Das ist doch der Sinn eines Beweises, dass man eine logische Deduktion macht, die glasklar belegt, dass im Produkt dieser Art Fehler gar nicht auftreten kann. Nur dazu ist AMD zurzeit nicht in der Lage.