Intel kämpft mit schwerer Sicherheitslücke (Update: Intel veröffentlicht Server-Benchmarks)

[Bernard Sheyan]

Und jedes Mackbook mit Intel-CPU ist vonall den Goodies betroffen, die jedes System mit Intel-CPU so befällt.
Es wurde ja schon mehrmals geschrieben, aber leider sattsam ignoriert: Es ist KEIN Softwarefehler und es ist egal ob MacOS, Windows, DOS, Linux oder sonstwas drauf läuft.

- - - Updated - - -

Och du armes Putt Putt und jetzt gibt es auch noch Sicherheitsprobleme bei der PSP von deinem heißgeliebten Ryzen

Na, irgendwie scheinst du ja totfroh zu sein, jetzt auch was über AMD sagen zu können, so dass dein heigelibter Intel nicht ganz so scheiße dasteht.

 

[Holzmann]

Zum aktuellen Zeitpunkt ist glaube ich noch völlig unklar, ob AMD hier ein Firmwareupdate nachliefern muss, oder die Patches von Microsoft sowie weiterer Softwarehersteller ausreichen werden.

 

[Paddy92]

Na, irgendwie scheinst du ja totfroh zu sein, jetzt auch was über AMD sagen zu können, so dass dein heigelibter Intel nicht ganz so scheiße dasteht.

Nein, irgendwelche Sicherheitslücken erfreuen mich definitv nicht. Egal bei welchem Hersteller sie auftreten.

Ich bin nur gespannt, ob es jetzt auch die gleichen wilden Texte von oooverclocker über die PSP gibt, so wie er sich über die Intel ME ausgelassen hat. Gerade er als absoluter Sicherheitsfanatiker müsste ja jetzt zu tiefst entrüstet sein.

 

[bawder]

ok leute, wer startet jetzt die sammelklage gegen amd? würde mich mit 5€ beteiligen

Nach aktuellem Stand ist das (die Hardware) "Schrott", für viel Geld...

man kann es auch stark übertreiben...

 

[why_me]

Och du armes Putt Putt und jetzt gibt es auch noch Sicherheitsprobleme bei der PSP von deinem heißgeliebten Ryzen

Also musst du schon wider Patchen

Security hole in AMD CPUs' hidden secure processor revealed ahead of patches • The Register

Interessant, bei AMD wird es nach 90 Tagen veröffentlicht, bei Microsoft sowieso obwohl ein Paar Tage später ein Patchday ist.... aber bei Intel schweigt man ein halbes Jahr. Ist das nicht etwas einseitig von Google?

 

[Holzmann]

Der Unterschied ist doch, das die Lücken bei AMD mit Patches und Bios Updates in den Griff zu bekommen sind, ohne das eine Änderung an der Hardware erfolgen muss, zumindest nach derzeitigem Stand, das kann man doch auch mal akzeptieren, oder nicht?

https://www.heise.de/newsticker/meldung/Linus-Torvalds-Will-Intel-Scheisse-fuer-immer-und-ewig-verkaufen-3934829.html

 

[Sheena]

Menschen wie Paddy92 können das nicht. Sorry.

 

[LifadxD]

Ich hoffe ja, dass AMD sich zeit nimmt und den Ryzen Refresh Bugfrei rausbringt. Wenn sie Spectre nicht fixen, will ich den Shitstorm den sie dafür (zurecht) ernten nicht erleben. Dann lieber die Veröffentlichung nach hinten verschieben und dafür ohne die Fehler auf dem Markt sein.

 

[Inventor]

[...] man kann es auch stark übertreiben... [...]

Schön wär's! Aber daran, ist nichts übertrieben. Analyse zur Prozessorlücke: Meltdown und Spectre sind ein Security-Supergau

+ Linus Torvalds: Will Intel "Scheiße für immer und ewig verkaufen"?

 

[Paddy92]

Interessant, bei AMD wird es nach 90 Tagen veröffentlicht, bei Microsoft sowieso obwohl ein Paar Tage später ein Patchday ist.... aber bei Intel schweigt man ein halbes Jahr. Ist das nicht etwas einseitig von Google?

Ich habe auch keine Ahnung, warum dies so lange geheimgehalten wurde. Es betrifft aber nicht nur Intel...

Der Unterschied ist doch, das die Lücken bei AMD mit Patches und Bios Updates in den Griff zu bekommen sind, ohne das eine Änderung an der Hardware erfolgen muss, zumindest nach derzeitigem Stand, das kann man doch auch mal akzeptieren, oder nicht?

Falsch!

Für Spectre (wovon AMD auch betroffen ist) müssen Änderungen an der Hardware vorgenommen werden.

A great deal of work lies ahead. Software security
fundamentally depends on having a clear common un-
derstanding between hardware and software developers
as to what information CPU implementations are (and
are not) permitted to expose from computations. As a re-
sult, long-term solutions will require that instruction set
architectures be updated to include clear guidance about
the security properties of the processor, and CPU imple-
mentations will need to be updated to conform.

Spectre ist als Konzeptfehler nicht ganz so einfach abzudichten und erfordert Hardware-Änderungen. Für Angreifer ist die Schwachstelle aber schwieriger auszunutzen, da zum Auslesen des Speicherbereiches ein weiterer Angriff namens Seitenkanalattacke ausgeführt werden muss. Ein wenig Schutz bietet hier möglicherweise Software, die solche Angriffe unterbindet. Prinzipiell können sich über Spectre Programme im Speicher gegenseitig ausspionieren, indem hier die Trennung zwischen Programmen umgangen wird. Hier sind quasi alle gängigen Prozessoren anfällig

Menschen wie Paddy92 können das nicht. Sorry.

Was willst du Vogel denn jetzt von mir?!

Ach komm, geh wieder dich wieder lächerlich machen, indem du irgendwelche Geschichten erfindest, warum es doch ach so schwer ist die Pascal Karten richtig zu übertakten, nur weil du einfach keine Ahnung hast.

Außerdem geht es in diesem Thread hier nicht um mich, sondern um etwas anderes, also

 

[oooverclocker]

Ich bin nur gespannt, ob es jetzt auch die gleichen wilden Texte von oooverclocker über die PSP gibt, so wie er sich über die Intel ME ausgelassen hat. Gerade er als absoluter Sicherheitsfanatiker müsste ja jetzt zu tiefst entrüstet sein.

Ich habe gestern bereits ein sehr langes Posting in einem anderen Forum an AMD gerichtet. Übrigens habe ich die PSP in meinem Bios(das es leider aktuell nicht mehr offiziell zum Download gibt) schon teildeaktiviert und ein System, das weder auf PSP noch ME angewiesen ist. Insofern bin ich mir der Bedrohung bewusst, bin aber insgesamt sehr gut aufgestellt, denke ich.

 

[n0dder]

[...] Man kann aktuell noch nicht sicher sagen, dass der Ryzen weniger oder gar nicht betroffen ist. Fakt ist bis jetzt, dass es bei der out-of-order execution auch bei AMD zu dem Problemen kommt, ähnlich wie bei Intel. Nur gibt es für den Ryzen aktuell bei Spectre v2 noch keinen erfolgreichen Angriff auf die Daten. Das heißt aber nicht, dass es komplett ausgeschlossen ist, dass in Zukunft auch dafür noch ein erfolgreicher Exploit gefunden wird. Dafür ist die ganze Sache viel zu komplex und daher kann man zum jetzigen Zeitpunkt einfach nicht wissen, ob es nicht doch irgendein Code schafft, auch die Daten bei Ryzen erfolgreich auszulesen.

auch amd kann sicherheit nicht beweisen. also könnte es in zukunft eventuell auch einen angriff auf amd hardware geben. damit ist amd genau so betroffen wie intel und einfach scheiße.

das wolltest du doch sagen, oder?
die paddy-welt ist also immer noch in ordnung.


fakt ist aber:
zum aktuellen zeitpunkt ist intel angreifbar, amd nicht.
da kannst du dich auf den kopf stellen und mit den ohren wackeln, ändern wird das nichts.

 

[Sheena]

auch amd kann sicherheit nicht beweisen. also könnte es in zukunft eventuell auch einen angriff auf amd hardware geben. damit ist amd genau so betroffen wie intel und einfach scheiße.

das wolltest du doch sagen, oder?
die paddy-welt ist also immer noch in ordnung.


fakt ist aber:
zum aktuellen zeitpunkt ist intel angreifbar, amd nicht.
da kannst du dich auf den kopf stellen und mit den ohren wackeln, ändern wird das nichts.

Lass es doch bitte. Paddy92 hat oft genug bewiesen das er Geschichten erfindet und sich irgendwelche Scheinargumente zurecht dreht nur um irgendwas gegen AMD sagen zukönnen. Es hat keinen Sinn einen Jahrelangen Hater versuchen mit Argumenten umzustimmen, denn seine Meinung steht fest.

 

[Don]

Da hier immer nach der verringerten Leistung gefragt wird. Mal aus der Praxis für AWS EC2: Twitter

The #Meltdown patch (presumably) being applied to the underlying AWS EC2 hypervisor on some of our production Kafka brokers [d2.xlarge]. Ranges from 5-20% relative CPU increase. Ooof.

 

[unl34shed]

Epic berichtet von 2,75 fachem CPU Load auf ihren back-end Services, der eine wurde gegen Meltdown gepacht.


https://www.epicgames.com/fortnite/forums/news/announcements/132642-epic-services-stability-update

 

[fdsonne]

Interessant, bei AMD wird es nach 90 Tagen veröffentlicht, bei Microsoft sowieso obwohl ein Paar Tage später ein Patchday ist.... aber bei Intel schweigt man ein halbes Jahr. Ist das nicht etwas einseitig von Google?

Wenn ich das richtig sehe ist das eine Individual-Vereinbarung bei jedem Fall und wird ggf. neu ausgehandelt.
Soll heisen, erbittet man sich mehr Zeit zur Analyse und zum Fixen/für nen Workarround - ist das nicht ausgeschlossen. Per default sind es wohl 90 Tage.


Und wie schon angesprochen, die zeitlich deutlichen Unterschiede bei den releases der Patches zeigen, dass es ggf. auch früher wäre gegangen. Andererseits, ich sehe im Moment keinen nachvollziehbaren Grund warum die Medien aktuell daraus so ne Hecktick machen. Nach aktuellen Aussagen gehts ja erst seit ca. Weihnachten heiß her - andere lieferten schon 11/2017 die Patches. Mindestens mal ist das etwas unstimmig...
Leider ist die Berichterstattung in weiten Teilen eher von Schildzuweisung und übertriebener Panik vermengt. Bis dato galt der 9.1. wohl als Termin für Details.

Der Unterschied ist doch, das die Lücken bei AMD mit Patches und Bios Updates in den Griff zu bekommen sind, ohne das eine Änderung an der Hardware erfolgen muss, zumindest nach derzeitigem Stand, das kann man doch auch mal akzeptieren, oder nicht?

Stand doch gar nicht zur Diskusion - Wer bei den Lücken einseitig von gesetzwiedrigem Verkauf spricht, gleichsam aber bei seinem präferierten Hersteller mit Teildeaktivierung lebt, trotz bekannter Lücken, redet sich das Thema schlicht schön. Muss halt jeder selbst für sich wissen. Aber wo das eigentliche Securityproblem beim richtigen Hersteller völlig anders gewertet wird, ist Objektivität zum Thema Security schlicht in weiter ferne. Das sieht man völlig ohne irgendeine Herstellerverbundenheit.
Und jede Wette - würde man Hersteller und markennamen schwärzen UND nnur die CVE Texte vorlegen - er würde da keinen Unterschied machen, Lücke ist Lücke. Egal bei welchem Hersteller.

zum aktuellen zeitpunkt ist intel angreifbar, amd nicht.
da kannst du dich auf den kopf stellen und mit den ohren wackeln, ändern wird das nichts.

AMD ist auch für Spectre v1 anfällig und bei v2 gibt man ein near zero risk an. Meltdown ist scheinbar sicher obwohl die CPUs nach dem Whitepaper dennoch entsprechend reagieren würden.
An Update on AMD Processor Security | AMD
Deiner Aussage widersprich der Hersteller also höchstselbst...

 

[Phantomias88]

Dass die USA, das Eldorado für Anwälte ist, ist nichts neues

Ne sinnvolle Anklageschrift würde mich aber auch interessieren. Muss für ein Verfahren, nicht absichtliche oder fahrlässige Schuld da sein?

Aus dem Link übersetzen lassen:

Die Kläger, Steven Garcia und Anthony Stachowiak, behaupten, dass die Computerchips, die die fatalen Sicherheitsmängel enthalten, Kalifornien und Tennessee Gesetze verletzen. Insbesondere erheben die Kläger Ansprüche wegen Verletzung der Gewährleistung und Verstöße gegen Verbraucherschutzgesetze mit der Behauptung, dass Intels Verkauf von Computerchips mit dieser fatalen Sicherheitslücke Verbraucher über die Leistung und Zuverlässigkeit der mit dieser Hardware arbeitenden Computer irreführe. Die Kläger versuchen, eine Klasse von Klägern zu vertreten, die Intels fatal fehlerhafte Computerchips gekauft haben. Es wird behauptet, dass die Sicherheitslücke Millionen von Computern betreffen wird, die derzeit im ganzen Land verwendet werden.

"Wir freuen uns darauf, Intel dafür verantwortlich zu machen, Millionen von Amerikanern unnötigen Datensicherheitsrisiken auszusetzen und werden dafür sorgen, dass Intel diese Fehler so schnell wie möglich korrigiert", sagt Gerard Stranch, Managing Partner von BS & J.

Quelle: Branstetter, Stranch Jennings, Doyle APC Announce Filing of Consumer Fraud Case against Intel Corporation | Business Wire

Erinnert mich ein wenig an "Snowden" der Film.

 

[DekcardCain]

So ich schalte jetzt den Router aus und zieh das Kabel aus dem PC bye bye Internet...war sowieso nie so der Netz Fan! Allen noch ein schönes Online Leben

 

[CompuChecker]

Der Patch ist ja jetzt draußen.
Ca. 4% Leistung verloren.

Oder kommt da noch etwas nach?

 

[jdl]

Es wurde ja schon mehrmals geschrieben, aber leider sattsam ignoriert: Es ist KEIN Softwarefehler und es ist egal ob MacOS, Windows, DOS, Linux oder sonstwas drauf läuft.

Bei FreeDOS o.ä. interessiert Meltdown nicht wirklich, da läuft ohnehin alles im Real Mode. Nur Spectre wäre da ein Problem.

 

[Riplex]

Das ganze wird meiner Meinung nach viel zu übertrieben. Klar Firmen und Banken usw. die haben jetzt ein Problem. Aber mal ehrlich ? Die Privatnutzer, die zu 95 % eh immer das selbe Passwort benutzen wirds wohl kaum treffen.

 

[unl34shed]

Der Patch ist ja jetzt draußen.
Ca. 4% Leistung verloren.

Oder kommt da noch etwas nach?

Der Patch ist nur gegen Meltdown, gegen Spectre sollte auch noch was kommen ua. BIOS und Software Updates

 

[NickDiamond]

Das ganze wird meiner Meinung nach viel zu übertrieben. Klar Firmen und Banken usw. die haben jetzt ein Problem. Aber mal ehrlich ? Die Privatnutzer, die zu 95 % eh immer das selbe Passwort benutzen wirds wohl kaum treffen.

Sehe ich ähnlich. In diversen Tools oder auch Betriebssystemen schlummern doch noch etliche Sicherheitslücken die einen nicht weniger "schlimm" treffen könnten.

 

[Dominik]

Hat sich irgendein Mainboard Hersteller mal dazu geäußert?

Ich kann mir irgendwie nicht vorstellen, dass man für die beliebten Sandy oder Ivy Bridge Mainboards (60er und 70er Serie) von 2011 und 2012 nochmal irgendwelchen BIOS Updates mit dem neuen Microcode kommen!
Hab ein Z77 Board und da ist das neueste BIOS von 2013...

 

[Fallwrrk]

Epic berichtet von 2,75 fachem CPU Load auf ihren back-end Services, der eine wurde gegen Meltdown gepacht.
Anhang anzeigen 423404

https://www.epicgames.com/fortnite/forums/news/announcements/132642-epic-services-stability-update

Soviel zu "Ich bin Gamer, mich interessiert das nicht". Wir werden noch richtig viel Spaß wegen dem Bug bekommen.

Intel lists all CPUs affected by Spectre Meltdown, Epic shows performance impact on gaming servers | DSOGaming | The Dark Side Of Gaming

 

[RoughNeck Reloaded]

Da kommt sicher noch ein Patch 2, 3 oder 5 und schon ist die Performance wieder wie vorher.

 

[Fallwrrk]

Äääh, nein.

 

[Don]

Ehemaliger Intel-Mitarbeiter dazu, warum von Intel so schnell keine Prozessoren mit neuem Stepping und völlig neuer Entwicklung zu rechnen ist: Twitter

 

[sledhammer]

Ist dann Intel bald auf AMD Leistung oder wie?, ideal für Ryzen 2.

 

[Holzmann]

Ehemaliger Intel-Mitarbeiter dazu, warum von Intel so schnell keine Prozessoren mit neuem Stepping und völlig neuer Entwicklung zu rechnen ist: Twitter

Wenn das so stimmt, dass es Jahre dauern kann bis die Hardware korrigiert ist, wäre das schon ziemlich bitter.