HWL News Bot
News
Thread Starter
- Mitglied seit
- 06.03.2017
- Beiträge
- 113.974
... weiterlesen
Intel- und AMD-CPUs: Forscher entdecken neuen Side-Channel-Angriff
- Ersteller HWL News Bot
- Erstellt am
... weiterlesen
Schaaade und ich dachte, bei AMD kann sowas nicht passieren - oder wie war das noch mit der Unfähigkeit Intels und die haben Lücken absichtlich eingebaut, weil es Leistung bringt, nicht sicher zu bauen??
Verdammt, muss ich den 5950X wieder wegschmeißen. Höchst unseriös, was da abgeliefert wurde
Ach und Verklagen nicht vergessen. Ebenso wäre langsam mal Zeit für ein Statement. Das muss jetzt einfach kommen.
Btw. was haben die AMD Zen1 Folien da mit der Meldung zu tun? Das ist doch keine AMD Pressemeldung für den Release neuer Produkte - oder hab ich was verpasst?
Noch dazu, Technik von vor 100 Jahren...
EDIT:
Spaß beiseite, was hier fehlt ist der Wink, dass das A) privat halb so wild ist und B) es unmittelbarere Gefahren gibt.
Heise ist ja dazu übergegangen das mittlerweile auch in den Text zu hämmern:
"Eine CVE-Nummer gibt es für "I see dead µOps" noch nicht. Die Angriffstechnik ist sehr aufwendig und bedroht vor allem Cloud-Server, auf denen potenziell bösartige virtuelle Maschinen und Container mit Malware parallel zu anderen VMs und Containern mit schützenswerten Daten gestartet werden können. Bei typisch genutzten PCs und Notebooks gibt es üblicherweise leichter nutzbare Schwachstellen, weshalb "I see dead µOps" das Sicherheitsrisiko bei diesen Systemen nicht nennenswert steigern dürfte."
Gerade der letzte Punkt trifft es halt recht genau. Und selbst die Cloud Systeme - ab gewissen Größenordnungen von Systemen kann man sich meist sogar erlauben, die Maschinen über verschiedene Sicherheitslevel zu gruppieren. Wenn eh der selbe Kunde seine Services davon bezieht, spricht wenig für das auch zu gruppieren. Damit sinkt das Risiko nochmals um längen. Zumal auch (entgegen dem Text von Heise), Cloudanbieter ihre Sicherheitslücken in Software haben. Das macht vor keinem halt. Auch dort gibt es unmittelbarer Gefahren als die Hardware.
Verdammt, muss ich den 5950X wieder wegschmeißen. Höchst unseriös, was da abgeliefert wurde
Ach und Verklagen nicht vergessen. Ebenso wäre langsam mal Zeit für ein Statement. Das muss jetzt einfach kommen.
Btw. was haben die AMD Zen1 Folien da mit der Meldung zu tun? Das ist doch keine AMD Pressemeldung für den Release neuer Produkte - oder hab ich was verpasst?
Noch dazu, Technik von vor 100 Jahren...
EDIT:
Spaß beiseite, was hier fehlt ist der Wink, dass das A) privat halb so wild ist und B) es unmittelbarere Gefahren gibt.
Heise ist ja dazu übergegangen das mittlerweile auch in den Text zu hämmern:
"Eine CVE-Nummer gibt es für "I see dead µOps" noch nicht. Die Angriffstechnik ist sehr aufwendig und bedroht vor allem Cloud-Server, auf denen potenziell bösartige virtuelle Maschinen und Container mit Malware parallel zu anderen VMs und Containern mit schützenswerten Daten gestartet werden können. Bei typisch genutzten PCs und Notebooks gibt es üblicherweise leichter nutzbare Schwachstellen, weshalb "I see dead µOps" das Sicherheitsrisiko bei diesen Systemen nicht nennenswert steigern dürfte."
Gerade der letzte Punkt trifft es halt recht genau. Und selbst die Cloud Systeme - ab gewissen Größenordnungen von Systemen kann man sich meist sogar erlauben, die Maschinen über verschiedene Sicherheitslevel zu gruppieren. Wenn eh der selbe Kunde seine Services davon bezieht, spricht wenig für das auch zu gruppieren. Damit sinkt das Risiko nochmals um längen. Zumal auch (entgegen dem Text von Heise), Cloudanbieter ihre Sicherheitslücken in Software haben. Das macht vor keinem halt. Auch dort gibt es unmittelbarer Gefahren als die Hardware.
Zuletzt bearbeitet:
Willst du mir damit etwa sagen, mein Naples wäre Uralt ?Btw. was haben die AMD Zen1 Folien da mit der Meldung zu tun? Das ist doch keine AMD Pressemeldung für den Release neuer Produkte - oder hab ich was verpasst?
Noch dazu, Technik von vor 100 Jahren...
Naaaja, Uralt vllt nicht... Wobei - 4x NUMA für max. 32C ist halt schon bisschen angestaubtWillst du mir damit etwa sagen, mein Naples wäre Uralt ?
Aber mach dir nix draus, ich hab hier letzte Woche Systeme aus dem Rennen genommen, die hatten ne Uptime von 10,5 Jahren (Dual Westmere Xeons)
Selbst von den 8x 3,5" 15k SAS Disks sind noch 5x seit Kauf im Dauereinsatz. Das würde ich Uralt nennen 
Stefan Alexander
Experte
Wie immer nee Cloud Server Geschichte, für die normalen 0815 Nutzer vollkommen uninteressant, an sich sollte man die Patches sogar eher deaktivieren da sie am Ende nur Performance kosten, grade bei älteren Systemen. Vorausgesetzt es handelt sich nur um einen Gaming PC oder generell Home Rechner.
The-Unliving
Banned
Evtl.. setztzen amd und Intel Hacker darauf an um sich gegenseitig zu schaden.. kann muss nicht sein.. Amd denkbar.. Intel eher nicht...
Bin nicht Pro Intel immo 5800K mit nur 8 PCIE 16x Lanes.. (Ja weis wiederhole Mich)
Mich stört nur das jeder meint mich zu Win10 zwingen zu Müssen !... wegen angeblicher sicherheit ! (Hab das Dauernd im Hinterkopf)
Updates ? Ja! -> sicherer nein !
Neue funktionen die keiner Braucht ja!
Mehr Probleme Ja
mehr leistung (teilweise auch ja)
Fazit steige erst umm wenn schlanker und weniger Probleme giebt !
Mehrfach angedeutet! oder ein game es vorraussetzt! was sich kein Hersteller erlauben kann ! (Global)
Bin nicht Pro Intel immo 5800K mit nur 8 PCIE 16x Lanes.. (Ja weis wiederhole Mich)
Mich stört nur das jeder meint mich zu Win10 zwingen zu Müssen !... wegen angeblicher sicherheit ! (Hab das Dauernd im Hinterkopf)
Updates ? Ja! -> sicherer nein !
Neue funktionen die keiner Braucht ja!
Mehr Probleme Ja
mehr leistung (teilweise auch ja)
Fazit steige erst umm wenn schlanker und weniger Probleme giebt !
Mehrfach angedeutet! oder ein game es vorraussetzt! was sich kein Hersteller erlauben kann ! (Global)
Zumindest Intel steht regelmäßig auf der Sponsorenliste der Sicherheitsforscher bzw. der Institutionen, wo diese Leute angestellt sind oder für welche diese arbeiten.
Müsste lügen, aber ich meine auch AMD da schon mal gelesen zu haben. Insofern ja, es werden gezielt Leute bezahlt um Sicherheitslücken zu suchen - natürlich mit dem Ziel auch welche zu finden. Sonst wären die ganzen Bug Bounty Programme ja völlig sinnbefreit
Das Problem ist nur, es kommt nicht drauf an, dass irgendwelche Leute vom Hersteller bezahlt, Lücken finden und das auch publizieren. Es kommt eher drauf an, wie viele Leute Wissen über Lücken haben und absolut nichts davon publizieren. Denn das ist die viel größere Gefahr. Sicherheitslücken in Teilen von überall verwendeter Software sind (trotz OpenSourcen und allgemeiner Zugängleitkeit vom Code) teilweise über Jahre bis Jahrzente unentdeckt (für die Öffentlichkeit) im Code drin - weis Gott, wer davon vor der öffentlichen Publizierung wusste und sich so Zugriff auf die Systeme hat verschafft ohne dass davon irgendwer irgendwas mitbekommen hat
Schade hab ich nur ab Sandy. Bin wohl zu modern unterwegs.
disturbed rabbit
Experte
- Mitglied seit
- 26.02.2013
- Beiträge
- 296
Defenseless: UVA Engineering Computer Scientists Discover Vulnerability Affecting Computers Globally | University of Virginia School of Engineering and Applied Science
Editor's Note, May 5, 2021: This story has been updated.
Leaked
Experte
- Mitglied seit
- 27.07.2018
- Beiträge
- 909
@jaxnprivate - Ihr Kommentar zu dieser Lücke, würde mich brennend interessieren. Immerhin stehen Sie hinter Intel mehr, als der CEO selbst.
D
DTX xxx
Guest
Hauptsache emotionales Gebrabbel und das von jemanden, der mit Zen die goldene Intel Schublade prophezeit hat, die AMD nicht hoch kommen lassen wird.
Wenn es dir dann zu viele Emotionen werden, wird wieder kräftig gelöscht, denn fdsonne bestimmt den Grad der Erregungsbewirtschaftung. Provozieren und gleichzeitig moderieren sind weiterhin keine Glanzleistung dieses Forums.
the_pi_man
Enthusiast
Zeigt das nicht, das es Zeit wird für einen revolutionär neues Prozessordesign? 
Was ist denn mit solchen Problemen abseits der x64 Prozessoren? Was ist mit IBM, was ist mit dem M1 von Apple, was ist mit den Prozessoren in modernen Handys?
Was ist denn mit solchen Problemen abseits der x64 Prozessoren? Was ist mit IBM, was ist mit dem M1 von Apple, was ist mit den Prozessoren in modernen Handys?
@the_pi_man
Da geht es doch grade hin. Stichwort Big-Little und so.
Aber grundsätzlich ist es bei jeder Technologie so: auslutschen bis zum geht nicht mehr. Erst, wenn es schon zu spät ist, wird was neues aus dem Hut gezaubert (was aber natürlich vorher schon existierte).
Da geht es doch grade hin. Stichwort Big-Little und so.
Aber grundsätzlich ist es bei jeder Technologie so: auslutschen bis zum geht nicht mehr. Erst, wenn es schon zu spät ist, wird was neues aus dem Hut gezaubert (was aber natürlich vorher schon existierte).
Wobei ich zu behaupten wage, dass es kein 100% sicheres Design geben wird. Solange etwas mit menschlichem Zutun entwickelt wird, wird es immer kreative Ansätze von anderen geben irgendeinen Schadcode unbemerkt auszuführen. Man kann einfach nicht jeden möglichen und scheinbar unmöglichen Ansatz Schaden zu generieren vorhersehen. Einzig der Schwierigkeitsgrad solche Attacken außerhalb von Labor Bedingungen in die Tat umzusetzen wird relevant sein.
Intel bezahlt bekanntermaßen viele externe Institutionen (vorwiegend Universitäten) mit dem auffinden eigener Sicherheitslücken. Hier in Österreich ist die Technische Universität Graz zB. (Meltdown und Spectre) einer jener Institutionen die Geld beziehen. Würde behaupten das sich am direkten Arbeiten mit derlei Technik eine Art Betriebsblindheit einstellt. Bin im Studium selbst schon wochenlang vor Code mit offensichtlichen Fehlern gesessen und wenn jemand anderes drüber schaut, der an was anderem arbeitet findet der die schlimmsten Schnitzer nach Minuten. Stell dir vor hunderte sitzen vor dem selben Problem. Womöglich wird niemand draufkommen wo der Fehler liegt einfach weil sie den nicht sehen. Dann kommen Universitäten mit frischen unvoreingenommen Köpfen und Ideen daher und versuchen denkbar alles mögliche Lücken zu finden und diese nutzbar zu machen.
Google mal nach der Bedeutung von Ironie und Sarkasmus
Es scheitert ja schon an der Basis des Textverständis bei dir - und du willst mir irgenwelche Aussagen unterstellen... 
DragonTear
Legende
Naja, Problem ist vorallem die Rückwärtskompatibilität. Man kann nicht ständig was komplett neues aus dem Hut zaubern denn dann muss auch all die Software neu entwickelt werden (oder zumindest portiert). Dass man das hinauszögert solang es geht ist verständlich.
Die eher vergeblichen Versuche ARM in Servern zu etablieren, sowie in PCs (Chrome OS) haben die Hersteller nur bedingt weiter angespornt.
Einzig Apple hat daran festgehalten - einerseits haben sie eine performante X86 emulation hinbekommen und zudem haben sie die Macht die Hardware vorzugeben weil OSX nicht ofiziell auf Fremdhardware läuft.
Wird spannend zu sehen ob Apples Ansatz (ARM Basis mit relativ performanter x86 emulation) von anderen Herstellern aufgegriffen und tatsächlich auch irgendwie in PCs Verwendung finden wird. Glaube aber natives x86 wird uns noch einige lange Jahre erhalten bleiben.
Der Befehlsatz ist sowieso nicht direkt die Ursache für theoretische Sicherheitslücken.
Zuletzt bearbeitet:
ARM und andere Vertreter waren bzw. sind ebenso von Spectre zumindest von manchen der Themen betroffen. Was in Teilen quasi am Design liegt.Zeigt das nicht, das es Zeit wird für einen revolutionär neues Prozessordesign?
Was ist denn mit solchen Problemen abseits der x64 Prozessoren? Was ist mit IBM, was ist mit dem M1 von Apple, was ist mit den Prozessoren in modernen Handys?
Das Problem bzw. der Auslöser der Themen ist im Grunde, dass Security by Obsecurity nicht funktioniert. Es suchen jetzt Leute geziehlt nach Lücken wo man früher davon ausging, das würde gar nicht gehen bzw. wäre kein
Problem. Sogut wie Niemand hat vor 10 Jahren oder so noch gedacht, man könne CPUs in der Form "auseinander nehmen". Und andersrum hat sich quasi keiner der CPU Designer groß drum gekümmert, das sicher zu bauen weil eh "Keiner" rein sehen konnte. Zumindest ist das mein Eindruck.
Es ist schon sehr untypisch, das durch die Bank weg mal mehr mal weniger alle Hersteller die gleichen Probleme haben.
Der M1 ist btw. sehr Jung, das dürfte noch was dauern bis die Leute da durchgestiegen sind.
Was man nicht vergessen sollte, Intel steht fast auf jeder Sponsorenliste der Forscher - ob Intel für ein ARM oder andere Designs zahlt halte ich für fraglich, ist der Fund wie bei Spectre in Teilen oder Meltdown nicht 1:1 adaptierbar auf Andere, fallen diese einfach aus dem Raster. Man sucht hier nicht breit in alle Richtungen und publiziert alles, sondern sucht sich nen Einstiegspunkt und bohrt bis es eben offen steht. Die Themen sind alle irgendwo Artverwand, weil bekannt ist, dass es dort möglich ist, anzusetzen. Ein M1 oder irgendwelche Power Ansätze von IBM sind um Welten schwerer zu öffnen als den nächsten Spectre like Angriffsvektor zu finden, wo klar ist, die CPUs sind broken an der Stelle...
Nativ x86 ist heute sogut wie gar nix mehr, Heute profitiert der Spaß aus Befehlserweiterungen, ohne SSE3 bzw. SSE4 irgendwas dürfte sogut wie keine Softwäre mehr laufen. Gut, ist auch schon Jaaahre alt, aber wehe man kürzt in Software mal Kompatibilität.
Ich denke man kann das auch etwas relativieren, nicht jeder hat eine Eingangstür aus 30 cm Stahl, aus gutem Grund, weil meist die Wand daneben eh weniger aushalten würde und weil es schlicht nicht Notwendig ist.
Die meisten bis jetzt genannten Schwachstellen setzen noch immer das Ausführen von Code auf dem Zielsystem voraus. Des weiteren müsste ein System auch sicherheitsrelevante Daten beherbergen. Noch immer sind die meisten "traditionellen" Methoden an diese zu kommen einfacher.
Also warum jetzt "vermeintlich unhackbare" Systeme auf Kosten von Leistung und Effizienz entwickeln, wenn die überwiegende Nutzerschaft, dies eh nicht schätzen würde und wahllos den nächsten Email Anhang mit der Katze drauf klickt.
Auf der anderen Seite ist eventuell das massive Auslagern relevanter Systeme in die Cloud ein Trugschluss und einem übereifrigen Profitstreben der Unternehmen geschuldet. Ich erwarte von Firmen, die sensible Daten speichern, dass diese nicht aus Kostengründen auf von anderen mitbenutzen Systemen ausgelagert werden.
Das heißt nicht, dass im Bereich Sicherheit Stillstand herrschen sollte. Ich als "Heimuser" habe aber auch kein Interesse einen "unnötigen" Aufpreis für einen rein hypothetischen Angriffsvektor zu bezahlen, wenn wie oben geschrieben, andere Bedrohungen deutlich realistischer sind. Ein Mindeststandard muss sein, aber gefühlt ist dieser noch immer vorhanden und im Bereich Virtualisierung und Cloudcomputing müssen die, die davon profitieren eben von Intel AMD und Co die entsprechende Technik einfordern.
PS Nicht falsch verstehen, jeder sollte ein Grundrecht auf sichere Technik haben.
Die meisten bis jetzt genannten Schwachstellen setzen noch immer das Ausführen von Code auf dem Zielsystem voraus. Des weiteren müsste ein System auch sicherheitsrelevante Daten beherbergen. Noch immer sind die meisten "traditionellen" Methoden an diese zu kommen einfacher.
Also warum jetzt "vermeintlich unhackbare" Systeme auf Kosten von Leistung und Effizienz entwickeln, wenn die überwiegende Nutzerschaft, dies eh nicht schätzen würde und wahllos den nächsten Email Anhang mit der Katze drauf klickt.
Auf der anderen Seite ist eventuell das massive Auslagern relevanter Systeme in die Cloud ein Trugschluss und einem übereifrigen Profitstreben der Unternehmen geschuldet. Ich erwarte von Firmen, die sensible Daten speichern, dass diese nicht aus Kostengründen auf von anderen mitbenutzen Systemen ausgelagert werden.
Das heißt nicht, dass im Bereich Sicherheit Stillstand herrschen sollte. Ich als "Heimuser" habe aber auch kein Interesse einen "unnötigen" Aufpreis für einen rein hypothetischen Angriffsvektor zu bezahlen, wenn wie oben geschrieben, andere Bedrohungen deutlich realistischer sind. Ein Mindeststandard muss sein, aber gefühlt ist dieser noch immer vorhanden und im Bereich Virtualisierung und Cloudcomputing müssen die, die davon profitieren eben von Intel AMD und Co die entsprechende Technik einfordern.
PS Nicht falsch verstehen, jeder sollte ein Grundrecht auf sichere Technik haben.
Die Antwort dazu wäre: Heimanwender sind nicht wirklich betroffen. Es gibt genügend leichter ausnutzbare Lücken in Software als diese. Also warum den Aufwand treiben?
Ist son bissel wie ein Loch zum Keller eines Hauses zu buddeln und dort die Wand zu sprengen, anstatt einfach ein Fenster einzuschlagen oder die (offen stehende) Haustür zu nutzen.
Ist son bissel wie ein Loch zum Keller eines Hauses zu buddeln und dort die Wand zu sprengen, anstatt einfach ein Fenster einzuschlagen oder die (offen stehende) Haustür zu nutzen.
Du solltest deinen Sarkasmusdetektor dringend zur Wartung bringen. Der scheint Defekt zu sein... Und falls du keinen hast: Kauf einen!
Zuletzt bearbeitet:
Dafür gibt es von Google eine Testseite: leaky.page
A Spectre proof-of-concept for a Spectre-proof web
Das Auslesen funktioniert(e) bei einem PC mit Intel i5-7400 CPU unter Linux mit Chromium und allen voreinstellten Patches gegen diese Lücken. Der Firefox ist besser gegen Spectre geschützt und dort konnte der Test nicht erfolgreich durchgeführt werden.
Mehr braucht es hier nicht....
DragonTear
Legende
Nur dass Internet mit dauerhaftem NoScript ein wenig wie Nachtclub mit Sonnenbrille ist 
Wieso?Nur dass Internet mit dauerhaftem NoScript ein wenig wie Nachtclub mit Sonnenbrille ist
Muss man natürlich im Auge haben - und das zulassen, was man braucht. Nutze ich seit x Jahren so - und kann mich bis auf ganz ganz wenige Ausnahmen doch eigentlich nicht beklagen. Twitch bspw. geht bisschen hässlich, weil die dynamisch Scripts von cloudflare Domains einbinden. Das kannste bzw. willste nicht global whitelisten. Meist heist dort eine temporäre Whitelist, das funktioniert für ein paar Tage und dann muss es neu gesetzt werden. Vertretbar für mein Befürworten...
jaxnprivate
Profi
Na ja, was soll man dazu halt sagen, man kann AMD und Intel nicht vergleichen.
Meiner Meinung nach ist AMD eine Massenproduktion mit schlechter Qualität, die schaffen es ja nicht mal die Beinchen nach der Produktion abzutrennen.
Intel ist im Gegensatz zu AMD eine kleine Manufaktur die sehr viel Wert auf Qualität legt und nicht auf Quantität.
D
DTX xxx
Guest
@jaxnprivate
Welchen Sinn ergibt es eine Fragestellung zu zitieren, wenn du offensichtlich die Fragestellung nicht beantwortest, oder beantworten kannst?
Welchen Sinn ergibt es eine Fragestellung zu zitieren, wenn du offensichtlich die Fragestellung nicht beantwortest, oder beantworten kannst?
jaxnprivate
Profi
Er hat es verstanden, das reicht mir :P