Zen-Prozessoren von Meltdown- und auch ZombieLoad-"Light" betroffen

[HWL News Bot]

Kein Prozessor ist frei von Sicherheitslücken – dafür ist die Hardware inzwischen zu komplex und in Zusammenarbeit mit nicht weniger komplexen Software ergeben sich immer wieder neue Angriffsvektoren. In in den vergangenen Monaten und Jahren hat vor allem Intel mit immer neuen Sicherheitslücken zu kämpfen.
... weiterlesen

 

[Shevchen]

Nach dem CTS-Labs Debakel kann ich die Leute verstehen, wenn sie bei AMD-Sicherheitslücken erst einmal eine Augenbraue hochziehen, die Arme verschränken und auf mehr Informationen warten. Die Aktion ist voll nach hinten losgegangen.

 

[Black Widowmaker]

Nun, es ist klar, daß wenn AMD z.Z. langsam aber beständig zu Intel aufschließt (was Marktanteile anbelangt), werden deren Systeme plötzlich auch lohnenswerter für Angreifer. Wer macht sich schon die Mühe Sicherheitslücken für ein System zu finden, das zeitweise weniger als 5% Verbreitung hatte?

 

[Holzmann]

Hatte AMD nich selber schon gesagt, dass keine CPU 100% tig sicher ist?

 

[Morrich]

Und inwiefern steht jetzt hier fest, dass AMD von Meltdown betroffen ist? Lese ich aus dem Artikel jetzt nicht raus. Mittlerweile hab ich aber auch die Übersicht verloren, welche kunstvoll benannte Lücke jetzt genau welche ist.

 

[Mr.Mito]

Über den Titel mag man streiten können (Clickbait *hust* ). Es geht wohl darum, dass auch hier Daten aus dem Cache abgegriffen werden.

 

[fortunes]

Clickbait á la Hardwareluxx.

Das Team selbst hat einen Spectre-Angriff erfolgreich durchführen können. In dem Papier des Teams wird mit keinem Wort ein erfolgreicher Meltdown-Angriff erwähnt.

Sorry, aber diese News ist mal wieder grottig schlecht.

Dann lieber hier weiter, da wird es richtig erwähnt mit dem passenden Link zum POC des Teams.

https://www.hardwareluxx.de/community/threads/takeaway-sicherheitsl%C3%BCcke-in-amd-cpus-seit-2011.1265684/

 

[karta03]

Interessant wäre, ob man die Lücke wegpatchen kann und falls ja, ob und wie stark die Leistung gebremst wird.

 

[Rollo3647]

Nur Interessant für Serverumgebungen, am Heim PC sitzt das grösste Sicherheitsproblem vor der Tastatur.

 

[L1 Terminal Fault]

Um beim aktuellen Thema zu bleiben, gegen den Coronavirus äh Intelssicherheitslücken ist das ein schlechter Scherz!

 

[DragonTear]

Nur Interessant für Serverumgebungen

Und auch das eher nur in der Theorie. Bei Intel wie AMD gibt es keine Anzeichen dafür dass diese Lücken auch ausgenutzt werden/wurden...

 

[Infi88]

Herrlich wie die selben Figuren alles versuchen zu relativieren zugunsten AMDs und das Team zu diskreditieren die Intel im Prinzip auch durch ihre Arbeit "geholfen" haben, selbst auf Twitter und Reddit nur peinlicher Spam. Und das obwohl dieser Zustand meist noch nicht mal in den abgeschrieben News zu Meltdown und Spectre erwähnt wurde.

Teils musste ich das Leuten verlinken, weil es nur darum ging Intel zu bashen, dabei hatte man logischerweise selbst wenn man nicht immer fähig ist diese Lücken ausnahmslos zu schließen ein fundamentales Interesse daran diese zu finden. Wie viel Intel dabei bezahlt spielt eigentlich keine Rolle.

Das jetzt teils das selbe Team "kritisiert" wird weil es auch bei AMD Lücken findet ist Satire eigentlich.
Scheint so als wäre man mit dem Werbespruch mit den Side-Channel Attacks etwas zu voreilig gewesen, mit der Verbreitung von AMD CPUs wird sich das auch noch stark verschlechtern.
Ähnlich wie bei DDR4 und Rowhammer ist es einfach so wenn die Hardware einmal raus ist ist es nicht mehr möglich in Bewegung zu bleiben und mit der Zeit werden Bigbrains je nach dem welches Interesse, welche finanzielle Mittel und Ausrüstung sie zur Verfügung haben immer einen Standard aushebeln können, damit muss man sich abfinden.

Ich würde mir als Consumer aber genau ansehen welche Sachen tatsächlich für einen selbst relevant sind, sehr viele Exploits sind nur mittels anderer Hardware am PC selbst möglich.

Was ist los?
Ich habe nie gesagt, dass AMD CPUs sicher sind!

Du warst Basher Nummer 1 Holzmann, dont twist it .

 

[Holt]

Nun, es ist klar, daß wenn AMD z.Z. langsam aber beständig zu Intel aufschließt (was Marktanteile anbelangt), werden deren Systeme plötzlich auch lohnenswerter für Angreifer. Wer macht sich schon die Mühe Sicherheitslücken für ein System zu finden, das zeitweise weniger als 5% Verbreitung hatte?

Eben und daher sollte es nicht wundern, wenn in AMD CPUs am Ende genauso viele Sicherheitslücken entdeckt werden wie in denen von Intel, sobald erst genauso viel Aufwand getrieben wird um diese zu finden. Ist Finger zu kritisieren weil sie teilweise von Intel finanziert werden, ist auch das Letzte, soll AMD doch selbst ein Team finanzieren welches Sicherheitslücken sucht um diese dann schließen zu können und wenn sie dies nicht machen, doch froh sein das es jemand gemacht hat.

Schlussendlich hat man eine mögliche Attacke entwickelt, die JavaScript in einer Sandbox betrifft und somit aus dem Browser heraus erfolgen kann, aber auch virtuelle Umgebungen sind betroffen. Damit ist vor allem das Datacenter betroffen

Wenn es JavaScript in einer Sandbox betrifft, wieso sollte dann vor allem das Datacenter betroffen sein? Dann ist jeder Heimanwender betroffen der im Internet browst, denn man kann leider ganz ohne JavaScript viel Angebote im Internet nicht vernünftig nutzen.

Das sich AMD bisher noch nicht zu einer Sicherheitslücke geäußert hat von der sie seit August letzten Jahres wissen, also seit mehr als einem halben Jahr, ist allerdings extrem traurig, da hätte man längst ein AGESA (bzg. für die alten Bulldozer ein Microcode Update) herausgeben müssen um die Lücke zu schließen, aber beim Schließen von Sicherheitslücken hat sich AMD ja schon früher nicht sonderlich beeilt.

 

[MENCHI]

Und es passiert das Gleiche wie beim Intel. Jeder Patch / Update kostet Leistung

 

[TBrandes]

Das sich AMD bisher noch nicht zu einer Sicherheitslücke geäußert hat von der sie seit August letzten Jahres wissen...

Doch, haben sie: https://www.amd.com/en/corporate/product-security

 

[DTX xxx]

Irgendwie Toche wenn ich an die AMD Fanboys denke die kein gutes Haar an Intel liessen..

Toche (gesprochen toche)? Meinst du Touchè (gesprochen tuschee)?
Das zu einem Spielstand von 100 zu 3 für Intel?
Oder ist es schon 1000 zu 10 für Intel?

 

[Sassicaia]

Toche (gesprochen toche)? Meinst du Touchè (gesprochen tuschee)?

das schreibt der Franzose aber mit accent aigu und nicht mit accent grave

 

[DTX xxx]

Stimmt, habe ich nicht aufgepasst. Habe es ausgebessert. Danke!

 

[Sassicaia]

ich habe jetzt nicht meine Tastatur auf französisch gestellt

das muss man auch nicht

 

[DTX xxx]

Ich habe einen schönen Vergleich gelesen. Die Intel Lücken sind wie bis zum Hals in der Scheiße zu sitzen, während es bei AMD nur etwas schlecht riecht.
Sind hier wirklich so viele Menschen unterwegs die ein Fantum kultivieren, also so mit Schlafanzug und Poster an den Wänden?
Ich denke nicht. Es ist mehrheitlich eine Rechtfertigung der eigenen Entscheidungen, die größtenteils durch narzisstische Gefühle getätigt wurden.

 

[Sassicaia]

Ich habe einen schönen Vergleich gelesen. Die Intel Lücken sind wie bis zum Hals in der Scheiße zu sitzen, während es bei AMD nur etwas schlecht riecht.
Sind hier wirklich so viele Menschen unterwegs die ein Fantum kultivieren, also so mit Schlafanzug und Poster an den Wänden?
Ich denke nicht. Es ist mehrheitlich eine Rechtfertigung der eigenen Entscheidungen, die größtenteils durch narzisstische Gefühle getätigt wurden.

Seit Monaten bist du täglich intensiv und auffällig ausgeprägt damit beschäftigt, aufzufallen quasi anderen zu imponieren, sie zu überzeugen, dich selbst darzustellen und um Bewunderung für dich und dein Engagement für ein einziges Thema zu werben, nämlich einen Halbleiterkonzern und seine Geschäftsprozesse zu polemisieren und damit zu polarisieren. Die Trumps dieser Welt, die Selbstdarsteller in Instagramm, die Poser ohne background, sie alle leiden an unkontrollierbarem Geltungsdrang und bedienen sich geeigneter rhetorischer Stilmittel insb. der Rabulistik.

 

[Holt]

Doch, haben sie

Es geht aus der News aber nicht hervor, melde dem Schreiber der News wenn du meinst sie wäre fehlerhaft, denn dort steht:

Bisher hat sich AMD noch nicht zur Sicherheitslücke geäußert

Man sollte eine News schon gelesen haben, bevor man in dem Thread zu dieser News schreibt!

 

[TBrandes]

A. Die News ist älter als die Antwort.
B. Ändert das nichts daran dass es eine Antwort gibt.
C. Ich lese News und grabe etwas nach bevor ich antworte...

 

[Shevchen]

@Sassicaia Und das argumentative Pendel schwingt dann wieder zurück, erzeugt einen Bias-Effekt gegenüber *allen* Informationen die so reinkommen und man nimmt dann einfach an "Schon wieder gebashe gegen Intel - kann ich getrost ignorieren", weil man nicht mehr fähig ist zwischen Clickbait und fundierter Kritik zu unterscheiden. Dazu kommt noch ein gewisser Tribalismus, wird mit persönlichen Ressentiments gemischt und und voilà, wir haben unsere Standard Forendiskussion.

 

[L1 Terminal Fault]

Eben und daher sollte es nicht wundern, wenn in AMD CPUs am Ende genauso viele Sicherheitslücken entdeckt werden wie in denen von Intel, sobald erst genauso viel Aufwand getrieben wird um diese zu finden. Ist Finger zu kritisieren weil sie teilweise von Intel finanziert werden, ist auch das Letzte, soll AMD doch selbst ein Team finanzieren welches Sicherheitslücken sucht um diese dann schließen zu können und wenn sie dies nicht machen, doch froh sein das es jemand gemacht hat.

Typisch Holt!

AMD hat sich schon längst dazu geäußert, wie immer versuchst Du gegen AMD zu reden!

We are aware of a new white paper that claims potential security exploits in AMD CPUs, whereby a malicious actor could manipulate a cache-related feature to potentially transmit user data in an unintended way. The researchers then pair this data path with known and mitigated software or speculative execution side channel vulnerabilities. AMD believes these are not new speculation-based attacks.

AMD continues to recommend the following best practices to help mitigate against side-channel issues:

• Keeping your operating system up-to-date by operating at the latest version revisions of platform software and firmware, which include existing mitigations for speculation-based vulnerabilities​
• Following secure coding methodologies​
• Implementing the latest patched versions of critical libraries, including those susceptible to side channel attacks​
• Utilizing safe computer practices and running antivirus software​

https://www.amd.com/en/corporate/product-security

 

[nosferatu68]

Mann, Man, es ist doch vollkommen Wurst, ob das jetzt Intel oder AMD ist. Scheiße ist einfach, dass diese Sicherheitslücken überhaupt da sind. Und wichtig ist dabei, in wie weit man da als Privatanwender betroffen ist.

 

[DTX xxx]

Seit Monaten bist du täglich intensiv und auffällig ausgeprägt damit beschäftigt, aufzufallen quasi anderen zu imponieren, sie zu überzeugen, dich selbst darzustellen und um Bewunderung für dich und dein Engagement für ein einziges Thema zu werben, nämlich einen Halbleiterkonzern und seine Geschäftsprozesse zu polemisieren und damit zu polarisieren. Die Trumps dieser Welt, die Selbstdarsteller in Instagramm, die Poser ohne background, sie alle leiden an unkontrollierbarem Geltungsdrang und bedienen sich geeigneter rhetorischer Stilmittel insb. der Rabulistik.

Nein, ich will nicht imponieren. Es ist auch nicht mein Anspruch jeden zu gefallen. Im Gegenteil, denn meine Art die eigene Verantwortung und sich selbst zu hinterfragen in den Vordergrund zu stellen und nicht nach rein egoistischen und narzisstischen Werten durchs Leben zu gehen, erzeugt natürlich Widerstand. Du beweist mit deinem Beitrag diesen Widerstand punktgenau. Schließlich ging es dir ausschließlich nur darum , mich in dein Licht deiner Wahrnehmung zu pressen. Ich bin dir sehr dankbar dafür. Eine so wunderbare Motivation weiter zu machen, hätte ich jetzt nicht erwartet.

 

[taeddyyy]

Nach der Headline bin ich ohne den Artikel zu lesen direkt in die Kommentare gesprungen, ich wurde nicht enttäuscht. Sehr unterhaltsam

 

[Holt]

B. Ändert das nichts daran dass es eine Antwort gibt.

Laut Computerbase ist dies die Antwort:

AMD believes these are not new speculation-based attacks.

AMD continues to recommend the following best practices to help mitigate against side-channel issues:

• Keeping your operating system up-to-date by operating at the latest version revisions of platform software and firmware, which include existing mitigations for speculation-based vulnerabilities
• Following secure coding methodologies
• Implementing the latest patched versions of critical libraries, including those susceptible to side channel attacks
• Utilizing safe computer practices and running antivirus software

Die klingt nicht so, als würde AMD von seiner Seite aus etwas dagegen unternehmen, sondern setzt darauf das andere es machen.

 

[Infi88]

Joa klingt tatsächlich so als sei man sich ziemlich sicher das dies nur ein geringfügiges Manko sei, welches für Zen3 sogar hardwareseitig zu fixen seien scheint, oder gar ignoriert wird. Risiki geht gegen null ist die Lieblingsaussage AMDs in solchen Sachen .

Bei solchen Aussagen gibt es nur ein Problem, wenn man mit immer einfacheren Methoden den Cache auslesen kann wird die Luft dünn.

Und inwiefern steht jetzt hier fest, dass AMD von Meltdown betroffen ist? Lese ich aus dem Artikel jetzt nicht raus. Mittlerweile hab ich aber auch die Übersicht verloren, welche kunstvoll benannte Lücke jetzt genau welche ist.

Wenn du keine Ahnung von irgendetwas hast warum gibst du dann in jeder News deine Anti-Intel Statements ab, was speziell hier schwer fallen dürfte ?

Die Entdecker bzw. Personen sind doch teils immer die gleichen wie auch die Varianten ineinander verschmelzen (Spectre V1.2 = Meltdown-RW )TuGraz, Google Project Zero, schwer zu behalten ist das eigentlich nicht.
Wenn man sich erstmal die AMD Server CPUs vorknöpft kommt da sicherlich auch einiges raus, dürfte aktuell noch nicht lohnen sich da reinzuhängen,jedoch ist der Schaden enorm bei Server-Cpus bzw. VMs.

Nein, ich will nicht imponieren. Es ist auch nicht mein Anspruch jeden zu gefallen. Im Gegenteil, denn meine Art die eigene Verantwortung und sich selbst zu hinterfragen in den Vordergrund zu stellen und nicht nach rein egoistischen und narzisstischen Werten durchs Leben zu gehen, erzeugt natürlich Widerstand. Du beweist mit deinem Beitrag diesen Widerstand punktgenau. Schließlich ging es dir ausschließlich nur darum , mich in dein Licht deiner Wahrnehmung zu pressen. Ich bin dir sehr dankbar dafür. Eine so wunderbare Motivation weiter zu machen, hätte ich jetzt nicht erwartet.

Normalerweise sollte man versuchen im Diskurs Dramatik zu entschärfen, ich schließe mich Sassicaia allerdings an, wobei ich hege sogar für Donald J. Trump mehr Sympatien als für dich.
Das du teils Aufmerksamkeit sogar von Testern bekommen hast bei deiner Polemik und Fäkalsprache die nur darauf abzielt Fanboys zu imponieren und Firmen zu diffamieren ist eine Schande, Natürlich warst du ab Posting 2 bei mir auf der Ignorierliste, trotzdem unfassbar das jemand so viel Müll ansammeln kann und versucht Leute in jeder News in FB-Wars zu baiten ohne gebannt zu werden.