Meltdown und Spectre: Updates zu Apple, Microsoft, Mozilla und Intel

[BigYundol]

Er meint Spectre, aber die spezialisierte für AMD gibt es ja noch nicht

Und dort wo man eine Schwäche vermutet, muss man erst noch durchkommen.
Und wenn, braucht es offenbar auch noch erst einen Virus auf dem System, der sie ausnutzen könnte und zuerst mal anderweitig drauf kommen muss, soweit ich gelesen habe.

Nichts desto trotz können natürlich bei jeder Hardware jederzeit sicherheitsrelevante Bugs entdeckt werden.

Aber im Moment *Meinen Ryzen tätschel*

 

[razzor1984]

Prinzipiell liegst du richtig, es ist ein Unding was Firmen wie Samsung & Co. hier abziehen. Die Situation hat sich zumindest durch Googles Bemühungen die Sicherheitsupdates herstellerunabhängig auszurollen verbessert, aber es ist trotzdem noch ein langer Weg. Auch bis die ganzen EOL-Geräte tatsächlich mal verschwinden. An sich ist Android ein sehr sicheres mobiles Betriebssystem und auch von der Sicherheits-Architektur her durchdacht - der "Freiheitsgedanke" ist hier das "Problem". Würde Google den Sack tatsächlich zumachen, und die Installation von unsignierter Software (aus fremden AppStores) verbieten, hätten sie schlagartig eine Menge Probleme gelöst und würden schnell das Sicherheitsniveau von Apple erreichen. Die allermeiste Malware für Android kommt aus inoffizellen AppStores (China!) und raubkopierter oder gecrackter Software, die hauptsächlich auf hoffnungslos veralteten und ungepatchten Geräten installiert wird. Anders formuliert: Das beste Sicherheitssystem der Welt hilft dir nicht viel, wenn der Benutzer wie ein Schimpanse alles herunterlädt und installiert, was er in die Finger bekommt. Oft argumentiert, aber unwahr: Apples iOS ist ja soviel sicherer - wäre das wahr, gäbe es keine Jailbreaks, die zumeist auf Privilege Escalation durch Buffer Overflow resultieren Im Endeffekt ist dasselbe wie mit dem Vergleich zwischen Windows und Mac - iOS und MacOS sind geschlossene Systeme, in denen Apple vorschreibt, wie das System zu nutzen ist, während man bei Windows/Android das System so nutzen kann wie man möchte (was das Herunterladen und Installieren von Mist einschließt).

Das generelle Grundproblem liegt m.m im umgang mit den socs. Google hat mächtig druck ausgeübt das die 4.4 version vom linux Kernel LTS support bekommt. Der Snapdragon 830 ist dadurch hoch im kurs, da dieser nun fix kernel updates bis ~ 2021/22 bekommt. Das maintainen alter kernel ist als Firma offt gar nicht möglich, da der Aufwand zu groß wird, deswgen werden dann die Geräte EOL.Wenn ein neuer Soc entwickelt wird steckt der dann einfach auf kernel x.xx fest updaten geht leider nicht, wegen den unterschiedlichen socs (die sind einfach zu unterschiedlich)
Nehmen wir mal mein nexus 7 heran aus 2012 - ich kann mir meinen Kernel selber patchen und das lineage dazu auch gleich kompelieren, sonst kann ich es einfach gleich wegwerfen. Rein vom speed her rennt 7.1 sehr flüssig darauf.

Noch ein paar Dinge generell zu Android, Google hat den playstore nicht unter kontrolle.Man kann noch immer Schadsoftware hochladen, wenn diese gut programmiert ist und die bösartigen Teile einfach nachlädt. Trifft leider noch immer zu.(Das kaputte Rechtesystem ist ja auch nochmal ein sepperater Punkt)
Ob man in zukunft noch so leicht den Bootloader öffnen kann ist fraglich, es wir leider eher in richtung Apple gehn und das heißt dann leider Playstore und GCM.

 

[EnemyZer0]

Nö, das heißt nicht, dass Ryzen nicht betroffen ist, sondern das der gegenwärtige Exploit derzeit nicht bei Ryzen funktioniert. Meltdown ist eine auf Intel CPUs spezialisierte Variante von Spectre, AMD wurde nicht so intensiv getestet .... .

Von Meltdown sind nur Intel CPU betroffen und bei Spectre sind ebenfalls Intel CPU betroffen. Bei AMD ist im Moment nur ein Spectre Fehler bekannt!

Lese bitte die News richtig durch, dass ist sehr gefährliches Halbwissen, was Du von Dir gibst.

Man könnte Dir sonst unterstellen, dass Du die Gefahr, die im Moment von Intel CPUs kommen relativieren möchtest.

 

[fotoman]

Das maintainen alter kernel ist als Firma offt gar nicht möglich, da der Aufwand zu groß wird, deswgen werden dann die Geräte EOL.

Das mag für China-Klitschen gelten, die sowieso nur Wegwerfware produzieren.. Aber was soll für Weltfirmen wie Samsung, Lenovo und co unmöglich sein, wenn es selbst die Community ohne vollständige Infos zur HW hin bekommt? Man muss es halt einfach mit einpreisen und als Grundprinzip für alle neuen Geräte in die Entwicklung aufnemen. Dann gibt es halt nicht pro Jahr 10 neue Geräte mit 10 unterschiedlichen SOCs, sondern nur wenige neue Basisdesigns mit nahezu identischem SOC und unterschiedlicher Ausstattung/Leistungsfähigkeit.

Das ganze hat nur zwei Probleme: die meisten Kunden wollen es nicht und die Hersteller meinen immer noch, dass sie mit neuen Geräten mehr verdienen wie mit (u.U. sogar zu zahlenden) Updates.

Von Meltdown sind nur Intel CPU betroffen und bei Spectre sind ebenfalls Intel CPU betroffen. Bei AMD ist im Moment nur ein Spectre Fehler bekannt!

Du schreibst es doch selber "bekannt". Wie lange war der Fehler für Intel nicht öffentlich bekannt? Wurde er wirklich erst Mitte 2017 entdeckt oder ist es u.U. auch eine von vielen Lücken, die bis dahin schlicht nicht öffentlich bekannt wurde. Vorhanden ist sie jedenfalls seit vielen Jahren. Aber freue Dich darüber, dass bei AMD noch kein vergleichbarer Fehler öffentlich bekannt ist. Das ist dann ja mit Sicherheit der Beweis, dass es keinen gibt und keiner sowas ausnutzen könnte.

 

[razzor1984]

Das mag für China-Klitschen gelten, die sowieso nur Wegwerfware produzieren.. Aber was soll für Weltfirmen wie Samsung, Lenovo und co unmöglich sein, wenn es selbst die Community ohne vollständige Infos zur HW hin bekommt? Man muss es halt einfach mit einpreisen und als Grundprinzip für alle neuen Geräte in die Entwicklung aufnemen. Dann gibt es halt nicht pro Jahr 10 neue Geräte mit 10 unterschiedlichen SOCs, sondern nur wenige neue Basisdesigns mit nahezu identischem SOC und unterschiedlicher Ausstattung/Leistungsfähigkeit.

Das ganze hat nur zwei Probleme: die meisten Kunden wollen es nicht und die Hersteller meinen immer noch, dass sie mit neuen Geräten mehr verdienen wie mit (u.U. sogar zu zahlenden) Updates.

Welchen negativen Folgen hat ein steinzeit patch level ? sicher du bist verwundbar gegen eine massige anzahl an CVs im kernel so wie im android selber, nur die webseiten laden alle noch, auch die apps lassen sich installieren.
Der Normale user weiß genau nichts davon, es funktioniert und das macht es.

Samsung und Lenovo rechnen einfach, wozu patchen wenn ich dem Kunden um Summe x etwas neues andrehen kann! Das ist simple Marktwirtschaft
(wie viel würde das patchen eines alten 3.xx kernel dem Konzern kosten? - jedes Summe die da steht ist dem zu hoch, weil er hat das Produkt verkauft und das wars...)

Deine Idee der Reglementierung der scos, würde in der Wirtschaft unter eine gewagte "Marktregulation" fallen Weiters würdes du den Staaten die ganzen normalen cvs zu nichten machen.Wenn man schon alles End to end verschüsselt, dann sind Zero days verdammt teuer, wenn man doch das gleiche mit ner dirty cow machen kann

 

[DKK007]

Wobei man auch einfach neue Kernel ausliefern kann. Meistens kommen sogar noch neue oder bessere Treiber dazu.

 

[razzor1984]

Wobei man auch einfach neue Kernel ausliefern kann. Meistens kommen sogar noch neue oder bessere Treiber dazu.

Einfach sicher nicht!
Der android kernel ist sehr weit weg vom Basic tree des normalen linux Kernels. Das ist ja das Problem der Socs. Die vielen unterschiedlichen treiber, die nicht immer alle offen sind.
Technisch machbar ist es, nur steht der Aufwand in keiner Relation für eine Firma. Es wäre schon super wenn die alten Kernel wenigsten durchgepatched werden!

Edit: Durch die vielen unterschiedlichen Treiber der verschiedenen Socs steigt auch die Komplexität enorman an, auch ein Grund warum die Kernel maintainer das nicht mehr packen.
Schaut euch die Cv page von Lineage an, es wird zwar explizit darauf hingewiesen, dass die cve patch Logs des Kernel X.XX nicht der Realität entsprechen, nur weiß man dann nie so genau was nun gepatched ist und was nicht !