Spectre: AMD benötigt auf Windows Microcode-Updates, auf Linux nicht

[lutari]

AW: Spectre: AMD benötigt auf Windows Microcode-Updates, auf Linux nicht

Ich behaupte nichts, was ich nicht belegt habe.

Dann lies dir nochmal deine Beiträge durch. Als Beispiel nimm die ersten beiden Beiträge aus dem Thread.

Was aber gar nicht geht, sind Parteinahmen jedweder Art, die Lesern, die ziemlich sicher nicht dazu bereit sind, ihre Sicherheit und ihr Geld diesem "Info- und Markenkrieg" zwischen den Fans zu opfern, falsche Sicherheit vorgegaukelt wird.
Es gibt kein "bisschen" oder "weniger große" Sicherheitslücke, wie es eben auch nicht "bisschen" oder "wenig" schwanger gibt.

Dazu gehört auch ein Versuch die Sicherheitslücke einzuordnen und das Risiko abzuschätzen. Ein 100% sicheres System existiert nicht und finanzielle Mittel sind begrenzt. Also versucht man für sich ein akzeptables Sicherheitsniveau für die eigenen vorhanden Mittel zu schaffen. Es gibt zig theoretische Sicherheitslücken in PCs, Software, ... und wenn man deinen Schritt konsequent umsetzt, dann führt es zu nichts sinnvollen. Spectre und Meltdown wird bestimmt auch nicht die letzte Lücke sein.
Ich habe kein Problem mit anderen Meinungen, wenn sie gut argumentiert sind, aber qualitativ ordne ich deine Artikel als überhaupt nicht hilfreich und schlecht ein. Du verwirrst damit nur Personen und das ist fast immer kontraproduktiv.

"Schwierig" liegt im Auge des Betrachters. Nur ein "nicht durchführbar" brächte die Entwarnung. Die gibt es aber nicht.

Du willst die Nichtexistenz von Sicherheitslücken beweisen? Dann viel Spaß dabei.

 

[Tim1974]

AW: Spectre: AMD benötigt auf Windows Microcode-Updates, auf Linux nicht

Angeblich liefert Intel auch bald eine hardwareseitige Lösung:
Intel verspricht neue, sichere CPUs fur 2018 – Hartware

Ich hoffe sehr, daß AMD es ebenso oder noch besser machen wird.

 

[Taskmaster]

AW: Spectre: AMD benötigt auf Windows Microcode-Updates, auf Linux nicht

Dann lies dir nochmal deine Beiträge durch. Als Beispiel nimm die ersten beiden Beiträge aus dem Thread.

Getan. Ich habe gleich mit zwei Artikeln meinen Kommentar belegt. Du hingegen hast unbelegt behauptet, dass quasi aus reiner Selbstlosigkeit seitens AMD gepatcht wird. Eigentlich ja total unnötig, da AMD alles für total unwahrscheinlich ausgibt (klar, und Diesel ist neuerdings umweltfreundlich), aber weil man eben grad nichts zu tun hat...
Ja warum denn auch nicht?
Es gibt Einfallstore, sie müssen geschlossen werden. Die Wahrscheinlichkeit, dass einer der 7mrd. Menschen auf diesem Planeten innerhalb der nächsten Monate/Jahre auf den "Kniff" kommt, wie Spectre 2 auf betroffenen AMD-CPUs auszuführen ist, ist eben bei weitem nicht 0.
Es ist "schwierig" (Mark Papermaster, Senior Vice President and Chief Technology Officer: "GPZ Variant 2 (Branch Target Injection or Spectre) is applicable to AMD processors. ... we believe that AMD’s processor architectures make it difficult to exploit Variant 2."), das ist alles.

Dazu gehört auch ein Versuch die Sicherheitslücke einzuordnen und das Risiko abzuschätzen. Ein 100% sicheres System existiert nicht und finanzielle Mittel sind begrenzt. Also versucht man für sich ein akzeptables Sicherheitsniveau für die eigenen vorhanden Mittel zu schaffen. Es gibt zig theoretische Sicherheitslücken in PCs, Software, ... und wenn man deinen Schritt konsequent umsetzt, dann führt es zu nichts sinnvollen. Spectre und Meltdown wird bestimmt auch nicht die letzte Lücke sein.
Ich habe kein Problem mit anderen Meinungen, wenn sie gut argumentiert sind, aber qualitativ ordne ich deine Artikel als überhaupt nicht hilfreich und schlecht ein. Du verwirrst damit nur Personen und das ist fast immer kontraproduktiv.

Diese Sicherheitslücke ist nicht theoretisch. Sie ist auch keine Sicherheitslücke. Es handelt sich bei Spectre und Meltdown um konkrete Angriffsmuster, die Konzeptmängel ausnutzen. Diese gibt es sowohl bei Intel als auch bei AMD und ARM. Sie sind ganz offen nachzulesen und für jeden (der es möchte) nachzuvollziehen.
Das Angriffsmuster "Spectre 2" muss "nur" entsprechend auf AMD-CPUs umgestellt werden. Wie gesagt: "schwierig", aber eben nicht unmöglich.
Das Tolle an der Informatik ist nämlich, dass das mit gar keinem großen finanziellen Aufwand machbar ist. Es braucht nur den richtigen Kopf mit der richtigen Idee.

Du willst die Nichtexistenz von Sicherheitslücken beweisen? Dann viel Spaß dabei.

Nein, wieder zeigst du, dass du die Grundlage des Sachverhalts nicht verstehst. Es muss die Nichtdurchführbarkeit des Angriffsvektor bewiesen werden, um Entwarnung geben zu können. Das Vorgehen nach Spectre darf zu keiner Einbruchsmöglichkeit führen.
Das kann AMD aber nicht ("GPZ Variant 2 (Branch Target Injection or Spectre) is applicable to AMD processors.", Spectre 1 ebenfalls), eine Anfälligkeit wird als gegeben angesehen. Bei Intel ist der Angriff sogar bereits durchführbar.
Es geht hier nicht um einen versehentliche Fehler, die üblicherweise zu Sicherheitslücken führen.
Spectre (und zusätzlich Meltdown bei Intel) sind Angriffe, die auf einem Konzeptmangel aufsetzen (der dafür jedoch die Geschwindigkeitszuwächse der letzten Jahre ermöglichte).

 

[Tekkla]

AW: Spectre: AMD benötigt auf Windows Microcode-Updates, auf Linux nicht

Angeblich liefert Intel auch bald eine hardwareseitige Lösung:
Intel verspricht neue, sichere CPUs fur 2018 – Hartware

Ich hoffe sehr, daß AMD es ebenso oder noch besser machen wird.

Ich bin bei dieser Ankündigung einer In-Silizium-Lösung sehr skeptisch. Warum? Wäre es so einfach, dann hätte Intel das schon mit CL machen können. Wurde es aber nicht. Begründung: Es dauert Jahre sowas zu entwickeln, zu testen und dann auch in der Masse aus zu rollen. Jetzt, also knapp 1 Monat nach Bekanntwerden der Probleme, so eine Lösung noch für 2018 zu bewerben, ist angesichts der bereits genannten Entwicklungszeiten und des aktuellen Updatedesasters - selbst nach einem halben Jahr der Arbeit an den Symptomen - in meinen Augen sehr fragwürdig. Ich würde mich freuen, wenn es gelinge. Große Hoffnung habe ich da aber nicht. Ich sortiere das erstmal in die Ecke "Weitere Nebelkerze" ein.

 

[45thFuchs]

AW: Spectre: AMD benötigt auf Windows Microcode-Updates, auf Linux nicht

@yummycandy :
So war das auch nicht gemeint. Es ist nur da man 10 seiten Unsinn liest und es uns allen nichts bringt so.Alle Out Of Order haben ein problem .
Es geht um 95% der beiträge die hier einen krieg starten,obwohl alle betroffen sind.
Anderseits ,der CCC hat euch alle,auch mit Avira oder sonst was.
Ich verstehe die Panik, Fanboys und user nicht in diesem thread.
Spectre braucht ein Rechencentrum mit Genialen usern,Euer pc kann Garantiert nicht in Echtzeit pingen.
Dann braucht es Internet das so nicht mal an der Uni existiert...
Wollt ihr mit euren Diskussionen jetzt nur alle Verarschen? Es braucht sogar mehr als einen Superrechner heutiger GEHEIMDIENSTE!
Glaubt ihr wirklich wir brauchen die Tiefste ihr wisst schon eurer CPU?
Selbst mit scanner ist Windows das Opfer.
Kommt mal runter mit dieser Diskussion ,ARM war mal deutlich schwerer!
#wasthenewshit

 

[Tekkla]

AW: Spectre: AMD benötigt auf Windows Microcode-Updates, auf Linux nicht

Spectre braucht ein Rechencentrum mit Genialen usern,Euer pc kann Garantiert nicht in Echtzeit pingen.
Dann braucht es Internet das so nicht mal an der Uni existiert...
Wollt ihr mit euren Diskussionen jetzt nur alle Verarschen? Es braucht sogar mehr als einen Superrechner heutiger GEHEIMDIENSTE!

Äh, nö?

 

[lutari]

AW: Spectre: AMD benötigt auf Windows Microcode-Updates, auf Linux nicht

Spectre braucht ein Rechencentrum mit Genialen usern,Euer pc kann Garantiert nicht in Echtzeit pingen.
Dann braucht es Internet das so nicht mal an der Uni existiert...

Ich verstehe kein Wort von dir. Es gibt bereits PoC zu Spectre und theoretisch braucht es für einen erfolgreichen Angriff auch nur Javascript.
Was soll mein Rechner in Echtzeit pingen?

 

[45thFuchs]

AW: Spectre: AMD benötigt auf Windows Microcode-Updates, auf Linux nicht

Wie soll man denn etwas sinnvolles aus dem Cache auslesen wenn es nicht mit Taktgeschwindigkeit gemacht wird?
Es würden nur unnütze Datenfragmente dabei rauskommen,und der Cache beschreibt sich je nach level mit jedem Takt neu wenn er Anlass dazu sieht?
Das man darauf zugreifen kann ist bewiesen,aber etwas sinnvolles damit anstellen,glaube ich nicht.

Toller link von heise.de

Aber das Foto vom memory dump ist nunmal von HDD,nicht aus der CPU.
Das meltdown.pdf werde ich mir aber heute nachmittag mal reinziehn

 

[yummycandy]

AW: Spectre: AMD benötigt auf Windows Microcode-Updates, auf Linux nicht

Toller link von heise.de

Kennst du den Autor?

 

[Taskmaster]

AW: Spectre: AMD benötigt auf Windows Microcode-Updates, auf Linux nicht

@45thFuchs
Es geht ja auch nicht darum, bspw. deine (hier einmal hypothetisch angenommene) illegale 10 TiB Videosammlung per Spectre zu kopieren.
Es geht um Zugangsdaten aller Art. Die Videosammlung (so du nicht viel interessantere Dinge besitzt) holt man sich dann über den so ergatterten Zugang zu deiner Infrastruktur. Sehr beliebt dürften wohl vor allem so "Unwichtigkeiten" wie Kreditkarteninfos, Paypal-Zugangsdaten, usw. usf. sein, die du während des Angriffs in die Tastatur haust.
Das muss auch nicht in wenigen Sekunden ablaufen. Spectre hat nämlich viel Zeit, weil ihn kein Virenscanner in der Praxis abwehren (ja nicht mal erkennen) kann, kein User bemerkt, dass er attackiert wird.

Es gibt keinen Weg, die Sache komplett zu verbannen, ohne sich massiv einzuschränken (bspw. das Netzwerkkabel durchbeißen/ein Nilpferd auf die WLAN-Antenne setzen).
Die kommenden Microcode-Updates gegen Spectre sind Teil einer Eindämmungsstrategie. Leider sind es aber auch genau die Maßnahmen, die den CPUs in einigen Szenarien ziemlich Leistung rauben.
Deswegen waren ja so viele AMD-Kunden glücklich, als sie hörten, dass das Microcode-Update nur "optional" sei. Nun ist es das aber ganz offiziell auch für diese nicht mehr [unter Windows ist es Pflicht, aber auch für Linux ist das Update alles andere als überflüssig].
Wer sich bestmöglich (was auch immer das in diesem Fall bedeutet) schützen möchte, wird Leistung verlieren, egal welchem Chiphersteller er vertraut hat, alle sind betroffen.

 

[openSUSE]

AW: Spectre: AMD benötigt auf Windows Microcode-Updates, auf Linux nicht

...Nein, wieder zeigst du, dass du die Grundlage des Sachverhalts nicht verstehst. Es muss die Nichtdurchführbarkeit des Angriffsvektor bewiesen werden, um Entwarnung geben zu können. Das Vorgehen nach Spectre darf zu keiner Einbruchsmöglichkeit führen.
Das kann AMD aber nicht ("GPZ Variant 2 (Branch Target Injection or Spectre) is applicable to AMD processors.", Spectre 1 ebenfalls), eine Anfälligkeit wird als gegeben angesehen. Bei Intel ist der Angriff sogar bereits durchführbar.
Es geht hier nicht um einen versehentliche Fehler, die üblicherweise zu Sicherheitslücken führen.
Spectre (und zusätzlich Meltdown bei Intel) sind Angriffe, die auf einem Konzeptmangel aufsetzen (der dafür jedoch die Geschwindigkeitszuwächse der letzten Jahre ermöglichte).

Du Verstehst es aber auch nicht. @Spectre 2 ist die "Nichtdurchführbarkeit" selbst bei Intel+Microcode-Update+WindowsPatch nämlich auch nicht bewiesen. Sie ist damit für Intel nur unwahrscheinlicher als vorher. Also dann wohl "near-zero risk" *lach*

Deswegen waren ja so viele AMD-Kunden glücklich, als sie hörten, dass das Microcode-Update nur "optional" sei. Nun ist es das aber ganz offiziell auch für diese nicht mehr [unter Windows ist es Pflicht, aber auch für Linux ist das Update alles andere als überflüssig].
Wer sich bestmöglich (was auch immer das in diesem Fall bedeutet) schützen möchte, wird Leistung verlieren, egal welchem Chiphersteller er vertraut hat, alle sind betroffen.

Für Spectre 2 ist und bleibt es bei AMD auch unter Windows optional.

 

[Taskmaster]

AW: Spectre: AMD benötigt auf Windows Microcode-Updates, auf Linux nicht

Ich wüsste nicht, dass ich auch nur an einer einzigen Stelle erklärt hätte, dass die Updates das Problem beseitigen.
Ganz im Gegenteil. Ich spreche von "Eindämmungsmaßnahmen", davon, dass es keinen Weg gibt, die Sache völlig los zu werden, als das Netzwerkkabel durchzubeißen, etc. pp.
Spar dir endlich diese "Fanboy"-Unterstellungen durch die Blume. Es ödet an.

Für Spectre 2 ist das Update nicht optional. Versuch zumindest die News zu lesen, in deren dazugehörigen Thread zu antwortest:

Die in Windows umgesetzte Lösung - in dem Papier als V2-4 (vierte Variante, die gegen den Spectre-2-Angriff wirkt) bezeichnet - benötigt allerdings ein Microcode-Update. V2-4 fügt Indirect Branch Control in die x86-Befehlssatzarchitektur ein, die mittels der drei Feature Indirect Branch Prediction Barrier, Indirect Branch Restricted Speculation und Single Thread Indirect Branch Predictors eingeführt wird, welche neue CPU-Befehle erfordern. Ein Problem dieser Lösung ist, dass sie nur bei einer begrenzten Anzahl von aktuellen AMD-Prozessorprodukten funktioniert und ein Microcode-Update benötigt. Welche Produkte nicht mit diesem Ansatz geschützt werden können, wird von AMD nicht ausgeführt.

Du darfst natürlich weiterhin ohne herumlaufen.

Das ist echt nicht mehr zum aushalten.

 

[openSUSE]

AW: Spectre: AMD benötigt auf Windows Microcode-Updates, auf Linux nicht

Ich wüsste nicht, dass ich auch nur an einer einzigen Stelle erklärt hätte, dass die Updates das Problem beseitigen.
Ganz im Gegenteil. Ich spreche von "Eindämmungsmaßnahmen", davon, dass es keinen Weg gibt, die Sache völlig los zu werden, als das Netzwerkkabel durchzubeißen, etc. pp.
Spar dir endlich diese "Fanboy"-Unterstellungen durch die Blume. Es ödet an.

Für Spectre 2 ist das Update nicht optional. Versuch zumindest die News zu lesen, in deren dazugehörigen Thread zu antwortest:



Du darfst natürlich weiterhin ohne herumlaufen.

Das ist echt nicht mehr zum aushalten.

..benötigt allerdings ein Microcode-Update..
Microsoft liefert die nicht aus und AMD macht dies Optional. Was verstehst du daran nicht? Wirklich so schwer?

Und zu deinem sonstigen blabla was du gegen AMD ins Feld geführt hast

Es muss die Nichtdurchführbarkeit des Angriffsvektor bewiesen werden,

Wo beweist dies Intel nach der Patch-Orgie?

 

[Taskmaster]

AW: Spectre: AMD benötigt auf Windows Microcode-Updates, auf Linux nicht

Letzte Erklärung, dann belasse ich dich in deinem Fanclub-Himmel.
Wer die Schutzmaßnahmen unter Windows nutzen möchte (also bei guter geistiger Gesundheit ist), benötigt die Microcode-Updates, weil sonst der CPU die nötigen Befehle fehlen, um die von MS ausgelieferten Patches zu nutzen. Wer sie nicht einspielt, ist den Dingen, die da kommen, absolut ausgeliefert.
Das gilt sowohl für AMD, als auch für Intel. AMD macht das nicht mehr optional, es wird benötigt. Bei AMD behält man sich (ähnlich Intel) jedoch vor, ob und welche CPUs MC-Updates erhalten (zumal diese wohl auch nicht bei jeder CPU so leicht umzusetzen sind).
Es sitzen also (wie nun 1000mal gesagt) alle im selben Boot.

Und um es dir nun auch noch mal zum 1000 zu erklären: Spectre bleibt erhalten. Auch NACH den Patches. Denn diese Angriffsmuster setzen auf einem Designmangel auf.
In der Tat kann man es den Angreifern nur so schwer wie irgend möglich machen.
Spectre (und auch zusätzlich Meltdown bei Intel) wird man erst los sein, wenn dementsprechend überarbeitete CPU-Architekturen erscheinen.

Du darfst natürlich mit deinem PC treiben, was du möchtest. Soll mir völlig egal sein. Der Rest hat jetzt wohl oft genug gelesen, wie die Sachlage aussieht.

Viel Spaß dann noch im Wunderland der langen Leitungen.

 

[openSUSE]

AW: Spectre: AMD benötigt auf Windows Microcode-Updates, auf Linux nicht

Für dich auch nochmal.
Intel schließt jetzt eine konkrete Sicherheitslücke (Spectre2) mit MicrocodeUpdates, ob sie dann gegen artverwandte/abgewandelte (Spectre2.1,2.2,...) sicher sind kann jetzt niemand (auch Intel) nicht mit 100% Sicherheit sagen.
AMD hat jetzt keine konkrete Sicherheitslücke (Spectre2), ob sie gegen artverwandte/abgewandelte (Spectre2.1,2.2,...) sicher sind kann jetzt niemand (auch AMD) nicht mit 100% Sicherheit sagen.

 

[Taskmaster]

AW: Spectre: AMD benötigt auf Windows Microcode-Updates, auf Linux nicht

Spectre 2 ist noch immer keine Sicherheitslücke, sondern ein konkretes Angriffsmuster.
Intel und AMD unterbinden mit dem Microcode-Update diese Angriffsmöglichkeit nicht.
Das wäre nur möglich, wenn man die entsprechenden Funktionseinheiten deaktivieren würde.

Sie bleiben aber aktiviert. Deswegen reicht der OS-Patch von MS + MC-Update auch nicht aus. Jedes eingesetzte Programm muss die neuen Befehle aus dem Microcode anwenden, sonst bleibt die Anfälligkeit.

Thread lesen, alles bereits (x-fach) diskutiert.

Die Microcode-Updates arbeiten mit der Software zusammen. Ein Schutzansatz (Retpoline) trickst die Sprungvorhersage aus, um Spectre auszuhebeln und kann rein in Software implementiert werden. Die Lösung wurde für den Linux-Kernel angewendet. Eine andere nutzt eine Befehlssatzerweiterung, die dem Betriebssystem direkte Kontrolle über Teile der Sprungvorhersage bietet und erfordert somit CPUs respektive Microcode-Updates, die diese neuen Befehle beinhalten. Microsoft nutzt zumindest im Moment letztere Variante, so dass Windows auf angepasste Hardware angewiesen ist. Wie oben schon dargelegt, gilt dies aber nur für die Betriebssysteme selbst. Gegen Spectre muss aber auch jede einzelne Anwendung geschützt werden, so dass Linux-PCs gegebenenfalls auch neuen Microcode brauchen.

Die bisherigen x86-Befehlssätze sehen keine direkte Kontrolle der Sprungvorhersage durch Software vor. Es handelt sich auch um eine geradezu absurde Situation: Man hat ein Bauteil, dass aus Sicht der Software vollkommen unsichtbar agiert und in seiner Arbeit gar nicht auf explizite Software-Anweisungen warten kann und jetzt möchte/muss man diesem Bauteil auf einmal direkt Befehle erteilen.

Und nun wirklich... echt jetzt. Feierabend.

/edit:
Ich habe es jetzt auch schon 5mal gebracht, aber zum Ende eben noch mal:
Entgegen deinen Behauptungen:

* Google Project Zero (GPZ) Variant 1 (Bounds Check Bypass or Spectre) is applicable to AMD processors.

* GPZ Variant 2 (Branch Target Injection or Spectre) is applicable to AMD processors.

While we believe that AMD’s processor architectures make it difficult to exploit Variant 2, we continue to work closely with the industry on this threat.

AMD Processor Security | AMD

AMD ist betroffen (Spectre 1 & 2), sie halten den Angriff nach Variante 2 lediglich für "schwierig" (Aber was heißt das schon? PR-Speech eben.). Bei Variante 1 spart man sich sogar das Herunterspielen und verweist gleich auf die Patches.

 

[openSUSE]

AW: Spectre: AMD benötigt auf Windows Microcode-Updates, auf Linux nicht

AMD ist betroffen, sie halten den Angriff lediglich für "schwierig" (Aber was heißt das schon? PR-Speech eben.)

Ist es auch, du kannst nunmal bei AMD die branch prediction nicht in der Weise austricksen wie es bei Intel möglich ist und damit erst Spectre 2 auf Intel ermöglicht.
Ledeglich ist gut, bis jetzt hat es immer noch keiner geschaft. Und ob Intel mit MicrocodeUpdate besser dastehen wird, steht ja auch noch nicht fest.

 

[Tim1974]

AW: Spectre: AMD benötigt auf Windows Microcode-Updates, auf Linux nicht

Nach 12 Seiten und unzähliger Infos zu dem Thema, muß ich gestehen etwas den Überblick zu verlieren, zumal nun ja auch noch von Spectre 2 usw. die rede ist.

Kann man denn abschließend wenigstens sagen, daß die aktuelle Sicherheitslage mit einer AMD Ryzen CPU besser zu beurteilen ist als mit einer Intel Core CPU der Coffeelake-Generation?

 

[Taskmaster]

AW: Spectre: AMD benötigt auf Windows Microcode-Updates, auf Linux nicht

Ist es auch, du kannst nunmal bei AMD die branch prediction nicht in der Weise austricksen wie es bei Intel möglich ist und damit erst Spectre 2 auf Intel ermöglicht.
Ledeglich ist gut, bis jetzt hat es immer noch keiner geschaft. Und ob Intel mit MicrocodeUpdate besser dastehen wird, steht ja auch noch nicht.

Naiv. Das Wissen um diese Angriffe ist kaum einen Monat in der Welt. Schwierige Umsetzungen dauern. "... bis jetzt keiner geschafft" hat da keinerlei Aussagekraft. In dem halben Jahr Geheimhaltung ging es nicht darum, Schadcode zu schreiben und fertige Maleware zu präsentieren. Das Gros der Eingeweihten wurde auf die Lösung angesetzt. Die, die sich auf die schädliche Anwendung konzentrieren, arbeiten somit erst seit einem Wimpernschlag daran. Die Beute lockt, denn kaum ein PC wird sämtliche Software in naher Zukunft in gesicherten Versionen einsetzen. Wie auch? Die Microcode-Updates sind ja noch nicht mal zu beziehen und keiner weiß, wann sie denn endlich (fehlerfrei) erscheinen und welche Prozessoren abgedeckt werden.
Der Angriff muss für AMD umgestellt werden und ja, bei Intel ist es einfacher.
Letztendlich ist es aber (wie schon x-fach gesagt) ein Faktor von Zeit und Kreativität. So wie bei all den anderen angeblich nicht zu bewerkstelligenden (und doch durchgeführten) Hacks dieser Welt.

Ohne MC-Update ist man unter Windows definitiv ungeschützt. Ohne aktualisierte Software nutzt auch das MC-Update nichts.
Sowohl bei AMD als auch bei Intel.

(Jaja, ich wollte nicht mehr Antworten, aber da das Thema so exorbitant wichtig ist, musste das dann doch noch mal raus.)

Nach 12 Seiten und unzähliger Infos zu dem Thema, muß ich gestehen etwas den Überblick zu verlieren, zumal nun ja auch noch von Spectre 2 usw. die rede ist.

Kann man denn abschließend wenigstens sagen, daß die aktuelle Sicherheitslage mit einer AMD Ryzen CPU besser zu beurteilen ist als mit einer Intel Core CPU der Coffeelake-Generation?

Nein, kann man nicht.
AMD ist gegen Spectre 3 und Meltdown immun. Spectre 1 wurde per MS-Patch wohl ganz gut gekittet.
Intel ist gegen alle Spectre-Angriffe + Meltdown anfällig. Jedoch wurde auch dort durch MS gepatcht. Die Sicherheitslage ist deswegen recht ähnlich.
Meltdown ist abgedichtet, Spectre 1 ist wie bei AMD zu.
Das Problem ist und bleibt bei beiden Spectre 2!
Denn um Spectre 2 abzuwehren, sind aufwändige Änderungen notwendig. Wirklich sicher wird man erst mit überarbeiteten Architekturen sein.

 

[lutari]

AW: Spectre: AMD benötigt auf Windows Microcode-Updates, auf Linux nicht

Nach 12 Seiten und unzähliger Infos zu dem Thema, muß ich gestehen etwas den Überblick zu verlieren, zumal nun ja auch noch von Spectre 2 usw. die rede ist.

Kann man denn abschließend wenigstens sagen, daß die aktuelle Sicherheitslage mit einer AMD Ryzen CPU besser zu beurteilen ist als mit einer Intel Core CPU der Coffeelake-Generation?

Leider gibt es bei dem Thema einige Unbelehrbare und somit artet es zu Unsinn aus.

Wenn man sich die aktuell verfügbaren Fakten ansieht, dann wissen wir aktuell nur wenig.
Hilfreich finde ich das Interview von Daniel Gruß (TU Graz) bei Golem.
'Bei Spectre habe ich geringes Vertrauen in die Softwarelosungen' - Meltdown und Spectre: "Dann sind wir performancemassig wieder am Ende der 90er" - Golem.de

Ohne PoC würde ich nicht einfach irgendwelche Behauptungen in die Welt setzen.
Selbst diese Microcode-Updates werden vermutlich keine 100% Sicherheit bieten und es wären weiterhin Angriffe denkbar.
Ich glaube, dass uns Spectre noch einige Jahre begleiten wird.

AMD hat einen recht geringen Markanteil und somit ist er als Ziel deutlich uninteressanter. Deswegen glaube ich auch, dass man sich stärker auf Intel fokussieren wird. Viele ältere PCs werden sehr wahrscheinlich auch keine Updates erhalten und man weiß schon deutlich mehr über die Angriffsmöglichkeiten.
Laut dem letzten Stand hatte man bei AMD noch einige Probleme für einen erfolgreichen Angriff und war noch relativ weit weg. AMD wird bestimmt auch eigene Versuche durchgeführt haben. Dabei haben sie den Vorteil, dass sie deutlich mehr Informationen über die Architektur haben und somit Angriffe leichter durchführen können. Insgesamt sollte AMD hier mehr Informationen als der Rest dazu haben. Insgesamt sind Angriffe mit Spectre nicht unbedingt trivial.

Auch noch eine interessante Quelle:
What is Speculative Execution? - ExtremeTech
Dort wird auch das Problem erklärt und warum wir schwer darauf verzichten können.