Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

[DKK007]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Window7 bekommt den Patch nächste Woche. Wobei man natürlich nicht weiß, wer so alles bis zum Wochenende noch einen Exploit gebastelt hat. Die Geheimdienste werden ihre wohl schon seit Monaten, wenn nicht Jahren haben.

 

[Maverick3k]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Und das ist einer zuviel. Egal wie viele Lücken es gibt, so lange es eine gibt, ist das System unsicher

Sehe ich fast genauso. Ist der jenige in das System eingedrungen, spielt es letzten Endes keine Rolle mehr wie wieviele Bugs eine CPU oder Software hat - dann ist es spät. Und jemand, der sich Zugriff auf das System verschafft hat wird vermutlich durchaus dafür sorgen, dass er das immer wieder tun können wird.

 

[Linmoum]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Lies dir dann doch erstmal alles durch was Google da geschireben hat - ist zwar viel von dir erwartet, aber derzeit machst du genau das was ich gerade gebeten habe zu unterlassen:
Ohne jegliche Ahnung von der materie zu haben Lügen zu verbreiten.

In response to the vulnerabilities that were discovered we developed a novel mitigation called “Retpoline” -- a binary modification technique that protects against “branch target injection” attacks. We shared Retpoline with our industry partners and have deployed it on Google’s systems, where we have observed negligible impact on performance.

Retpoline -> Branch Target Injection (CVE-2017-5715) und damit Spectre.

Deine Aussage:

Spectre hingegen betrifft beinahe ALLE Cpus, auch AMD, hat ncihts mit irgendwlechen Einstellungen zu tun, kann Softwareseitig nur gemildert, nicht behoben, werden und sogar das kostet ordentlich leistung.

Schach und Matt. Ab ins Bett dann jetzt, ist schon spät. Sonst wird's noch peinlicher.

 

[Don-71]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Window7 bekommt den Patch nächste Woche. Wobei man natürlich nicht weiß, wer so alles bis zum Wochenende noch einen Exploit gebastelt hat. Die Geheimdienste werden ihre wohl schon seit Monaten, wenn nicht Jahren haben.

Eigentlich sind in Wirklichkeit die ganzen Cloud Anbieter die wirklich gelackmeierten von dem ganzen Echo, um diese Hardware Bugs, ich arbeite bei einem kleinen mittelständischen Unternehmen und unsere Chefin wurde auch dazu gedrängt unsere IT mehr oder minder in die Cloud auszulagern, wir haben sie damals vom Gegenteil überzeugt, was etwas teurer ist, aber wir unsere Daten selber Schützen können, denn unsere Datenserver sind nicht einfach im Netz und darauf Zugriff zu erlangen nicht so einfach, als wenn man bei einem Cloud Anbieter, Software Rechte auf einer VM hat und somit die Möglichkeit dort auszubrechen.

Das ist das eigentlich Schlimme an den BUGs und wird für die Branche durch das Medien Echo auch noch Konsequenzen haben.

Auf geschützte Server hinter Routern und Firewalls zu kommen, können zwar auch eine Menge Leute, aber eben nicht ganz so einfach.

 

[Rollora]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Es kann bei VMs zu Ausbruch verwendet werden. Bei normaler Software sind die üblichen Attacken zum Erlangen von Root-Rechten möglich.

Na dann für den privatuser fast völlig irrelevant

 

[DKK007]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Ist es nicht. Denn mit RootRechten kann Malware alles mögliche machen. Von Ransomeware über Bankingtrojaner und Bots ist alles machbar und wurde auch schon oft genug gemacht.

Wie sieht es mit VirtualBox aus? Braucht man da noch extra Patches?

 

[Don-71]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Weiß ich nicht, ob das für Apple Cloud User so irrelevant ist, einige bekannte Damen haben sich ja auch schon davon überzeugen können, dass ihre erotischen Selfies, die sie in einer vermeintlich sicheren Cloud abgelegt haben, plötzlich öffentlich zu sehen waren, weil der Cloudserver gehackt wurde. Insoweit kann das jeden privaten Cloud Benutzer treffen.

Von Firmen Daten in der Cloud ganz zu schweigen!

 

[Rollora]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Schau dir mal die 3. Erklärung an
Urban Dictionary: fanboi

"Deliberate mispelling of the word 'fanboy'"
Ah ok, also die eigentliche Schreibweise ist also mit y, aber man kanns natürlich absichtlich falsch schreiben, wenn man Konsolen liebt oder Apple Fans eins auswischen möchte (Bedeutung 4).
Ich bleibe da eher an der Zusammensetzung der 2 korrekten englischen Ausdrücke, aber danke wieder was gelernt

Und anspucken tue ich den Laden wegen des CL Launches. Das war für mich angesichts der Entwicklung eine reine Abzockernummer. Man wusste von einem massiven Sicherheitsproblem im CPU Design und hat trotzdem überhastet gelauncht.

Schon, aber WAS hätte man deiner Meinung nach im Bezug auf das Sicherheitsproblem anders machen sollen? Das ist meine konkrete Frage.
Du weißt ja wohl auch, dass die nötigen Änderungen in der Hardware, die das Problem reduzieren, Jahre dauern werden.

Window7 bekommt den Patch nächste Woche. Wobei man natürlich nicht weiß, wer so alles bis zum Wochenende noch einen Exploit gebastelt hat. Die Geheimdienste werden ihre wohl schon seit Monaten, wenn nicht Jahren haben.

Falls sie das überhaupt benötigen und nicht über das ins OS integrierte Backdoor (oder im Chip integrierte, von dem man aber nichts weiß) zugreifen

 

[Rollora]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Weiß ich nicht, ob das für Apple Cloud User so irrelevant ist, einige bekannte Damen haben sich ja auch schon davon überzeugen können, dass ihre erotischen Selfies, die sie in einer vermeintlich sicheren Cloud abgelegt haben, plötzlich öffentlich zu sehen waren, weil der Cloudserver gehackt wurde. Insoweit kann das jeden privaten Cloud Benutzer treffen.

Von Firmen Daten in der Cloud ganz zu schweigen!

Bei den bekannten Damen lag es aber an Passwort=Password und nicht wirklich an einem großen Hack AFAIR.
Aber ja schön, dass es hauptsächlich Clouds betrifft, wo doch heute alles in die Cloud soll

Ist es nicht. Denn mit RootRechten kann Malware alles mögliche machen. Von Ransomeware über Bankingtrojaner und Bots ist alles machbar und wurde auch schon oft genug gemacht.

Wie sieht es mit VirtualBox aus? Braucht man da noch extra Patches?

Wie du schon sagst, wurde schon zigtausende Male gemacht. Inwiefern ändert sich da also hier etwas für den Privatuser. Aufpassen hilft nicht mehr?

 

[yummycandy]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Stop mal, grundsätzlich betrifft das jede Art von Software, nicht nur VMs. Jedoch gibt es halt Software, die anfälliger für diese Art Bug ist und damit gefährdeter.

Wie du schon sagst, wurde schon zigtausende Male gemacht. Inwiefern ändert sich da also hier etwas für den Privatuser. Aufpassen hilft nicht mehr?

Man kann nicht aufpassen, man bekommt ja nichtmal mit, wenn was passiert ist, nur indirekt. Und natürlich die Üblichen Vorbeugungsmaßnahmen treffen, Updates installieren, etc...

 

[Rollora]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Stop mal, grundsätzlich betrifft das jede Art von Software, nicht nur VMs. Jedoch gibt es halt Software, die anfälliger für diese Art Bug ist und damit gefährdeter.



Man kann nicht aufpassen, man bekommt ja nichtmal mit, wenn was passiert ist, nur indirekt. Und natürlich die Üblichen Vorbeugungsmaßnahmen treffen, Updates installieren, etc...

Soweit klar, deshalb (wegen deines obigen Statements): ist es dem User möglich zu eroieren welche Software, Scripts, Aktivitäten anfälliger ist und diese soweit möglich zu meiden um ein Risiko zu minimieren?

 

[Don-71]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Ja aber um diese Hardware BUGs produktiv auszunutzen, musst du ja erstmal auf die "Maschine", bis jetzt musste man da erstmal durch Router und Firewalls, der Weg über eine VM mit Software Rechten, ist für mich eher neu.
Und wenn einer es durch Router und Firewalls schafft, braucht er bestimmt nicht diese Exploits für die CPU BUGs, dann hat er ganz andere Möglichkeiten.
Insoweit sind für mich die Cloud Anbieter, die wirklich gelackmeierten bei diesem Szenario hier.

 

[yummycandy]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Soweit klar, deshalb (wegen deines obigen Statements): ist es dem User möglich zu eroieren welche Software, Scripts, Aktivitäten anfälliger ist und diese soweit möglich zu meiden um ein Risiko zu minimieren?

Naja, grundsätzlich benutzt man ja nur Software, die man auch braucht, oder? Es hat nichts mit (z.B.) mysql vs. SQL Server zu tun, sondern mit der Art. Alles was vermehrt Syscalls aufruft, ist potentiell eher gefährdet. Das betrifft i.d.R. Spiele natürlich weniger.

 

[Casurin]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Retpoline -> Branch Target Injection (CVE-2017-5715) und damit Spectre.

Deine Aussage:

Schach und Matt. Ab ins Bett dann jetzt, ist schon spät. Sonst wird's noch peinlicher.

ja- a Schach matt- wirklich, für dich.
Lies dir doch bitte die Seiten mal wirklcih durch. oder ist es das due immer schon nach der Überschrift aufgibst?
Das ist eine Programmänderung für die jedes programm das geschützt werden soll abgeändert und neu kompilert werden muss. und dort wurde dann für die Leistungsmessung festgestellt das die Leistung ähnlich asufällt wie wim Falle einer vollständigen deaktivierung von branch-Prediction (was genau der Grund für Leistungseinbusen beim simplen meltdown fix ist)

Gratuliere - du hast einen Bericht von Google verlinkt der belegt das das genaue Gegenteil deiner Behauptungen zutrifft.

 

[yummycandy]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Man kann das alles blöd beschreiben, aber hier ist mal ein Beispielprogramm. Für die, die es verstehen: Spectre example code * GitHub

 

[DKK007]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Bei CB wurde das ganze als Browser-Simulation verlinkt: repl.it - DeliriousGreenOxpecker
RUN anklicken zum bequemen selber testen.
JS wird benötigt.

 

[yummycandy]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Bei CB wurde das ganze als Browser-Simulation verlinkt: repl.it - DeliriousGreenOxpecker
RUN anklicken zum bequemen selber testen.

Zu deiner Frage dort, läuft natürlich auf dem Server.

 

[DKK007]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Dann werde ich das mal auf meinem Netbook laufen lassen. Ist gerade das einzige Gerät mit Linux und damit einem GCC-Compiler in Reichweite.

 

[yummycandy]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Dann werde ich das mal auf meinem Netbook laufen lassen. Ist gerade das einzige Gerät mit Linux und damit einem GCC-Compiler in Reichweite.

Guck deine CFlags vorher an, -02 sollte nicht dabei sein.

 

[sterreich]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Na immerhin hast du dich mit deinen Lügen selbst entlarvt und man weiß jetzt, wie man dich einordnen kann. Du widersprichst hier gerade u.a. Googles Project Zero, die auf die Sicherheitslücken als erste aufmerksam geworden sind.

Mit der Aussage wäre ich vorsichtig. Laut Project Zero kamen sie am 1. Juni 2017 auf den Bug. Bei Springer ist das Paper der Forscher der TU Graz am 24. Juni online gegangen. Das legt die Vermutung nahe, dass sie schon um einiges früher draufgekommen sind. Sie haben auch mit Rodrigo Branco bei Intel zusammengearbeitet.
3,5 Wochen für ein Paper wären verdammt kurz. Vor allem der vor der Veröffentlichung übliche Peer-Review.

Eigentlich sind in Wirklichkeit die ganzen Cloud Anbieter die wirklich gelackmeierten von dem ganzen Echo, um diese Hardware Bugs, ich arbeite bei einem kleinen mittelständischen Unternehmen und unsere Chefin wurde auch dazu gedrängt unsere IT mehr oder minder in die Cloud auszulagern, wir haben sie damals vom Gegenteil überzeugt, was etwas teurer ist, aber wir unsere Daten selber Schützen können, denn unsere Datenserver sind nicht einfach im Netz und darauf Zugriff zu erlangen nicht so einfach, als wenn man bei einem Cloud Anbieter, Software Rechte auf einer VM hat und somit die Möglichkeit dort auszubrechen.

Das ist das eigentlich Schlimme an den BUGs und wird für die Branche durch das Medien Echo auch noch Konsequenzen haben.

Auf geschützte Server hinter Routern und Firewalls zu kommen, können zwar auch eine Menge Leute, aber eben nicht ganz so einfach.

Ganz ehrlich, den ganzen "Spezialisten", die sich gedacht haben an ihrer IT sparen zu können indem sie alles in die Cloud packen, gönne ich durchaus hier auf die Schnauze zu fallen.