Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

[Hofnaerrchen]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Klugscheißmodus:
"Patch" bedeutet aber nur in der Medizin das Wort "Pflaster" und existiert auch nur als Substantiv.
"to patch" in der Comuterbranche/Science bedeutet "Fehler beheben". Oder eben als Substantiv z.B. "Nachbesserung"

Dann solltest du vielleicht vor dem nächsten Klugscheissen deine Hausaufgaben richtig machen: the patch = der Flicken, to patch = flicken im Sinne von etwas ausbessern. Leg dich nicht mit Leuten an, die denken bevor sie tippen. Der Schuss könnte nach hinten losgehen: Mess with the best, die like the rest.

 

[Freiheraus]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Also Heise.de dreht jetzt richtig auf:

Ein toller Artikel vom Urgestein Andreas Stiller, der die Sache sehr gut erklärt: Analyse zur Prozessorlucke: Meltdown und Spectre sind ein Security-Supergau |
heise online

Ein Blick über den Tellerrand (Nvidia-Anfrage/Äusserung): Prozessor-Lucken Meltdown und Spectre: Intel und ARM fuhren betroffene Prozessoren auf, Nvidia analysiert noch |
heise online

Und etwas das ebenso lustig (vom Titel her) wie traurig (Intels Verhalten) ist: Linus Torvalds: Will Intel "Schei*e für immer und ewig verkaufen"?


Edit:
Der letzte Artikel lässt sich hier nicht verlinken, weil im Link das Wort Schei**e enthalten ist und die Autozensur von PCGH zuschlägt. Naja das Bild des Artikels fasst die ganze Sache auch gut zusammen:

 

[yummycandy]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Also Heise.de dreht jetzt richtig auf:

Ein toller Artikel vom Urgestein Andreas Stiller, der die Sache sehr gut erklärt: Analyse zur Prozessorlucke: Meltdown und Spectre sind ein Security-Supergau |
heise online

Ein Blick über den Tellerrand (Nvidia-Anfrage/Äusserung): Prozessor-Lucken Meltdown und Spectre: Intel und ARM fuhren betroffene Prozessoren auf, Nvidia analysiert noch |
heise online

Und etwas das ebenso lustig (vom Titel her) wie traurig (Intels Verhalten) ist: Linus Torvalds: Will Intel "Schei*e für immer und ewig verkaufen"?

Im anderen Thread hab ich Stiller schon gepostet.

Aber hier gehört noch fefe's treffende Einschätzung dazu:
Fefes Blog

Krass. Intel sieht Spectre und Meltdown offensichtlich als PR-Problem und reagiert entsprechend. Im Wesentlichen sagen sie: Hier gibt es kein Problem, funktioniert alles wie geplant, gehen Sie weiter.
Facts about Side-Channel Analysis and Intel Products
Glaubt ihr nicht? Hier:

Is this a bug in Intel hardware or processor design?

No. This is not a bug or a flaw in Intel products. These new exploits leverage data about the proper operation of processing techniques common to modern computing platforms, potentially compromising security even though a system is operating exactly as it is designed to. Based on the analysis to date, many types of computing devices — with many different vendors’ processors and operating systems — are susceptible to these exploits.

Das ist eine dreiste Lüge. Erstens sind andere Prozessoren nur von einem Bruchteil des Problems betroffen, Intel sind die einzigen, die das so richtig mit Anlauf verkackt haben. Zweitens ist das natürlich keine akzeptable Begründung, wieso das kein Bug ist, wenn Intel das genau so haben wollte. Das heißt eher, dass Intel zu inkompetent ist, um Prozessoren zu bauen. Dass sie uns das jetzt so in schwarz auf weiß als Zertifikat ausstellen und in die Hand drücken, das haut mich jetzt ziemlich vom Hocker. Man würde denken, dass die aus den ganzen bisherigen Bugs gelernt haben. Vielleicht hat der Rest auch ihre Aktien abgestoßen und scheißen jetzt auf den Rest der Geschichte? Das ist mal echt krass.

Ein Glück, dass AMD Ryzen rechtzeitig fertig gekriegt hat. So hat man jetzt eine Ausweich-Option. Weia.

 

[Casurin]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Im anderen Thread hab ich Stiller schon gepostet.

Aber hier gehört noch fefe's treffende Einschätzung dazu:
Fefes Blog

Krass. Intel sieht Spectre und Meltdown offensichtlich als PR-Problem und reagiert entsprechend. Im Wesentlichen sagen sie: Hier gibt es kein Problem, funktioniert alles wie geplant, gehen Sie weiter.
Facts about Side-Channel Analysis and Intel Products
Glaubt ihr nicht? Hier:

Is this a bug in Intel hardware or processor design?

No. This is not a bug or a flaw in Intel products. These new exploits leverage data about the proper operation of processing techniques common to modern computing platforms, potentially compromising security even though a system is operating exactly as it is designed to. Based on the analysis to date, many types of computing devices — with many different vendors’ processors and operating systems — are susceptible to these exploits.

Das ist eine dreiste Lüge. Erstens sind andere Prozessoren nur von einem Bruchteil des Problems betroffen, Intel sind die einzigen, die das so richtig mit Anlauf verkackt haben. Zweitens ist das natürlich keine akzeptable Begründung, wieso das kein Bug ist, wenn Intel das genau so haben wollte. Das heißt eher, dass Intel zu inkompetent ist, um Prozessoren zu bauen. Dass sie uns das jetzt so in schwarz auf weiß als Zertifikat ausstellen und in die Hand drücken, das haut mich jetzt ziemlich vom Hocker. Man würde denken, dass die aus den ganzen bisherigen Bugs gelernt haben. Vielleicht hat der Rest auch ihre Aktien abgestoßen und scheißen jetzt auf den Rest der Geschichte? Das ist mal echt krass.

Ein Glück, dass AMD Ryzen rechtzeitig fertig gekriegt hat. So hat man jetzt eine Ausweich-Option. Weia.

Nur das eben 'fefes' einschätzung hier völlig falsch ist.
Spectre ist ein Angriff der direkt das Design von modernen computern ausnützt - und das ist der Fehler den intel hier angesprochen hat. Wenn man dann zu AMD wechselt um einer angeblichen inkompetenz von intel auszuweichen der wird dann schön blöd dreinschaun wenn er herrausfindet das Ryzen genauso davon betroffen ist.

MeltDown ist worau intel hätte antworten müssen, aber sie überhaupt dazu zu befragen wurde - wie immer von den absolut inkompetenten Blogger (Journalisten sind das keine) - versäumt.


Btw - Computerphile hat mitlerweile ein nettes video dazu gebracht. Es ist einfach genug gestalltet das sogar die meisten nutzer hier das verstehen können müssten.

 

[Tekkla]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Wenn man dann zu AMD wechselt um einer angeblichen inkompetenz von intel auszuweichen der wird dann schön blöd dreinschaun wenn er herrausfindet das Ryzen genauso davon betroffen ist.

Und genau da irrst du, denn - so gerne du das auch hättest - konnte man diesen Angriff eben nicht unter Ryzen erfolgreich durchführen. Es mag ja sein, dass man mit genug Zeit und Energie jetzt noch andere, alle CPUs betreffende Probleme findet. Doch wenn es ums Hier und Jetzt geht, dann kann und muss man sagen, dass Intel NO GO! und AMD GO! ist.

 

[yummycandy]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Nur das eben 'fefes' einschätzung hier völlig falsch ist.
Spectre ist ein Angriff der direkt das Design von modernen computern ausnützt - und das ist der Fehler den intel hier angesprochen hat. Wenn man dann zu AMD wechselt um einer angeblichen inkompetenz von intel auszuweichen der wird dann schön blöd dreinschaun wenn er herrausfindet das Ryzen genauso davon betroffen ist.

Das sehe ich nicht so. Intel hat eine Presseerklärung herausgegeben, die sich auf das Gesamtproblem bezieht und nicht auf einzelne Fragen. Genau diese Aussagen werden von Verantwortlichen usw. als defacto eingestuft und kein konjunktiv.

Ich hab das im ersten Augenblick auf falsch bewertet, sehe das mittlerweile aber genauso wie fefe und AS/ct.

 

[sterreich]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Ich wart ehrlich gesagt nur mehr auf "It's not a bug, it's a feature" von Intel

 

[Tekkla]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Kam schon. Zwar nicht so in dem Wortlaut, aber Intel ließ verkünden, dass alles so läuft wie man es geplant und designed hat

 

[yummycandy]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Kam schon. Zwar nicht so in dem Wortlaut, aber Intel ließ verkünden, dass alles so läuft wie man es designed hat

So, jetzt stimmt es.

 

[Freiheraus]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Kam schon. Zwar nicht so in dem Wortlaut, aber Intel ließ verkünden, dass alles so läuft wie man es geplant und designed hat

Daher auch Torvalds klare Worte^^^

Btw:

Erste Ergebnisse nach einem Bios-Fix mit Coffee Lake: Performance impact of Windows patch and BIOS update (0606) on i7-8700 on ASUS PRIME Z370-A motherboard using Realbench 2.56. : pcmasterrace

 

[Don-71]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Freiheraus dein neues Logo gefällt mir, im ersten Moment hatte ich aber schon den echten Schreck, dass du zu den Blauen übergelaufen bist.......

 

[yummycandy]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Ich hab drauf gewartet, aber Bruce hätte sich mehr Mühe geben können. Schön ist seine Einschätzung zur gestiegenen Komplexität in den letzten Jahren:

...
The final reason is the nature of these vulnerabilities themselves. These aren't normal software vulnerabilities, where a patch fixes the problem and everyone can move on. These vulnerabilities are in the fundamentals of how the microprocessor operates.

It shouldn't be surprising that microprocessor designers have been building insecure hardware for 20 years. What's surprising is that it took 20 years to discover it. In their rush to make computers faster, they weren't thinking about security. They didn't have the expertise to find these vulnerabilities. And those who did were too busy finding normal software vulnerabilities to examine microprocessors. Security researchers are starting to look more closely at these systems, so expect to hear about more vulnerabilities along these lines.

Spectre and Meltdown are pretty catastrophic vulnerabilities, but they only affect the confidentiality of data. Now that they -- and the research into the Intel ME vulnerability -- have shown researchers where to look, more is coming -- and what they'll find will be worse than either Spectre or Meltdown. There will be vulnerabilities that will allow attackers to manipulate or delete data across processes, potentially fatal in the computers controlling our cars or implanted medical devices. These will be similarly impossible to fix, and the only strategy will be to throw our devices away and buy new ones.

This isn't to say you should immediately turn your computers and phones off and not use them for a few years. For the average user, this is just another attack method amongst many. All the major vendors are working on patches and workarounds for the attacks they can mitigate. All the normal security advice still applies: watch for phishing attacks, don't click on strange e-mail attachments, don't visit sketchy websites that might run malware on your browser, patch your systems regularly, and generally be careful on the Internet.
...
Spectre and Meltdown Attacks Against Microprocessors - Schneier on Security

Btw. Bruce Schneier ist einer der bekanntesten Sicherheitsexperten, die es derzeit gibt.

I've been writing about security issues on my blog since 2004, and in my monthly newsletter since 1998. I write books, articles, and academic papers. Currently, I'm the Chief Technology Officer of IBM Resilient, a fellow at Harvard's Berkman Center, and a board member of EFF.

Brian Krebs, ebenfalls sehr bekannt, schreibt leider nur ne Zusammenfassung.

Scary Chip Flaws Raise Spectre of Meltdown — Krebs on Security

 

[Pisaopfer]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Mal ein Dankeschön an ALLE die hier immer so fleißig verlinken.

 

[Rollora]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Freiheraus dein neues Logo gefällt mir, im ersten Moment hatte ich aber schon den echten Schreck, dass du zu den Blauen übergelaufen bist.......

Ich finde solche Aussagen bedenklich, als wärs was schlimmes wenn er sich für Intel begeistert.

Du bist doch auch klar ein AMD begeisterter, bei dir geht das ja oft soweit, dass du Fakten völlig verdrehst in manchen Bereichen und Diskussionen. Da sind mir User, die sich wie das Fähnchen im Wind drehen wenns um ihre "Liebe" geht, aber bei Fakten bleiben 10x mehr recht

For the average user, this is just another attack method amongst many. All the major vendors are working on patches and workarounds for the attacks they can mitigate. All the normal security advice still applies: watch for phishing attacks, don't click on strange e-mail attachments, don't visit sketchy websites that might run malware on your browser, patch your systems regularly, and generally be careful on the Internet.

Jo, wie ich es schon gesagt habe, für Datacenter, Clouds usw Katastrophe, für den Ottonormaluser ändert sich eigentlich nicht viel. Für den Privatuser viel Lärm um nichts (bzw nicht wirklich viel neues, denn die täglich aufgedeckten Sicherheitsrisiken sind da kaum kleiner), die Industrie wird sich neu organisieren müssen.

 

[Don-71]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Wo verdrehe ich denn Fakten?

Ich bin affin und im Business seit 1998, habe die Celeron 300 zu 300A, Rambus-, Itanium- und OEM Bestechungs- Geschichten alle hautnah, privat und im Business erlebt, also erzähle mir nichts über Intel, darüber hinaus bin ich bedingungsloser Jim Keller Fan, es gibt Niemand der ihm im Prozessor Design das Wasser reichen kann, und der hat neben Apples ARM (als Apple eher noch eine Klitsche war), vorwiegend für AMD und ihre erfoklreichen Zeiten gestanden, Athlon, Athlon 64, Athlon FX, Opteron und ZEN!

Vielleicht bist du einfach noch ein bischen zu grün hinter den Ohren, um das alles abschätzen zu können oder Wissen darüber zu haben!

 

[KiznaCat]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Hier wird davon geredet, dass das Softwareupdate das Problem beseitigt und der Impact beim Zocken nicht so auffällt. Ist euch nicht klar, dass alle betroffenen Prozessoren "Insecure-by-Design" sind? Die US Regierung redet bereits davon die Hardware komplett auszutauschen. Und das mit Recht! Seit über 8 Monaten arbeiten ALLE relevanten IT-Firmen dieses Planeten gemeinsam an einer Lösung, und sie haben es immer noch nicht im Griff!

Insecure-by-Design würde ich es nicht nennen.

Und schön wenn die US Regierung davon redet alle hardware Aus zu tauschen. Die reden auch darüber wie toll und geil sie sind, und wie doof alle andren sind. Und vor allem sagt die US Regierung das Globale Erwärmung eine Erfindung der Chinesen ist, die Erde ist Rund, und nur weiße sind toll.


Das ganze ist hauptsächlich Panikmache. Der wechsel der hardware wird nicht mehr bringen als jetzt der Hotfix gegen meltdown.
Auf AMD wechsel oder ARM bringt da auch nichts, weil da Spectre ebenso ein Thema ist. Kann man sich eigentlich dann auch sparen bis es CPUs gibt wo man zu 100% ausschließen kann das Spectre ein Thema ist.

8 Monate ist übrigens keine lange Zeit für sowas.


Ich finde es interessant wieviel wind hier gemacht wird wegen Meltdown, was bereits Software seitig gefixt wird.

Und weiterhin interessiert sich aber niemand dafür wie unsicher GSM, CMDA, UMTS, LTE, und LTE+ ist.

In der Vergangenheit gab es solche Lücken immer mal wieder, gefixt -> fertig. Aber es gibt für die Medien anscheinend gerade nicht anderes worüber man berichten kann. Also verbreitet man mal geschwind Panik.

Die meisten Heimnutzer laden sich SpyWare und Trojaner so oder so schon selber runter, oder schrieben alles in ihr Gesichtsbuch und WasgehtApp, da braucht es dann weder Spectre noch Meltdown.


Wo das ganze ne rolle Spielt ist in Server Zentren. Und alle Admins die ich so kenne juckt das kaum.

 

[wurstkuchen]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Es breitet sich grad das Gerücht aus, AMD wird (teilweise) branch prediction deaktivieren bei ZEN per kommendem Microcode Update:

Longhorn auf Twitter: "AMD really disabled branch prediction on Zen or what?
what the hell 2018"
AMD ships microcode update to disable branch prediction | Hacker News
Ehm... why is branch prediction being disabled on Zen? : Amd

Das könnte doch noch einiges an Performance Verlusten bedeuten bei AMD.

 

[Freiheraus]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Freiheraus dein neues Logo gefällt mir, im ersten Moment hatte ich aber schon den echten Schreck, dass du zu den Blauen übergelaufen bist.......

Ich habe mich 2017 nach vielen Jahren so richtig ausgetobt was Hardware betrifft, habe fast ein Dutzend Mobos (AM4 + LGA1150 wegen einem kurzen Broadwell-Ausflug) und mindestens fünf CPU-Modelle hinter mir. Meine Plattform steht nun felsenfest (near-zero risk^^), denn viele Wünsche die ich ihr bezüglich hatte, gingen in Erfüllung, besonders beim Mobo (VRM-Qualität, Sound-Umsetzung, Ausstattung, ECC Support, was will ich mehr?). Dabei habe ich nicht übermäßig viel bezahlt, die meisten Komponenten sogar als "Schnäppchen" ergattert.

So schnell werde ich also nicht wieder wechseln (ok, evtl. auf Ryzen+ wenn nur ein UEFI-Update nötig ist und sich eine unwiderstehliche Gelegenheit ergibt^^), denn Core-i war für mich immer eine Notlösung. Ich möchte nicht, dass sie zum Dauerzustand wird und hoffe daher auch dass VIA erstarkt und uns in 1-2 Jahren attraktive CPUs beschert (meinen Segen und Support hätten sie). Dann würde ich auch über die Erneuerung des Zweitsystems nachdenken, einfach aus Spaß an der Freude, weil der Markt wieder lebt und bebt


OT:
Ein User im CB-Forum hat schon die ersten Klagen ausgegraben... Meltdown & Spectre: Details und Bench*marks zu den Sicherheits*lucken in CPUs - Seite 94 - ComputerBase Forum

Jetzt geht’s schon los mit den Sammelklagen und Einzel Klagen gegen Intel

Branstetter, Stranch & Jennings, Doyle APC Announce Filing of Consumer Fraud Case against Intel Corporation | Business Wire

District of Oregon | Lawsuit | Complaint

southern district of indiana | Kernel (Operating System) | Central Processing Unit

MMn sind die Tage des Intel CEO bald gezählt, in erster Linie auch wegen dem Aktienhandel. Der hat sich mit diesem ungünstigen Zeitpunkt selbst das Genick gebrochen.

 

[Trefoil80]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Habe gerade mal die Registry gecheckt...F-Secure hat da den Eintrag reingesetzt, aber über die automatische Updatesuche findet er nix.
Das Sicherheitsupdate von Microsoft habe ich nun manuell installiert und danach mit Cinebench 15 getestet.

Der Performanceverlust ist nach der Installation ca. 8%. Und bei Euch so?

 

[wurstkuchen]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Habe gerade mal die Registry gecheckt...F-Secure hat da den Eintrag reingesetzt, aber über die automatische Updatesuche findet er nix.
Das Sicherheitsupdate von Microsoft habe ich nun manuell installiert und danach mit Cinebench 15 getestet.

Der Performanceverlust ist nach der Installation ca. 8%. Und bei Euch so?

War bei mir auf ALLEN Windows 10 Geräten auch so, und alle hatten Windows Defender. Egal wie oft ich Updates gesucht hab, der Saftladen wollte keine ziehn. Typisch MS halt, wo Updates gestaffelt verteilt werden. Ich hab die dann auch alle manuell installiert. Major Updates bekomm ich auch NIE angeboten und es dauert bis zu 2 Wochen bis die bei mir eintrudeln. Mein MS Konto ist wohl blöd geflagt und am Ende der Ticket-Liste von der Updateverteilung.

Es hieß ja um so älter die CPU, um so größer ist der Performance-Verlust. Hab auch noch Ivy Bridge, so wohl beim Desktop als auch Ultrabook :/ Und Ivy Bridge ist ja jetzt schon 5 Jahre alt. Mal sehn obs da überhaupt MC Updates für geben wird. Für mein Laptop kann ich das vermutlich abschreiben. Und mein Z77 Board bekommt vermutlich auch kein Bios Update mehr.

Also 1 Jahr gammeln und dann 2019 Ryzen3 kaufen, wo es hoffentlich gefixt wird in Hardware. Vielleicht verschiebt sich aber auch deswegen alles um 1 Jahr und Ryzen3 kommt erst 2020.