Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

[yummycandy]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Es breitet sich grad das Gerücht aus, AMD wird (teilweise) branch prediction deaktivieren bei ZEN per kommendem Microcode Update:

Hab ich auch gerade gelesen, finde aber keine Begründung dazu.

EDIT:

Ah! "My understanding is that it only disables indirect branch prediction, and only within the Kernel."...

AMD ships microcode update to disable branch prediction | Hacker News

 

[Rollora]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Hab ich auch gerade gelesen, finde aber keine Begründung dazu.

EDIT:

Ah! "My understanding is that it only disables indirect branch prediction, and only within the Kernel."...

AMD ships microcode update to disable branch prediction | Hacker News

Gott sei dank, wenn die komplette Branch Prediction deaktiviert werden würde, wäre das dann doch ein massiver Performance-Hit

Vielleicht bist du einfach noch ein bischen zu grün hinter den Ohren, um das alles abschätzen zu können oder Wissen darüber zu haben!

Hmm das ist eher unwahrscheinlich, 2008 war auch mein Einstieg im IT Bereich, 2006 Dipl.Ing Informatik, 2009 Bachelor und Master, seit 2012 dann der PhD. Ich arbeite seit 2004 in der Forschung an der Universität.

Nur weil du lange im Geschäft bist, heißt das noch lange nicht, dass du nicht in den AMD vs Nvidia Diskussionen gerne mal seeeehr subjektiv wirst.

Den ganzen Tag, seit heute morgen wird es bereits überall berichtet. Im Radio, im Fernsehen (RTL beispielsweise), selbst vorhin im Supermarkt haben die Leute darüber diskutiert.

lol das stell ich mir lustig vor, wie die Ahnungslosen im Supermarkt drüber diskutieren.

Mittlerweile berichtet auch das ZDF darüber. Spätestens um 21:45 zum heute-journal sollte es jeder mitbekommen haben.
Interessant sind auch die am Ende beschriebenen Angriffsszenarien und das diese Pläne wohl schon seit 20 Jahren in den Schubladen liegen.
Prozessorlucken: Angriff auf die Hardware - ZDFmediathek

Ich gehe mal bei der 20 Jahre Behauptung davon aus, dass man da allgemein die Sicherheitsrisiken mancher Architekturtypen und Ausführungen meint. Da haben wir in der Tat schon vor 20 Jahren an der Uni über die Vor und Nachteile von In-Order bzw Out of Order Architekturen gehört.
Zumal dann natürlich aufgrund der hohen Rechenleistung die "Invisibility" Faktoren dazu kommen, also auch viele Dinge an die man einfach noch nicht denkt bzw viele Dinge die aufgrund der massiven Rechenpower im Hintergrund passieren können.
Also ja, in der Theorie wird auf diese Sicherheitslücken seit über 20 Jahren hingewiesen, in der Praxis sind sie erst jetzt Entdeckt worden - und es sei gleich gesagt: Es werden nicht die letzten sein. Gerade durch das Aufdecken solcher Hardwarebugs bzw nicht bedachter Sicherheitsvorkehrungen wird man verstärkt in diese Richtung suchen.

Es wird halt mal wieder völlig übertrieben insgesamt. Das ist halt jetzt spannend, weil so viele betroffen sind. Aber als in den letzten 15 Jahren von Windows-Sicherheitslücken geredet wurde hat auch niemand wirklich mit der Wimper gezuckt. Wo Probleme sind, sind Lösungen. Die meisten Probleme entstehen eh VOR dem und nicht IM Rechner

Aber beim Überfliegen der Beschreibung ist da ja schon sehr viel Hollywood dabei

 

[Pisaopfer]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

lol das stell ich mir lustig vor, wie die Ahnungslosen im Supermarkt drüber diskutieren.

Das zeigt doch nur das auch die "Unwissenden" sich interessieren. Man muß nur laut genug schreien, dann hören auch Alle zu. Evtl ist die Menschheit doch noch nicht verloren?!

 

[Tekkla]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Hab ich auch gerade gelesen, finde aber keine Begründung dazu.

EDIT:

Ah! "My understanding is that it only disables indirect branch prediction, and only within the Kernel."...

AMD ships microcode update to disable branch prediction | Hacker News

Mal sehen was das kommt. Nur SuSE patcht da aktuell was. Bin gespannt!

 

[TheGermanEngineer]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

lol das stell ich mir lustig vor, wie die Ahnungslosen im Supermarkt drüber diskutieren.

Ja, weil die Sache zumindest für Privatnutzer viel zu groß geredet wird. Ich kenne jemanden, der in der IT bei einem großen deutschen Industriekonzern arbeitet. Für die Clients ist die Gefahr gar nicht so groß, wie die Medien behaupten. Selbst wenn jemand den Zugriff auf deinen Speicher hat, gibt es noch einige wichtige Punkte dabei zu bedenken:

1. Der Arbeitsspeicher ist heutzutage meist zwischen 8 GB und 16 GB groß. Das dürfte ein wenig dauern, bis ein potentieller Angreifer die Daten heruntergeladen hat
2. Es ist nicht gesichert, dass überhaupt relevante Daten im ausgelesenen Speicher sind, vor allem, wenn nur ein Teil des Speichers ausgelesen wurde
3. Man weiß nicht, wo sich die Daten im Speicher befinden. Man hat zwar 16 GB Binärdaten, in denen sich irgendwo ein Passwort verstecken könnte, das zu finden ist aber auch kein Kinderspiel. Vor allem, wenn man kryptische Passwörter nutzt, die im Datensalat untergehen.
4. Die meisten Clients sind nicht relevant genug, als dass sich der Aufwand lohnen würde. Da ist es einfacher mit klassischen Methoden (Fake-E-Mails etc.) zu arbeiten

Probleme bestehen nur bei V-Servern und allgemein Servern, die lohnenswerte Objekte sind. Wobei man ebenfalls erst einmal Zugriff auf letztere bräuchte

 

[hoffgang]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Ja, weil die Sache zumindest für Privatnutzer viel zu groß geredet wird. Ich kenne jemanden, der in der IT bei einem großen deutschen Industriekonzern arbeitet. Für die Clients ist die Gefahr gar nicht so groß, wie die Medien behaupten. Selbst wenn jemand den Zugriff auf deinen Speicher hat, gibt es noch einige wichtige Punkte dabei zu bedenken:

1. Der Arbeitsspeicher ist heutzutage meist zwischen 8 GB und 16 GB groß. Das dürfte ein wenig dauern, bis ein potentieller Angreifer die Daten heruntergeladen hat
2. Es ist nicht gesichert, dass überhaupt relevante Daten im ausgelesenen Speicher sind, vor allem, wenn nur ein Teil des Speichers ausgelesen wurde
3. Man weiß nicht, wo sich die Daten im Speicher befinden. Man hat zwar 16 GB Binärdaten, in denen sich irgendwo ein Passwort verstecken könnte, das zu finden ist aber auch kein Kinderspiel. Vor allem, wenn man kryptische Passwörter nutzt, die im Datensalat untergehen.
4. Die meisten Clients sind nicht relevant genug, als dass sich der Aufwand lohnen würde. Da ist es einfacher mit klassischen Methoden (Fake-E-Mails etc.) zu arbeiten

Und jetzt kommt die Risikobereitschaft des Einzelnen & das stumpfe Glück des anderen.
Was du beschreibst ist nicht falsch, aber es läuft am Ende darauf hinaus dass ein solcher Angriff auf z.b. mein System, jetzt in diesem Moment, von nichts anderem abhängt als stumpfem, blödem Zufall.
Hab ich Glück passiert nix, hab ich Pech sind schützenswerte Informationen futsch.

Ich weiß nicht wie es Dir dabei geht, aber irgendwie behagt mir SOWAS mal garnicht.

lol das stell ich mir lustig vor, wie die Ahnungslosen im Supermarkt drüber diskutieren.

Kommt dann z.b. sowas bei raus?

 

[TheGermanEngineer]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Kommt dann z.b. sowas bei raus?

*facepalm*

 

[Tekkla]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Es wird halt mal wieder völlig übertrieben insgesamt. Das ist halt jetzt spannend, weil so viele betroffen sind. Aber als in den letzten 15 Jahren von Windows-Sicherheitslücken geredet wurde hat auch niemand wirklich mit der Wimper gezuckt. Wo Probleme sind, sind Lösungen. Die meisten Probleme entstehen eh VOR dem und nicht IM Rechner

Man könnte auch meinen, dass du über die Jahre angestumpfter wurdest und die Tragweite der aktuellen Probleme nicht mehr erfassen kannst oder willst. Das ergeht mir aber genauso. Man wird irgendwann überheblich bei der Bewertung und fängt an sich mit Schutzbehauptungen die kaputte Welt um einen herum schön zu reden. Dieser Satz mit Windows Sicherheitslücken der letzten 15 Jahre deutet zumindest darauf hin.

In diesen 15 Jahren gab es nämlich Sasser und seine Derivate, die für jeden Windowsnutzer zu einem spürbaren und ätzenden Problem wurden. Mit diesem Problem wurde allen Leuten damals schlagartig klar gemacht, dass man ohne eine Firewall im Netz ein Problem bekommen kann - real und unmittelbar zu erleben. Das sorgte dafür, dass z.B. in Windows XP eine Firewall integriert wurde und auch andere Anbieter mit ihren Security Suiten ordentlich Auftrieb bekamen. Okay, heute ist das Stand der Technik, und die meisten wissen vermutlich nicht mehr um Sasser, aber damals wurde einem nicht geringen Teil der Userschaft ein anderer Umgang mit der Technik aufgezwungen.

Was aber einen großen und wichtigen Unterschied zu damals ausmacht; dieses aktuelle Problem ist nicht durch einfache Veränderung von ein paar Bits & Bytes behebbar. Dieses Problem ist fest in allen betroffenen Prozessoren eingebrannt. Es macht einen Großteil der Performancegewinne der letzten Jahre aus. Sich nicht um dieses Problem zu kümmern, es klein zu reden oder gar als simpel behebbar darzustellen bedeutet doch, dass man Menschen in einer falschen Sicherheit wiegt, obwohl sie mit einer hochgradig anfälligen Plattform Gefahr laufen auf breiter Front Daten preis zu geben. Bei Sasser fuhr sich damals der Rechner dreißig Sekunden nach online gehen runter. Das war spürbar, erlebbar. Das hier und jetzt kommt still und heimlich und brauch mehr als nur ein paar Klicks auf der Windowsoberfläche, um es zu beseitigen.

Machen wir uns hier nichts vor und spielen es auch nicht herunter. Es wäre ein fataler Fehler.

---

1. Der Arbeitsspeicher ist heutzutage meist zwischen 8 GB und 16 GB groß. Das dürfte ein wenig dauern, bis ein potentieller Angreifer die Daten heruntergeladen hat

Ist doch egal. Zeit ist doch kein Faktor, wenn man unbemerkte Ewigkeiten dafür hat.

2. Es ist nicht gesichert, dass überhaupt relevante Daten im ausgelesenen Speicher sind, vor allem, wenn nur ein Teil des Speichers ausgelesen wurde

Macht es das sicherer ?

3. Man weiß nicht, wo sich die Daten im Speicher befinden. Man hat zwar 16 GB Binärdaten, in denen sich irgendwo ein Passwort verstecken könnte, das zu finden ist aber auch kein Kinderspiel. Vor allem, wenn man kryptische Passwörter nutzt, die im Datensalat untergehen.

Alles eine Frage von Zeit bei der Analyse der Daten in einem Botnetz.

4. Die meisten Clients sind nicht relevant genug, als dass sich der Aufwand lohnen würde. Da ist es einfacher mit klassischen Methoden (Fake-E-Mails etc.) zu arbeiten

Diese typische deutsche Sichtweise, wenn man sagt, dass Sicherheit wichtig sei und als Antwort "Ich habe doch nichts zu verbergen" kommt. Bis dann mal bei Paypal in kürzester Zeit einige tausend Dollar abgebucht werden...

 

[hoffgang]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

100% Agree Tekkla.

Das "in Sicherheit wiegen" mag ein patentes Mittel sein um wilde Panikaktionen zu vermeiden. Gut und schön, zumal nur der kleinste Teil von uns seine Hardware mal eben austauschen kann. Dann stehen sowieso alle Shops auf "bestellt" "Lieferdatum unbekannt".
Aber das bedeutet nicht dass der User, jeder User, solange mit diesem Problem leben muss bis es:
- gefixt wurde, egal wie, egal mit welchen Leisungseinbußen
- die Hardware gewechselt hat, allerdings darf die neue Hardware diesem Problem nicht unterliegen

Das Problem hierbei: Das potentielle Schadensausmaß.
Einerseite für die Anwender, andererseits für Intel.
Intel tut alles um das was grade passiert nicht zur Krise verkommen zu lassen und ganz ehrlich, sie machen damit einen verflucht guten Job.
Im Moment diskutieren Experten, oder solche die sich dafür halten, um das Problem & deren Lösungen. Der Shitstorm der Plebejer bleibt imho noch aus.

Der Anwender? Pacht sein OS und hofft auf Biosupdates, am besten gestern. Potentielles Schadensausmaß? Keine Ahnung, mit Pech extrem hoch wenn sensible Daten über z.b. das Onlinebanking verloren gehen.
Von Unternehmen und Behörden will ich garnicht anfangen.

Ist dieser Bug ein ernstes Problem für Intel? Abso-fucking-lutely!
Ist dieser Bug ein ernstzunehmendes Problem für ALLE Anwenduner? Definitiv ja.

Wie stark der private User betroffen sein wird lässt sich imho erst feststellen wenn Angriffe auf diese Schwachstelle ausgeführt werden.

 

[cap82]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Dann solltest du vielleicht vor dem nächsten Klugscheissen deine Hausaufgaben richtig machen: the patch = der Flicken, to patch = flicken im Sinne von etwas ausbessern. Leg dich nicht mit Leuten an, die denken bevor sie tippen. Der Schuss könnte nach hinten losgehen: Mess with the best, die like the rest.

Uhh why so salty?
Tja, leider habe ich mir das nicht ausgedacht.

Kleiner Tipp: Es gibt viele gute Entspannungstechniken!

 

[Tekkla]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Ist dieser Bug ein ernstes Problem für Intel? Abso-fucking-lutely!
Ist dieser Bug ein ernstzunehmendes Problem für ALLE Anwenduner? Definitiv ja.

Wie stark der private User betroffen sein wird lässt sich imho erst feststellen wenn Angriffe auf diese Schwachstelle ausgeführt werden.

Genau so. Bei diesem Ding sollte man nach der Maxime "Das Schlimmste erwarten und dankbar sein, wenn es nicht eintritt!" handeln. Alles andere halte ich für verantwortungslos.

 

[Grestorn]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Das Problem sind gezielte Angriffe auf Passwort-Stores, z.B. im Browser oder in einem PW-Safe. Das ist schon nicht so lustig. Theoretisch auch ein Angriff auf eine Banking-SW, wobei da bestenfalls Kontendaten und die PIN abgegriffen werden kann (TAN Nummern bringen ja nix, da nur einmal verwendbar und in die Daten nicht eingegriffen werden kann).

Vielleicht geht's endlich den Steuerhinterziehern und KiPo-Nutzern an den Kragen

(das war ein Scherz!)

 

[TheGermanEngineer]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Alles eine Frage von Zeit bei der Analyse der Daten in einem Botnetz.

Offensichtlich hast du nicht ganz verstanden, was ich meine. Die Zeit ist der wichtige Faktor. Wenn der Aufwand größer ist als der potentielle Nutzen, dann bringt es eher wenig.

 

[hoffgang]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Offensichtlich hast du nicht ganz verstanden, was ich meine. Die Zeit ist der wichtige Faktor. Wenn der Aufwand größer ist als der potentielle Nutzen, dann bringt es eher wenig.

Im Grundsatz richtig.
Aber: Wenn es hierzu noch keine Angriffe gab, dann wird probiert. Wenn nicht abschätzbar ist was Aufwand und was Ertrag hierbei bedeutet, dann wird einfach mal angegriffen und sei es nur der Neugier wegen.

 

[Tekkla]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Wenn der Aufwand größer ist als der potentielle Nutzen, dann bringt es eher wenig.

Ich glaube eher, du unterschätzt die automatischen Abläufe im Netz.

 

[Don-71]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Wie alles im Leben hat IT Sicherheit auch etwas mit Eigenleistung zu tun und die wende ich für mich seit 1998 an und mir ist bis jetzt noch nie wissentlich ein Account gehackt worden uhd nichts wissentlich abhandengekommen, Geld schon gar nicht.

Regel Nr1. speichere NIE ein Passwort im Browser, ich habe seit dem ich im Internet bin weder privat, noch beruflich, jemals ein Passwort in einem Browser gespeichert, noch Passwörter auf einem PC oder Handy.

Regel Nr2. Entwickele für dich selbst eine Art "Passwortsystem"!
Ich habe verschiedene Passwörter für meine Account und Zugangsdaten, die nur in meinem eigenen Kopf zusammen hängen (zum besser merken), aber aus Zahlen und Buchstaben bestehen, die nach Außen hin nichts mit mir zu tun haben und die verschiedenen Zahlenkombinationen habe auch noch nie Jemanden anderes anvertraut! Passwörter sollten aus Groß-Klein- Buchstaben, Zahlen UND SONDERZEICHEN bestehen.

Regel Nr.3 Bankzugangsdaten gehören in den Kopf oder weggeschlossen auf ein analoges Stück Papier, aber niemals auf den PC oder das Handy oder sonstige Geräte die online sind.

Regel Nr4. Öfter mal mit Paysafe Karten bezahlen, da sehr anonym und absolut Datensicher.

 

[DaHell63]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Wie alles im Leben hat IT Sicherheit auch etwas mit Eigenleistung zu tun und die wende ich für mich seit 1998 an und mir ist bis jetzt noch nie wissentlich ein Account gehackt worden uhd nichts wissentlich abhandengekommen, Geld schon gar nicht.

Regel Nr1. speichere NIE ein Passwort im Browser, ich habe seit dem ich im Internet bin weder privat, noch beruflich, jemals ein Passwort in einem Browser gespeichert, noch Passwörter auf einem PC oder Handy.

Regel Nr2. Entwickele für dich selbst eine Art "Passwortsystem"!
Ich habe verschiedene Passwörter für meine Account und Zugangsdaten, die nur in meinem eigenen Kopf zusammen hängen (zum besser merken), aber aus Zahlen und Buchstaben bestehen, die nach Außen hin nichts mit mir zu tun haben und die verschiedenen Zahlenkombinationen habe auch noch nie Jemanden anderes anvertraut! Passwörter sollten aus Groß-Klein- Buchstaben, Zahlen UND SONDERZEICHEN bestehen.

Regel Nr.3 Bankzugangsdaten gehören in den Kopf oder weggeschlossen auf ein analoges Stück Papier, aber niemals auf den PC oder das Handy oder sonstige Geräte die online sind.

Regel Nr4. Öfter mal mit Paysafe Karten bezahlen, da sehr anonym und absolut Datensicher.

Exakt so halte ich es auch.
Ausserdem haben wir für unseren Zahlungsverkehr ein sogenanntes Guthabenkonto eingerichtet, auf dem in der Regel nie mehr als 3000-5000.-€ sind.

 

[butzbert]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Wie alles im Leben hat IT Sicherheit auch etwas mit Eigenleistung zu tun und die wende ich für mich seit 1998 an und mir ist bis jetzt noch nie wissentlich ein Account gehackt worden uhd nichts wissentlich abhandengekommen, Geld schon gar nicht.

Regel Nr1. speichere NIE ein Passwort im Browser, ich habe seit dem ich im Internet bin weder privat, noch beruflich, jemals ein Passwort in einem Browser gespeichert, noch Passwörter auf einem PC oder Handy.

Regel Nr2. Entwickele für dich selbst eine Art "Passwortsystem"!
Ich habe verschiedene Passwörter für meine Account und Zugangsdaten, die nur in meinem eigenen Kopf zusammen hängen (zum besser merken), aber aus Zahlen und Buchstaben bestehen, die nach Außen hin nichts mit mir zu tun haben und die verschiedenen Zahlenkombinationen habe auch noch nie Jemanden anderes anvertraut! Passwörter sollten aus Groß-Klein- Buchstaben, Zahlen UND SONDERZEICHEN bestehen.

Regel Nr.3 Bankzugangsdaten gehören in den Kopf oder weggeschlossen auf ein analoges Stück Papier, aber niemals auf den PC oder das Handy oder sonstige Geräte die online sind.

Regel Nr4. Öfter mal mit Paysafe Karten bezahlen, da sehr anonym und absolut Datensicher.

Bringt dir im Fall Spectre aber gar nix!

 

[butzbert]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Find das Verhalten Intels auch äußerst schlecht, als Kunde muss ich sagen. Das bis jetzt noch kein Fix gekommen ist. Zum Coffe Launch hätte gar keine CPU ohne Bug Fix raus gedurft.

Es hat gerade auch echt einen bitteren Beigeschmack bei mir wenn ich mich bei Amazon und Co einlogge.

Aber wird das gerade auch nicht wieder so ein typisch Deutsches Ding.
Immer wenn schlechte Schlagzeilen kommen drehen wir Deutschen alle durch.
Als damals die Schlagzeigen mit Pestiziden bei Gemüsen Aktuell wahren hat die Hälfte der Deutschen keine Tomaten mehr gegessen. 4 Wochen später hat es keinen mehr interessiert.
Ich sag nur BSE.

Ich frage mich jetzt halt wie hoch ist die Wahrscheinlichkeit bei Millionen von Destop PC das mich ein Specte Angriff trifft ?
Vor allem wie viele Cracks sind dazu Aktuell in der Lage ein Spectre Angriff auszuführen?

Also ich weiß nicht ob da ganze Aktuell ein bisschen hochgekocht wird. Es sind ständig Sicherheitslücken das sieht man schon alleine wie viele Updates es für Windows, Android, Appel und Co gibt. Da bin ich mir ganz sicher von vielen Lücken werden wir gar nix wissen, vor allem wie lange die offen gewesen sind.

Spectre ist ne andere Nummer das ist mir klar und die muss schnell gefixt werden.
Aber wie hoch ist Aktuell wo das Risiko das ich einen Angriff bekomme ???

 

[yummycandy]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Aber wie hoch ist Aktuell wo das Risiko das ich einen Angriff bekomme ???

Das Problem ist, daß dir das keiner sagen kann. Man weiß halt nicht ob/wie oft der Exploit genutzt wird.