Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

[yummycandy]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

@Rollora

Hardwarebugs sind zudem schwieriger auszubügeln und in diesem Fall mit Einbußen in gewissen Anwendungen. Der normale Benutzer wird davon maximal indirekt etwas mitbekommen. Für Intel ists allerdings ungleich katastrophaler, da sie ja auch die meisten Server ausrüsten.

 

[wurstkuchen]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Hat nicht jeder Aluhutträger ohnehin JavaScript deaktiviert? Und da braucht es auch keinen Hardware-Bug, mit JavaScript kann man auch so schon eine Menge Unsinn anstellen

Ganz bestimmt nicht. Ohne JS funktioniert (leider) 99.9% des Internets von Heute nicht mehr dank HTML5, Ajax und Co.

 

[Rollora]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

@Rollora

Hardwarebugs sind zudem schwieriger auszubügeln und in diesem Fall mit Einbußen in gewissen Anwendungen. Der normale Benutzer wird davon maximal indirekt etwas mitbekommen. Für Intel ists allerdings ungleich katastrophaler, da sie ja auch die meisten Server ausrüsten.

Derzeit sogar über 90% im x86 Markt
Natürlich brennt der Hut, am Ende wird mans wie jedes andere Problem fixen, Intel hat ja praktischerweise die Ressourcen das zu tun.
Das Problem ist eine Hardware neu zu designen, das dauert ja bekanntlich mit Design, Implementierung, Testen und reimplementieren eine Weile.
Aber nicht Meltdown ist das große Problem sondern Spectre

Wobei man bei Chrome/Chromium direkt in den Einstellungen JS für alle Seiten blockieren kann.

Mhm. Ist halt die frage obs nur mit JS möglich ist.

Btw: ist ja jetzt nicht Intels einzige Sicherheitslücke (genausowenig die der anderen ) Intel(R) Product Security Center

 

[DKK007]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Spectre ist ja ein richtiger Konzeptfehler bei OOO-E, der irgenwie niemandem aufgefallen ist bisher.

 

[Casurin]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Ernsthaft Leute - für den Bug gibt es beirets die Software-Lösung die, wie jetzt schon unzählige Tests zeigen, im Notmalfall keine messbaren Auswirkungen auf die Leistung haben.
Fraglich ist eher wie lange Intel braucht um den Microcode zu updaten. AMD braucht mit den Agesa update auch mehrere Monate bis es mal hinhaut - wird da bei Intel nicht viel anders sein.

Leistungseinbusen gibt es nur bei Kernel context switch - als Syscall spamming. Das kommt in normalen Anwednugnen nicht vor das Syscalls sowieso schon langsam sind und deshlab wenn geht vermieden werden.
Das Problem sind die Sicherheitsbedenken für Webseiten und cloudbased Server bzw die schlechtere Performanze dieser da einer der wenigen Anwendungsbereiche ist die eben massiv Syscall nutzen. Und eben der Derzeitige Hotfix einfach die Holzhammermethode ist.

Auch auf hardwareebene wird sich das ganze relativ 'leicht' fixen lassen - kommt aber darauf an was genau möglich ist und was Intel erreichen will.
Das Deaktivieren von spekulativen Fetches für nicht ring3 Anwendungen wäre da wohl ein Kandidat der mit relativ wenig aufwand umgesetzt werden kann, aber noch immer bei Servern zu merkbaren Leistungsminderung führen würde.
Womöglich lassen sich die kernel-fetches auch direkt vom userbereich abtrennen. Abwarten und Tee trinken. Es ist ein großer fehler im design, der aber für Privatanwender keine wirkliche relevanz hat.

FMA3 war ein Problem in Verbindung mit Windows-SMT und trat unter Linux nichtmal auf, das ganze wurde per Workaround gefixt, war aber auch kein Hardwarebug.

Es IST noch immer ein hardware bug - aber es zeigt sehr deutlich das bei dir hier sehr viel heise luft vorhanden ist.

Intel Fanboys sind so peinlich. Immer versuchen sie abzulenken, was Intel verbockt hat.

ja, Intel hat verbockt - das peinliche sind dann aber die Ungebildeten die nicht nur versuchen aus dem Fehler die Apokalypse herzuleiten, sondern dabei auchnoch schön herrumlügen.

Erm... nein. Es ist wirklich DER Super-Gau. Du könntest zB eine Seite mit Chrome ansurfen, und ein JS saugt im Hintergrund den Inhalt deines kompletten RAMs ab, ohne dass du das merkst. Sowas gabs noch nie, das IST der Worst-Case.

Und nochjemand der viel redet was nichts mit der Realität zu tun hat. Denn es wurde bereits gefixed.

Und es werden noch weitere kommen, sprich Spectre 3, 4, 5. Die Sache ist nicht zu stopfen, ohne die Hardware zu tauschen. Der Saal wurde gemietet, ein Orchester engagiert und jetzt wollen wir sehen, ob sie tanzen können.

Spectre ist der Bug der ALLE CPus beinflusst, Intel, AMD, ARM etc.
Wenn jetzt das bei dir der Steind es Anstoß ist - na viel Spaß, es gibt dann noch ein paar kleine ARM udn alte Atoms die nciht betroffen sind XD

 

[DKK007]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Gegen Sperctre und Meltdown helfen weder Bios- noch Microcode-Updates. Die Probleme sitzen zu tief. Selbst ein neues Stepping wird kaum helfen, zumal man dieses auch Marketingtechisch deutlich abgrenzen müsste.

 

[PCGH_Torsten]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Ist PowerPC (IBM) eigentlich auch betroffen? Wenn nicht: Yay, neuer Rechner. Und dann sogar 4 Threads auf einem Kern berechnen!

Von Spectre sind prinzipiell Prozessoren mit speculative execution und Caches betroffen, also quasi alle Architekturen dieses Jahrtausends. Prominente Ausnahmen sind Sparc, Itanium, die ersten beiden Atom-Generationen und Vias C7 – aber nicht IBM Power.

Meltdown ist, soweit ich es bislang verstehe, nur eine modifizierte Form des Gedankens hinter Spectre und betrifft nur Intel-CPUs. Hier wird eine Möglichkeit ausgenutzt, um besonders viele Operationen als Block auszuführen – und davon profitieren auch die Side-Band-Methoden, die die Grundlage von Spectre/Meltdown sind. Der zusätzlich Trick steigert die Performance des Angriffes um mehrere Größenordnungen, lässt sich aber mittels Patch verhindern. Abseits der getesteten Haswell-CPU ist dieser hochoptimierte Programmcode aber scheinbar wirkungslos – was nicht wirklich überrascht. Letztlich nutzen diese Angriffe Nebeneffekte normaler Funktionen aus, die sich aus der jeweils spezifischen Caching-, Branch-Prediction- und Speculative-Exectution-Strategie ergeben. Je stärker man für diese spezifischen, undokumentierten und unbeabsichtigten Eigenschaften optimiert, desto unwahrscheinlicher sind identische Ergebnisse mit einer anderen Architektur. Die Forscher hinter Meltdown kannten sich offensichtlich besonders gut mit Haswell aus respektive habe diese Architektur bei ihrer Suche nach Angriffsvektoren gegenüber AMD priorisiert.

 

[Rollora]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Gegen Sperctre und Meltdown helfen weder Bios- noch Microcode-Updates. Die Probleme sitzen zu tief. Selbst ein neues Stepping wird kaum helfen, zumal man dieses auch Marketingtechisch deutlich abgrenzen müsste.

Moment, gegen Meltdown hilft schon ein Softwareupdate, aber es kann zu Performanceeinbußen führen.
Eine ECHTE Lösung ist natürlich das Redesign des virutal Cachings bei Intel

@OOO Execution: Ja das wird spannend wie man das in vielleich 5 Jahren (frühestens) in Hardware anders lösen möchte. Zurück zur In Order Execution wird man wohl nicht gehen (Performance)

 

[fipS09]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Es IST noch immer ein hardware bug - aber es zeigt sehr deutlich das bei dir hier sehr viel heise luft vorhanden ist.

Wäre es ein Hardwarebug würde er Betriebssystemunabhängig mit FMA3 auftreten, tut er aber nicht. Er trat nur mit aktiviertem SMT und NUR unter Windows auf. Aber ich gebe auf und spare mir einfach meine heiße Luft.

Scheinbar hab ich dich wenigstens vom Gedanken abgebracht das mangelndes RAM OC ein Hardwarebug ist.

 

[wurstkuchen]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Ernsthaft Leute - bla bla bla

Alles falsch was er da quasselt (:

 

[Freiheraus]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

In der PCGH-Redaktion geht's schon los mit der Unschärfe:

Meltdown lässt sich über das Betriebssystem ganz gut schließen, was aber Leistung kostet. Einbußen wird es aber wahrscheinlich vor allem auf Servern geben. Betroffen sind alle Prozessoren seit dem Pentium MMX aus dem Jahr 1995 außer Itanium und Atom

Da gehört nach bisherigem Kenntnisstand ein "Intel" hin, sprich "alle Intel-Prozessoren", ansonsten gehe ich (und insbesondere unversiertere Leser) davon aus, dass auch AMD von Meltdown (inkl. Leistungseinbußen) betroffen wäre.

Was ebenfalls auffällt, es wird sehr oft von "der Sicherheitslücke" (Singular!) gesprochen, gerade in den allgemeinen oder einleitenden Passagen. Beide Probleme werden dadurch (un)bewusst verschmolzen und zu einem Problem der Allgemeinheit (alle Hersteller) gemacht.

Da sind die Formulierungen bei der Konkurrenz (z.B. Computerbase) deutlich präziser und aufklärender. Als Laie wird man dort schlicht besser informiert. Interessant fand ich dort auch den Bericht über Linus Torvalds deutliche Worte/Kritik an Intels Verhalten bzw. Umgang mit dem Problem.

 

[fipS09]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Alles falsch was er da quasselt (:

Nah nicht alles, aber ich weiß nicht was das die ganze Zeit mit der Holzhammer Methode ist. Intel hat seit SECHS Monaten Zeit sich mit dem Problem zu beschäftigen, wenn es eine umsetzbare elegantere Lösung gäbe, dann würden die nicht schweigen.

 

[wurstkuchen]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Nah nicht alles, aber ich weiß nicht was das die ganze Zeit mit der Holzhammer Methode ist. Intel hat seit SECHS Monaten Zeit sich mit dem Problem zu beschäftigen, wenn es eine umsetzbare elegantere Lösung gäbe, dann würden die nicht schweigen.

Dann halt das hier:

"Fraglich ist eher wie lange Intel braucht um den Microcode zu updaten"
Es wird kein MC Update geben, da nicht per MC zu fixen.

"Auch auf hardwareebene wird sich das ganze relativ 'leicht' fixen lassen"
Ja (: Indem die gesamte Welt neue CPUs kauft.

"Denn es wurde bereits gefixed."
MeltDown wurde gefixt, Spectre kann man nicht so einfach fixen.

"Spectre ist der Bug der ALLE CPus beinflusst, Intel, AMD, ARM etc."
Du hast es leider nicht verstanden. Spectre ist quasi ein Kategorie-Designfehler der eine vielzahl von weiteren Unter-Angriffsvektoren vervorrufen wird, diese werden bereits gesucht. Es ist sehr wahrscheinlich, dass sich in den weiteren Monaten/Jahren Spectre 3,4,5,x zeigen werden.

 

[fipS09]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Auch ganz Interessant ist der Abschnitts Solutions unter folgendem Link: Vulnerability Note VU#584653 - CPU hardware vulnerable to side-channel attacks

Zitat:
,,Replace CPU hardware

The underlying vulnerability is primarily caused by CPU implementation optimization choices. Fully removing the vulnerability requires replacing vulnerable CPU hardware.

Apply updates

Operating system updates mitigate the underlying hardware vulnerability."

 

[DKK007]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

"Auch auf hardwareebene wird sich das ganze relativ 'leicht' fixen lassen"
Ja (: Indem die gesamte Welt neue CPUs kauft.

Die es wohl vor 2020 auch gar nicht gibt.

 

[Threshold]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Schick. Der CEO verkauft schon mal seine Aktienpakete, bevor die nichts mehr wert sind.
Das nenne ich mal Vertrauen in sein Unternehmen und seine eigenen Fähigkeiten.
Top, der Mann. Wird vermutlich demnächst beim Berliner Flughafen anfangen.

 

[DKK007]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Auch ganz Interessant ist der Abschnitts Solutions unter folgendem Link: Vulnerability Note VU#584653 - CPU hardware vulnerable to side-channel attacks

Zitat:
,,Replace CPU hardware

The underlying vulnerability is primarily caused by CPU implementation optimization choices. Fully removing the vulnerability requires replacing vulnerable CPU hardware.

Apply updates

Operating system updates mitigate the underlying hardware vulnerability."

Heißt also auf Deutsch einfach:
Ersetzen Sie die CPU-Hardware

Die zugrunde liegende Sicherheitsanfälligkeit wird hauptsächlich durch die Optimierung der CPU-Implementierungsoptimierung verursacht. Das vollständige Entfernen der Sicherheitsanfälligkeit erfordert das Ersetzen der anfälligen CPU-Hardware.

Updates anwenden

Betriebssystem-Updates mindern die zugrunde liegende Hardware-Sicherheitslücke.

 

[fipS09]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Heißt also auf Deutsch einfach:
Ersetzen Sie die CPU-Hardware

Die zugrunde liegende Sicherheitsanfälligkeit wird hauptsächlich durch die Optimierung der CPU-Implementierungsoptimierung verursacht. Das vollständige Entfernen der Sicherheitsanfälligkeit erfordert das Ersetzen der anfälligen CPU-Hardware.

Updates anwenden

Betriebssystem-Updates mindern die zugrunde liegende Hardware-Sicherheitslücke.

Das witzige ist halt das es nicht viele Möglichkeiten gibt um die Hardware zu ersetzen im Falle von Spectre

 

[Oberst Klink]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Das ist natürlich sehr vertrauenserweckend für die Intel-Kundschaft. Ah siehe da, der CEO stößt schon mal sein Aktienpaket ab, der wird seine Gründe haben.

Es sieht langsam immer mehr danach aus, als bräuchte Intel einen kompletten Neustart. Womöglich wird Intel durch den fallenden Wert jetzt zu einem Übernahmekandidaten, vielleicht für Apple? Jetzt wäre doch die beste Gelegenheit dafür
Jedenfalls sind das interessante Zeiten die wir hier erleben.

 

[wurstkuchen]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Eigentlich heißt das doch für Intel und AMD, dass steigende Aktienkurse bevorstehn, wenn jede CPU der Welt getauscht werden muss (: Da knallen die Sektkorken. Besonders zu den Großkunden Aufträgen aller Rechenzentren, die garantiert keine unsicheren CPUs besitzen können. Frage mich wie schlimm es für Handys wird. Nach den ganzen Horror-Exploits der seltzten Monate kann ich meine ganzen mobilen Geräte am besten gleich wegwerfen.