Meltdown und Spectre: Updates zu Apple, Microsoft, Mozilla und Intel

[PCGH-Redaktion]

Jetzt ist Ihre Meinung gefragt zu Meltdown und Spectre: Updates zu Apple, Microsoft, Mozilla und Intel

Meltdown und Spectre wüten seit einigen Tagen durch die Medien und nun hat sich auch Apple sich zum Thema geäußert. Natürlich sind auch deren Produkte betroffen. Mozilla veröffentlicht indes ein Update zu Firefox, Microsoft für Windows 7/8 und Intel zum Ausmaß nach eigener Einschätzung.

Bitte beachten Sie: Der Kommentarbereich wird gemäß der Forenregeln moderiert. Allgemeine Fragen und Kritik zu Online-Artikeln von PC Games Hardware sind im Feedback-Thread zu veröffentlichen und nicht im Kommentarthread zu einer News. Dort werden sie ohne Nachfragen entfernt.

Zurück zum Artikel: Meltdown und Spectre: Updates zu Apple, Microsoft, Mozilla und Intel

 

[Baker79]

Aber halt auch erst vor kurzem. Wo ja der Fehler bereits seint Juni bekannt war. Jetzt also nicht überschwenglich einen Anbieter in den Himmel heben.

 

[RicGom]

Das stimmt nicht ganz, habe es eben gerade gestern getestet im OS X und Windows... den Fehler wurde gar nicht behoben und ich kann weiterhin Passwörter aus der Memory einlesen sobald man einen Intel CPU einsetzt. Die selbe Prozedur mit Ryzen funktionierte nicht, das heisst das AMD Ryzen nicht davon betroffen ist.

 

[CvBuron]

Die selbe Prozedur mit Ryzen funktionierte nicht, das heisst das AMD Ryzen nicht davon betroffen ist.

Nö, das heißt nicht, dass Ryzen nicht betroffen ist, sondern das der gegenwärtige Exploit derzeit nicht bei Ryzen funktioniert. Meltdown ist eine auf Intel CPUs spezialisierte Variante von Spectre, AMD wurde nicht so intensiv getestet (die spielen ja seit Jahren auch keine Rolle mehr, vor allem im Servermarkt). Jetzt werden sich natürlich um einiges mehr an Leuten die Sache ganz genau anschauen, und eigentlich ist es auch nicht unwahrscheinlich, dass es dann noch eine AMD-Meltdown Variante geben wird - schließlich nutzen die auch Speculative Execution, nur anders als Intel - daher braucht es selbstverständlich auch eine andere Methodik des Angriffs. Die Grundschwäche liegt da auch nicht bei Intel/AMD/ARM oder sonstwas, sondern in der aktuellen CPU-Architektur begründet.

 

[DKK007]

Wie sieht es denn bei den Linux-Distributionen mit Kernelupdates aus?

Muss man eigentlich auch die Systeme in der VM aktualisieren, oder nur das Hostsystem?

 

[CvBuron]

Wie sieht es denn bei den Linux-Distributionen mit Kernelupdates aus?

Muss man eigentlich auch die Systeme in der VM aktualisieren, oder nur das Hostsystem?

Noch keine flächendeckenden, aber sollten alle noch am Wochenende / Anfang der Woche kommen.

Host+VM patchen: Klassisches Kommt-Drauf-An. Je nach Art der Virtualisierung (teil- oder vollvirtualisiert) gibt es unterschiedlichen Zugriff auf die Host-CPU. Also am besten gleich beides patchen.

 

[DKK007]

Ich verwende VirtualBox. Bräuchte das selbst auch noch einen Patch, insb. wegen Spectre?
Alle VMs Patchen wird recht aufwendig, zumal ich zwar regelmäßig VMs verwende, aber die wechseln recht häufig, je nachdem was gerade gebraucht wird.

 

[Oberst Klink]

Inzwischen liest man auch von Spekulationen darüber, dass diese Sicherheitslücken bestünden, quasi als Backdoor für Geheimdienste.
Wundern würde mich das nicht, zumal mittlerweile ja alles betroffen ist, von Apple, Intel, diversen Android-Geräten, etc. Das würde dann wieder die Frage aufwerfen, ob die Patches wirklich etwas bewirken oder ob wir das nur glauben sollen.
Aber wie gesagt, das ist reine Spekulation und ich will mich darin jetzt auch nicht weiter vertiefen. Fand es nur interessant das mal zu erwähnen.

 

[sterreich]

Da liegst aber kräftig daneben. Google hat auch schon Mitte Dezember gefixed und die entsprechenden Patches im Security-Patch für Januar 2018 ausgerollt - schließlich wurde das ganze Problem ja auch von Google (Project Zero) entdeckt und ausgearbeitet. Wie die anderen Hersteller nachziehen, ist deren Sache - Samsung wird aber wohl auch die Woche (und damit noch vor dem eigentlich geplanten Fall des NDA) ausrollen.

Das Problem dabei ist, das die wenigsten Android-Nutzer besagten Patch erhalten werden. Die Vielseitigkeit ist in dem Fall keine Stärke sondern ein Schwachpunkt.

Gibt natürlich Ausnahmen wie Pixel und OnePlus. Ich persönlich würde mir aber nur noch Geräte mit Custom-ROM Kompatibilität besorgen.

 

[DKK007]

Gibt natürlich Ausnahmen wie Pixel und OnePlus. Ich persönlich würde mir aber nur noch Geräte mit Custom-ROM Kompatibilität besorgen.

Wobei dafür ein Rooten nötig ist, was auch wieder Gefahren reißt. Oder kann das Custom-ROM in einen ungerooteten zustand versetzen?

 

[MTMnet]

Bin etwas verwirrt, mein I7-4930 K Ivy Bridge-E So2011 / X79 / 22nm ist glaube ich nicht in der Intel Liste aufgeführt...
fehlt wohl noch in der Liste oder er fällt unter die Kategorie allgemein Gen.4

 

[DKK007]

Alle Haswell(-E) CPUs sind betroffen.

 

[BurningEnlightenment]

Das Problem dabei ist, das die wenigsten Android-Nutzer besagten Patch erhalten werden. [...]
Ich persönlich würde mir aber nur noch Geräte mit Custom-ROM Kompatibilität besorgen.

Es ist einfach lächerlich, dass die meisten Hersteller die Android Sicherheitspatches nur extrem verzögert und nach viel zu kurzer Zeit gar nicht mehr ausliefern. Da hat man dann im ungünstigsten Fall die Wahl zwischen Garantieverlust, Sicherheitsrisiko und Neukauf
Wobei man dann aber auch sehen muss, dass die meisten User sich überhaupt gar keine Gedanken über ihren Android Security Patch Level oder gar Custom ROMs machen. Wenn ich orakeln müsste, würde ich sagen das Botnet der Zukunft läuft auf alten Android Geräten

Wobei dafür ein Rooten nötig ist, was auch wieder Gefahren reißt. Oder kann das Custom-ROM in einen ungerooteten zustand versetzen?

Prinzipiell muss nur der bootloader das flashen von Custom ROMs unterstützen und das gewünschte Custom ROM den bootloader. Da allerdings AFAIK alle Herstellerbootloader (aus gutem Grund) vom Hersteller signierte ROMs erzwingen, muss der bootloader (bspw durch TWRP) ersetzt und hierfür unlocked werden (hierbei erlischt bei den meisten Geräten die Garantie). Für das unlocken kann je nach Hersteller root access notwendig sein, die meisten Geräte lassen sich aber per adb oder manchmal direkt per Android Option unlocken. Das letztendlich installierte Custom-ROM wird dadurch jedoch nicht beeinflusst, d.h. du kannst dir eine Custom-ROM raussuchen und installieren die nicht gerootet ist. Bspw lineage os ist per default nicht gerootet, was allerdings in den developer options geändert werden kann.

TL;DR Custom ROM != gerootet

HTH

 

[CvBuron]

Ich verwende VirtualBox. Bräuchte das selbst auch noch einen Patch, insb. wegen Spectre?
Alle VMs Patchen wird recht aufwendig, zumal ich zwar regelmäßig VMs verwende, aber die wechseln recht häufig, je nachdem was gerade gebraucht wird.

VirtualBox wird sicherlich einen Patch erhalten, um den Hypervisor besser abzusichern - wahrscheinlich wirds wie bei den Browsern auf eine Herabsetzung der Timer-Genauigkeit herauslaufen, sowie Einfügen anderer "Bremsklötze" im Hypervisor um die Effizienz möglicher Seitenkanal-Angriffe zu reduzieren. Zumindest der Ausbruch aus der VM sollte damit abgesichert sein, was bei einer ungepatchten VM möglich sein wird, kann ich dir nicht genau vorhersagen, das hängt von der spezifischen Implementierung der virtualisierten CPU ab. Ohne Gewähr, bei einem gepatchten Host sollten die VMs bei Teil/Paravirtualisierung eigentlich unempfindlich sein

Inzwischen liest man auch von Spekulationen darüber, dass diese Sicherheitslücken bestünden, quasi als Backdoor für Geheimdienste.
Wundern würde mich das nicht, zumal mittlerweile ja alles betroffen ist, von Apple, Intel, diversen Android-Geräten, etc. Das würde dann wieder die Frage aufwerfen, ob die Patches wirklich etwas bewirken oder ob wir das nur glauben sollen.
Aber wie gesagt, das ist reine Spekulation und ich will mich darin jetzt auch nicht weiter vertiefen. Fand es nur interessant das mal zu erwähnen.

Würde ich nicht davon ausgehen, das wäre ein sauberer Schuss ins eigene Knie, da durch eine derartige Backdoor die eigenen Systeme ebenso verwundbar sind wie die des Feindes. Plus, eine gescheite Absicherung ist per Software nicht möglich, also könnte der Verursacher-Geheimdienst sich nicht richtig gegen andere Dienste schützen.

Es ist einfach lächerlich, dass die meisten Hersteller die Android Sicherheitspatches nur extrem verzögert und nach viel zu kurzer Zeit gar nicht mehr ausliefern. Da hat man dann im ungünstigsten Fall die Wahl zwischen Garantieverlust, Sicherheitsrisiko und Neukauf
Wobei man dann aber auch sehen muss, dass die meisten User sich überhaupt gar keine Gedanken über ihren Android Security Patch Level oder gar Custom ROMs machen. Wenn ich orakeln müsste, würde ich sagen das Botnet der Zukunft läuft auf alten Android Geräten


Prinzipiell muss nur der bootloader das flashen von Custom ROMs unterstützen und das gewünschte Custom ROM den bootloader. Da allerdings AFAIK alle Herstellerbootloader (aus gutem Grund) vom Hersteller signierte ROMs erzwingen, muss der bootloader (bspw durch TWRP) ersetzt und hierfür unlocked werden (hierbei erlischt bei den meisten Geräten die Garantie). Für das unlocken kann je nach Hersteller root access notwendig sein, die meisten Geräte lassen sich aber per adb oder manchmal direkt per Android Option unlocken. Das letztendlich installierte Custom-ROM wird dadurch jedoch nicht beeinflusst, d.h. du kannst dir eine Custom-ROM raussuchen und installieren die nicht gerootet ist. Bspw lineage os ist per default nicht gerootet, was allerdings in den developer options geändert werden kann.

TL;DR Custom ROM != gerootet

HTH

Prinzipiell liegst du richtig, es ist ein Unding was Firmen wie Samsung & Co. hier abziehen. Die Situation hat sich zumindest durch Googles Bemühungen die Sicherheitsupdates herstellerunabhängig auszurollen verbessert, aber es ist trotzdem noch ein langer Weg. Auch bis die ganzen EOL-Geräte tatsächlich mal verschwinden. An sich ist Android ein sehr sicheres mobiles Betriebssystem und auch von der Sicherheits-Architektur her durchdacht - der "Freiheitsgedanke" ist hier das "Problem". Würde Google den Sack tatsächlich zumachen, und die Installation von unsignierter Software (aus fremden AppStores) verbieten, hätten sie schlagartig eine Menge Probleme gelöst und würden schnell das Sicherheitsniveau von Apple erreichen. Die allermeiste Malware für Android kommt aus inoffizellen AppStores (China!) und raubkopierter oder gecrackter Software, die hauptsächlich auf hoffnungslos veralteten und ungepatchten Geräten installiert wird. Anders formuliert: Das beste Sicherheitssystem der Welt hilft dir nicht viel, wenn der Benutzer wie ein Schimpanse alles herunterlädt und installiert, was er in die Finger bekommt. Oft argumentiert, aber unwahr: Apples iOS ist ja soviel sicherer - wäre das wahr, gäbe es keine Jailbreaks, die zumeist auf Privilege Escalation durch Buffer Overflow resultieren Im Endeffekt ist dasselbe wie mit dem Vergleich zwischen Windows und Mac - iOS und MacOS sind geschlossene Systeme, in denen Apple vorschreibt, wie das System zu nutzen ist, während man bei Windows/Android das System so nutzen kann wie man möchte (was das Herunterladen und Installieren von Mist einschließt).

 

[DKK007]

Mittlerweile gibt es auch den LTS-Kernel 4.14.12, wo der Patch mit eingearbeitet ist, welcher KPTI auf AMD-CPUs deaktiviert.
Index of /~kernel-ppa/mainline/v4.14.12

 

[Freakless08]

Nö, das heißt nicht, dass Ryzen nicht betroffen ist, sondern das der gegenwärtige Exploit derzeit nicht bei Ryzen funktioniert. Meltdown ist eine auf Intel CPUs spezialisierte Variante von Spectre, AMD wurde nicht so intensiv getestet (die spielen ja seit Jahren auch keine Rolle mehr, vor allem im Servermarkt).

Meltdown und Spectre sind nicht die gleiche Sicherheitslücke - nur an Intel angepasst. Die funktionieren von der Ausführung unterschiedlich benutzen aber beide out of order.

Meltdown (Sicherheitslucke) – Wikipedia
Spectre (Sicherheitslucke) – Wikipedia

 

[BigYundol]

*Meinen Ryzen tätscheln*

 

[Casurin]

*Meinen Ryzen tätscheln*

Warum? Weil die Sicherheitslücke die AMD betrifft nicht meltDown heist?

 

[Tekkla]

Warum? Weil die Sicherheitslücke die AMD betrifft nicht meltDown heist?

Wie heißt sie denn?

 

[CvBuron]

Er meint Spectre, aber die spezialisierte für AMD gibt es ja noch nicht