Erneut Sicherheitslücken bei Intel Prozessoren ab 2015 - Möglicher Performanceverlust / ZombieLoad die 3.

Erneut Sicherheitslücken bei Intel Prozessoren ab 2015 - Möglicher Performanceverlust / ZombieLoad die 3.

Die Updates von Intel, welche Microarchitectural Data Samping (MDS) und Transactional Asynchronous Abort (TAA) absichern sollten (auch bekannt als ZombieLoad und ZombieLoad v2), schützen nicht wie geplant. Weiterhin sind Intel Prozessoren angeifbar. Die nun veröffentlichten Lücke erhielt von der University of Michigan den Namen "CacheOut" und ermöglicht das auslesen von Daten, indem durch die Sicherheitslücke die auszulesenden Daten in den Füll-Buffer geschrieben werden und von dort dann abgegriffen werden. Die Lücke wird als CVE-2020-0549 dokumentiert. Intel stuft die Lücke als "mittel" ein.

Eine Möglichkeit, die Lücke zu schließen wäre es, den L1D-Cache bei jedem Kontext-Switch vollständig zu leeren, was allerdings Performanceeinbußen mitsich bringt. Von der Lücke sind Intel Prozessoren betroffen, die ab 2015 erschienen sind.

Quelle und ausführliche Beschreibung/News
Sicherheitsluecken in Intel-CPUs: Modifizierte Angriffe erfordern BIOS-Updates | heise online

AW: Erneut Sicherheitslücken bei Intel Prozessoren ab 2015 - Möglicher Performanceverlust / ZombieLoad die 3.

Ufff.

Für welche CPUs werden dann Updates angeboten?

AW: Erneut Sicherheitslücken bei Intel Prozessoren ab 2015 - Möglicher Performanceverlust / ZombieLoad die 3.

Was besonders nervt, das Intel davon schon längere Zeit wußte.
Ein Schliessen der Lücke würde weiteren Performanceverlust gegenüber Ryzen 3xxx bedeuten. So kann man sich höhere Leistung, seitens Intels, auch schönrechnen.
Allerdings bleibt noch offen, wie hoch die Einbußen dann tatsächlich ausfallen werden.
Gruß T.

AW: Erneut Sicherheitslücken bei Intel Prozessoren ab 2015 - Möglicher Performanceverlust / ZombieLoad die 3.

Mit den Microcode Updates blickt eh bald keiner mehr durch.

Ich hab mal spaßeshalber für die 4 großen Board Hersteller ein populäres Modell rausgesucht und die jeweils aktuelle Firmware angeschaut, welcher Microcode enthalten ist (exemplarisch für 906EC)

Asrock: Rev. CA vom 03.10.19
Asus: Rev. AE vom 14.02.19
Gigabyte + MSI: Rev. C6 vom 14.08.19

Da sieht man mal, dass es in der Praxis gar nicht die CPU bzw die Leistungseinbußen gibt.

AW: Erneut Sicherheitslücken bei Intel Prozessoren ab 2015 - Möglicher Performanceverlust / ZombieLoad die 3.

Kein Update, kein Leistungsverlust.

AW: Erneut Sicherheitslücken bei Intel Prozessoren ab 2015 - Möglicher Performanceverlust / ZombieLoad die 3.

Schon wieder? ist ja fast wie beim Abgaskandal.

AW: Erneut Sicherheitslücken bei Intel Prozessoren ab 2015 - Möglicher Performanceverlust / ZombieLoad die 3.

Wurden all diese Exploits denn schon in freier Wildbahn ausgenutzt?
Muss ich meine Plutonium-Zentrifugen nun wirklich vonm Netz nehmen?

AW: Erneut Sicherheitslücken bei Intel Prozessoren ab 2015 - Möglicher Performanceverlust / ZombieLoad die 3.

Lexx schrieb:

Wurden all diese Exploits denn schon in freier Wildbahn ausgenutzt?
Muss ich meine Plutonium-Zentrifugen nun wirklich vonm Netz nehmen?

Zum Vergrößern anklicken....

Nur dann, wenn du die Absicht hast oberhalb von 3,67 % anzureichern.

AW: Erneut Sicherheitslücken bei Intel Prozessoren ab 2015 - Möglicher Performanceverlust / ZombieLoad die 3.

AlphaMale schrieb:

Nur dann, wenn du die Absicht hast oberhalb von 3,67 % anzureichern.

Zum Vergrößern anklicken....

Naa, eh nur bis 3,66

Also sind die "Schwachstellen" der CPUs nicht der Rede wert.
Bzw. das Intel-Bashing entbehrlich...

AW: Erneut Sicherheitslücken bei Intel Prozessoren ab 2015 - Möglicher Performanceverlust / ZombieLoad die 3.

Lexx schrieb:

Naa, eh nur bis 3,66

Also sind die "Schwachstellen" der CPUs nicht der Rede wert.
Bzw. das Intel-Bashing entbehrlich...

Zum Vergrößern anklicken....

Naja, was heißt hier entbehrlich. Bei uns im Forum wird es wohl kaum jemanden geben der grds. betroffen ist, aber es soll auch Leute geben die neben Ihrem privaten Atomreaktor arbeiten gehen müssen und eventuell sogar mit einem PC arbeiten. Dort landen vieleicht sehr vertrauliche und geheime Daten, das muss nicht einmal CIA Niveau sein, ich denke da eher kleiner. Aber nehme mal eine Krankenkasse, wenn die die Daten durch so einen Exploit verlieren, dann haben die ein really großes Problem.

AW: Erneut Sicherheitslücken bei Intel Prozessoren ab 2015 - Möglicher Performanceverlust / ZombieLoad die 3.

Was für ein Aufwand muss denn getrieben werden bzw. wie aufwendig im Verhältnis zu anderen, nicht einem Prozessorhersteller exklusiv anzulastenden Sicherheitslücken, wäre es denn einen dieser Intel Exploits zu nützen? Ich habe das Gefühl dass es für zahlreiche Universitäten etc. mittlerweile in den letzten zwei Jahren zum Sport geworden ist irgendwelche theoretische Sicherheitslücken bei Intel zu finden, ganz einfach weil Intel so groß ist und es offenbar ein Trend ist und gute Publicity macht. Wie relevant bzw. praxistauglich diese sind ist da eher zweitrangig, Hauptsache wieder ein Loch im Intelkäse gefunden

Wird denn der selbe Aufwand für die Suche nach solchen Lücken mit AMD-Prozessoren getrieben? Und überhaupt auch anderer Hardware außer Hauptprozessoren?

Scheinbar liegt es im Trend Intel-Bashing zu betreiben, ich hab meinen 7600K auch aus meinem Gamingrechner verbannt, das hat aber andere Gründe, AMD hat einfach im Moement das bessere Angebot am Start

AW: Erneut Sicherheitslücken bei Intel Prozessoren ab 2015 - Möglicher Performanceverlust / ZombieLoad die 3.

Gerry1984 schrieb:

Was für ein Aufwand muss denn getrieben werden bzw. wie aufwendig im Verhältnis zu anderen, nicht einem Prozessorhersteller exklusiv anzulastenden Sicherheitslücken, wäre es denn einen dieser Intel Exploits zu nützen? Ich habe das Gefühl dass es für zahlreiche Universitäten etc. mittlerweile in den letzten zwei Jahren zum Sport geworden ist irgendwelche theoretische Sicherheitslücken bei Intel zu finden, ganz einfach weil Intel so groß ist und es offenbar ein Trend ist und gute Publicity macht. Wie relevant bzw. praxistauglich diese sind ist da eher zweitrangig, Hauptsache wieder ein Loch im Intelkäse gefunden

Wird denn der selbe Aufwand für die Suche nach solchen Lücken mit AMD-Prozessoren getrieben? Und überhaupt auch anderer Hardware außer Hauptprozessoren?

Scheinbar liegt es im Trend Intel-Bashing zu betreiben, ich hab meinen 7600K auch aus meinem Gamingrechner verbannt, das hat aber andere Gründe

Zum Vergrößern anklicken....

Ist sicher eine sehr gute Frage.

BEantworten kann ich (aber wahrscheinlich auch kein anderer) dir das nicht sicher. Nur logisch betrachtet ist die Zahl der Versuche bei häufig vertretenen Geräten sicher höher als bei seltenen Geräten. Bei Apple schwärmen viele ja von der ach so hohen Sicherheit (hat sich ja auch richtig in die entgegen gesetzte Richtung entwickelt), der Mythos kommt aber eben aus der Historie und da gab es Apple Geräte in welcher Anzahl? Ich meine selbst heute liegen die Geräte bei einem Marktanteil der eigentlich lächerlich klein ist. Selbst iOs als stärkstes Produkt (iPhone und iPad) hat nur einen Anteil von rund 20%, im vollwertigen Bereich (MacOs) liegt der Anteil nur bei 10%. Android mit 80% und Windows mit 90% sind da sicher wesentlich attraktiver.

Daher ist der Markt klein und Schwachstellen werden von nicht sovielen Usern gesucht, währenddessen wird bei einem großen Anteil auch vielen daran gelegen sein dort zu suchen. Zum einen ist die Community einfach größer, zum anderen die Auswirkungen (Ausnutzung aus dubiosen Zwecken, mediale Aufmerksamkeit etc). Daher würde ich deine Aussage schon dahingehend interpretieren, dass sicher 80% der Suchenden bei Intel suchen.


Aber, warum auf Intel oft eingedroschen wird. Sie brauchen doch sehr lange um die Lücken zu veröffentlichen und sich brauchen meist noch länger um sie zu schließen und was dann noch kommt, man entzieht sich gelegentlich auch der Verantwortung, nach dem Motto, das muss Intel mal machen.

AW: Erneut Sicherheitslücken bei Intel Prozessoren ab 2015 - Möglicher Performanceverlust / ZombieLoad die 3.

BigBoymann schrieb:

Aber nehme mal eine Krankenkasse, wenn die die Daten durch so einen Exploit verlieren, dann haben die ein really großes Problem.

Zum Vergrößern anklicken....

Wenn du dabei auf den Arbeitsrechner einer beliebigen Bürofachkraft anspielst, sollte man auch mal überlegen, dass in genau diesem Umfeld Intel eingesetzt wird. Sei es als Desktop-Rechner eines OEMs oder im Notebook, wo Intel nach wie vor stark ist. Ob Zen jetzt sicherer ist, sei mal dahingestellt. Aber Zen findet man dann doch eher bei Gamern und/oder Workstation-Usern.

Gerry1984 schrieb:

Was für ein Aufwand muss denn getrieben werden bzw. wie aufwendig im Verhältnis zu anderen, nicht einem Prozessorhersteller exklusiv anzulastenden Sicherheitslücken, wäre es denn einen dieser Intel Exploits zu nützen?

Zum Vergrößern anklicken....

Ziemlich sicher ist es deutlich einfacher und zielführender die klassischen Methoden wie Phishing einzusetzen. Das kann vollautomatisch an unzähligen Ziele angewendet und ausgenutzt werden. Bei den vorgestellten Schwachstellen ist in der Regel ein recht umfassender Zugriff notwendig. Auf VM-Servern könnte man so Daten aus fremden VMs auslesen. Ansonsten steht der Aufwand in keinem Verhältnis zum erwarteten Profit.

AW: Erneut Sicherheitslücken bei Intel Prozessoren ab 2015 - Möglicher Performanceverlust / ZombieLoad die 3.

Wird denn der selbe Aufwand für die Suche nach solchen Lücken mit AMD-Prozessoren getrieben? Und überhaupt auch anderer Hardware außer Hauptprozessoren?

Zum Vergrößern anklicken....

Ich denke schon. Siehe hier: *Klick*
Auch ein Einfallstor für Hacker/Schadsoftware sind Treiber. Das ist auch lohnenswert, da diese eben tief im System verankert sind. Speziell von Lücken in den Grafiktreibern hört man ja des öfteren. Sowohl bei AMD als auch bei Nvidia.

AW: Erneut Sicherheitslücken bei Intel Prozessoren ab 2015 - Möglicher Performanceverlust / ZombieLoad die 3.

TheGermanEngineer schrieb:

die klassischen Methoden wie Phishing einzusetzen

Zum Vergrößern anklicken....

Und die funktionieren auch noch sehr gut.. sind auch für "Nicht-Spezialisten" recht simpel anzuwenden.
Im Gegensatz zu Meltdown und Konsorten.

Hab das früher u.a. öfters mit präparierten Werbe-USB-Stick gemacht, die ich in Postkästen verteilt habe.

AW: Erneut Sicherheitslücken bei Intel Prozessoren ab 2015 - Möglicher Performanceverlust / ZombieLoad die 3.

Gerry1984 schrieb:

Was für ein Aufwand muss denn getrieben werden bzw. wie aufwendig im Verhältnis zu anderen, nicht einem Prozessorhersteller exklusiv anzulastenden Sicherheitslücken, wäre es denn einen dieser Intel Exploits zu nützen? Ich habe das Gefühl dass es für zahlreiche Universitäten etc. mittlerweile in den letzten zwei Jahren zum Sport geworden ist irgendwelche theoretische Sicherheitslücken bei Intel zu finden, ganz einfach weil Intel so groß ist und es offenbar ein Trend ist und gute Publicity macht. Wie relevant bzw. praxistauglich diese sind ist da eher zweitrangig, Hauptsache wieder ein Loch im Intelkäse gefunden

Wird denn der selbe Aufwand für die Suche nach solchen Lücken mit AMD-Prozessoren getrieben? Und überhaupt auch anderer Hardware außer Hauptprozessoren?

Scheinbar liegt es im Trend Intel-Bashing zu betreiben, ich hab meinen 7600K auch aus meinem Gamingrechner verbannt, das hat aber andere Gründe, AMD hat einfach im Moement das bessere Angebot am Start

Zum Vergrößern anklicken....

Es wird genauso bei AMD und VIA geschaut, das täuscht einfach nur, weil eben bei Intel die meisten Fehler drin sind. Meltdown und Spectre zum Beispiel ging bis zum 486 von Intel zurück. Das heißt über 25 Jahre jede Generation anfällig.

Das Problem hierbei ist leider, es wird nie so heiß gegessen wie man es kocht.

Wen betrifft diese Lücken? Mich als normalen Anwender gar nicht. Denn bevor einer auf meinem PC ist, muss er erst einmal im Netzwerk sein und dann muss er auch noch über das No- Know verfügen auf meinen Rechner zu kommen. Bevor man an die CPU heran kommt, hat man vorher viel zu viele Hürden.

Für Firmen sieht das wieder anders aus, dort werden gezielt Angriffe gefahren und dann wird eben genau darauf abgezielt. Daher finde ich es traurig von Intel, dass die eben gar nicht bis viel zu spät reagieren und das lieber absitzen.

AW: Erneut Sicherheitslücken bei Intel Prozessoren ab 2015 - Möglicher Performanceverlust / ZombieLoad die 3.

JanJake schrieb:

Meltdown und Spectre zum Beispiel ging bis zum 486 von Intel zurück. Das heißt über 25 Jahre jede Generation anfällig.

Zum Vergrößern anklicken....

Ja, die stecken in der speculative Execution und in der Out-of-Order-Execution der Prozessoren.
Da sie so signifikant schneller wurden, hat man die Technik lange verwandt, ohne etwas genauer hinzusehen.

JanJake schrieb:

Wen betrifft diese Lücken? Mich als normalen Anwender gar nicht. Denn bevor einer auf meinem PC ist, muss er erst einmal im Netzwerk sein und dann muss er auch noch über das No- Know verfügen auf meinen Rechner zu kommen. Bevor man an die CPU heran kommt, hat man vorher viel zu viele Hürden.

Zum Vergrößern anklicken....

Richtig.
Also: keine Panik!

Was ich als Link auf der heise-Seite gefunden habe:
BIOS-Update - so funktioniert's.

Lest es, es wird lustig:

Das BIOS läuft unterhalb von Windows, also können Sie nicht einfach eine EXE-Datei unter Windows doppelklicken, um ein neues BIOS aufzuspielen.

Zum Vergrößern anklicken....

Wenn ich es nicht gestern erst gemacht hätte ... .

Dabei handelt es sich jeweils um die Firmware des Rechners, also grundlegenste Software, die überhaupt erst den Zugriff auf die Hardware ermöglicht.

Zum Vergrößern anklicken....

Allgemein richtig, speziell falsch.
Das BIOS ist die Firmware des M ... .

AW: Erneut Sicherheitslücken bei Intel Prozessoren ab 2015 - Möglicher Performanceverlust / ZombieLoad die 3.

Von Windows aus habe ich schon BIOS geflasht.

AW: Erneut Sicherheitslücken bei Intel Prozessoren ab 2015 - Möglicher Performanceverlust / ZombieLoad die 3.

Research schrieb:

Von Windows aus habe ich schon BIOS geflasht.

Zum Vergrößern anklicken....

Das geht schon sehr lange, machen würde ich es aber nicht.

Lieber einen leeren Stick und BIOS drauf und eben im BIOS neu drauf spielen, die Gefahr das was schief geht ist eben deutlich geringer.

AW: Erneut Sicherheitslücken bei Intel Prozessoren ab 2015 - Möglicher Performanceverlust / ZombieLoad die 3.

Prinzipiell ja, als Einfallstor für weitere Lücken nett.