Hinweis Sicherheitslücke in (Intel) Prozessoren

Jonn

Realist
Schlimmer geht immer:

Nach diversen Spekulationen über Ursache und Auswirkungen der CPU-Sicherheitslücke nehmen Intel und Google Stellung. Google veröffentlicht Details, außerdem zeigten Sicherheitsforscher mit Spectre und Meltdown zwei Angriffsszenarien

https://www.heise.de/security/meldung/Gravierende-Prozessor-Sicherheitsluecke-Nicht-nur-Intel-CPUs-betroffen-erste-Details-und-Updates-3932573.html

https://www.pro-linux.de/news/1/25473/prozessorfehler-mit-katastrophalen-ausma%C3%9Fen.html
 
Ein Fehler in Prozessoren von Intel soll es möglich machen, auf Speicherbereiche des Prozessors zuzugreifen, die normalerweise den zugehörigen Programmen vorbehalten sein sollten.
Diese Verwundbarkeit soll nun durch betriebssystem-Updates behoben werden, was aber die PCs (angeblich bis zu 30%) verlangsamen könnte:

Intel-Sicherheitslücke könnte Millionen Computer extrem verlangsamen - SPIEGEL ONLINE

Intel selbst schreibt, es seien auch andere Prozessoren betroffen (und nennt AMD), und nennt die Geschwindigkeitseinbußen nur "anwendungsbezogen" - was ja klar ist und damit leider recht ungenau:

https://newsroom.intel.com/news/intel-responds-to-security-research-findings/

Sicherlich eine Meldung, die man nicht nur bis zum nächsten Patchday am 10.01. beobachten sollte...
 
Ein Fehler in Prozessoren von Intel
Mir fehlt hier die klare Definition des FEHLERS.

Eine "Sicherheitslücke" habe ich über den Tag immer wieder gelesen und gehört. In gewissen Kreisen kursiert auch klar die Vermutung, das hier die NSA mal wieder die Finger im Spiel hat.
 
Ich kann mir eher vorstellen, daß über die genauen Eigenschaften der Sicherheitslücke keine Details herausgegeben werden, damit nicht noch mehr Exploits auf dem "Markt" auftauchen.

Heutiges Update dazu bei Heise.
 
ot:
Kleine Verwunderungs-Entwunderung: Jonn und Carhith haben beide ziemlich zeitnahe die gleiche Info gepostet. Ich habe mal beide Threads zusammen gelegt, daher haben wir jetzt quasi 2 Startbeiträge mit unterschiedlichen Quellen. Die wollte ich aber alle stehen gelassen haben. Weitermachen!
 
Mit einem Apple Intel AMD PowerPC Smartphone wäre das nicht passiert!

... Ups!


Echt übel, das Ganze!
Ich hatte mir zwischen den Jahren einen neuen Rechner bestellt und bekam dann von einem guten Bekannten ganz privat den Rat, den Kauf direkt rückgängig zu machen. Auf meine Rückfrage erhielt ich nur als Antwort: Sorry, Geheimhaltungspflicht. Kaufe im Moment einfach keinen Rechner, kein Handy, kein Smart-TV, gar nichts.
Rückgängig machen konnte ich den Kauf nicht direkt, aber ich habe ihn zurück geschickt.

Meltdown und Spectre sind jetzt in aller Munde, von den Herstellern wird es so sehr verharmlost wie nur irgend möglich.
Wie heftig dieses Problem ist, kann man vielleicht daran erkennen, dass die Angriffsszenarien seit den 1. Juni bekannt sind und seitdem die großen Firmen zusammen daran arbeiten, Lösungen für dieses Problem zu finden.

Wirklich schlimm ist daran, dass Prozessoren aller Art seit 1995 betroffen sein können und fast alle es auch sind.
Wirklich schlimm daran ist, dass es die Hardware, die CPU, das Allerheiligste betrifft. Die Architektur einer CPU sollte so sein, dass die Instanzen laufender Programme untereinander nichts voneinander wissen. Damit ist jetzt Schluss.
Das ist der Supergau. Der Begriff wird oft benutzt, diesmal ist er berechtigt.
Das, was uns jetzt angeboten, also auf die Nase gebunden wird, sind viele, viele Krücken, die ein megaschiefes Gebäude stützen müssen. Betriebsysteme und Browser sollen retten, was zu retten ist und die Fehler der CPUs ausbügeln. Nur leider, das weiß jeder, ist Software nicht perfekt, es gibt immer wieder Möglichkeiten, sich Viren und andere böse Programme einzufangen, die mit anderen Programmen und Betriebsystemen böse Sachen machen. Jetzt ist also die Frage, wie schnell die NSA oder einer ihrer Konkurrenten eine Möglichkeit finden Windows, Linux, etc. zu korrumpieren, damit man diese Lücke doch ausnutzen kann.

Meltdown (Kernschmelze)
Jeder hat im Moment Intel im Sinn. Meltdown ist eine Variante, von der (Zur Zeit! Noch nicht alle CPUs sind darauf getestet worden) nur Intel betroffen ist. Diese Möglichkeit ist deutlich einfacher auszunutzen, aber auch leichter zu blockieren. Nicht leicht, aber leichter.
Das Problem: Die Blockade kann den Rechner um bis zu 30% ausbremsen. Theoretisch sogar noch stärker, denn rein rechnerisch könnten es 50% sein, aber das ist ein praxisferner Wert.
Werden wir das merken? Nein bis kaum.
Beim surfen oder benutzen von Officeprogrammen langweilt sich der Rechner sowieso 99,9% der Zeit, es ist nicht merkbar. Bei Spielen wird der Rechner unter Umständen ein paar Prozent langsamer. Ob man das bemerkt, ist fraglich. Kann sein.
Benutzt ihr euren Rechner als Server für eine riesige Datenbank, habt ihr ein wirkliches Problem. Also niemand von uns.

Um es klar zu stellen: Die Patches für die verschiedenen Betriebssysteme und Browser, die in den letzten Tagen erschienen sind oder in den nächsten Tagen erscheinen werden, betreffen ausschließlich Meltdown!


Spectre (Gespenst)
Dies betrifft so viele Prozessoren, dass die Liste unübersichtlich wird. Dabei ist sie noch lange nicht vollständig.
Ob Intel, AMD, ARM, PowerPC - alle haben haufenweise CPUs und SoCs, die betroffen sind. Diese Lücke ist zwar nur äußerst schwer auszunutzen, aber auch katastrophal schwer zu flicken. Es gibt noch kein Mittel dagegen. Aber weil eben die Lücke so extrem schwer auszunutzen ist, haben die Spezialisten nur wenig Angst davor, dass es in näherer Zeit passieren könnte.
PowerPC - wer hat einen? Wohl kaum jemand. Aber Intel oder AMD hat wohl jeder im Rechner. Die Firmen schieben viele Überstunden, um dem Problem Herr zu werden und vorhandene Rechner über Updates irgendwie abzusichern.

Auch ARM ist betroffen. Hat jemand schon davon gehört? ARM (früher Advanced RISC Machines) verkauft Chipdesigns und ARM-Architekturlizenzen, sie sind also selbst keine Produzenten. Aber die Kundenliste ist lang: Intel, AMD, Apple, Samsung, Qualcomm, Nvidia, Toshiba und viele mehr.
Jetzt sind eher bekannte Namen dabei, richtig? Genau, schaut genau euer Smartphone an, es könnte betroffen sein. (Ja, auch iPhones!)
Doch ihr schaut euch besser genauer um. Euer Smart-TV, euer DVD-Player, der schicke Receiver, irgendwelche "smarte" Geräte... Alles, was etwa acht Jahre oder jünger ist, hat eine gute Chance, einen Chip mit ARM-Architektur zu beherbergen.
Und jetzt ratet mal, wie viele Updates ihr für diese Geräte erhalten werdet, insbesondere, wenn sie nicht nagelneu sind.

Ach ja, immer diese Verschwörungstheoretiker!
Natürlich ist es viel zu viel Aufwand, einen dämlichen Fernseher so kompliziert anzugreifen. Und überhaupt, was ist schon interessant auf meinem Handy, dass es diese Mühe rechtfertigen könnte?
Das gilt natürlich nur so lange, bis jemand weiß, wie es einfach geht.
 
Zuletzt bearbeitet:
hmm, ich nehme an das sehr viele so denken wie ich.
Meine Daten sind da nicht so wichtig.
-Bankdaten sind nicht auf dem Rechner
-Urlaubsfotos wo mein Bierbauch zu erkennen ist, naja wenn es jemand geil macht ;)
-eine Hand voll Logindaten, OK sehr ärgerlich aber nicht existensbedrohend

Viel interesssanter sieht aus da bei Unternehmen/Banken usw. aus.
So lange kein Aufschrei durch die Wirtschaft geht, ist doch alles tuti.


Wie ich es bisher verstanden habe, ist es auch nicht ohne weiteres möglich
durch diese "Backdoors" komplexe Daten bzw. Datensätze abzugreifen
oder zu verändern.
 
Das sehe ich ähnlich.Die mit richtigen Performance Problemen rechnen können sind größere Serverbetreiber weil nach dem Installieren der Patches und härten des Kernels werden mehr syscalls stattfinden und somit einige Systeme an die Grenzen bringen
 
Ein kleines Update.

AMD, das sich Anfangs nicht betroffen sah, hat in der letzten Woche plötzlich festgestellt, dass Spectre wohl doch eine ganze Reihe ihrer CPUs angreifen kann. (Gut, die kennen das Problem ja erst seit einem halben Jahr, da kann man schon mal überrascht sein.) Sie wollen jetzt doch Patches für eine Reihe ihrer Produkte heraus bringen.
Für welche haben sie noch nicht verraten, aber wahrscheinlich wird es so ähnlich laufen wie bei Intel.
Intel nämlich hat angekündigt, noch diesen Monat Patches für alle CPUs zu verteilen - ab der Haswell-Archtektur, welche ab der zweiten Jahreshälfte 2013 in Produktion ging.
Meinen Laptop habe ich Ende 2012 gekauft. Wenn euer Rechner ebenfalls nicht mehr ganz jung ist:
:effewink :ätsch :Galgen

Das liegt aber auch daran, dass diese Patches gegen Spectre scheinbar über ein BIOS-Update eingespielt werden müssen. Und da sind die Hersteller der Computer und Mainbords gefragt. Das letzte BIOS-Update für meinen Laptop gab es 2013, da wird auch nichts hinterher kommen. Und mit welchem Enthusiasmus die Hersteller die Updates für ihre Computer zur Verfügung stellen, wird man noch sehen. Wahrscheinlich mit dem gleichen Elan, den man von Android-Updates her kennt.

Ach ja...
Die erste Schadsoftware, die die fast gar nicht und unendlich schwer ausnutzbare Spectre-Lücke ausnutzt, wurde letzte Woche auch schon gefunden.
 
Trotzdem hat das Ganze einen faden Beigeschmack,gerade weil ständig der Hardware/PC Markt 'angeblich' stagniert. Man kennt es doch von Android - es sollen ständig vieles neu verkauft werden.Wenn keine Probleme vorhanden sind, produziere welche und verkaufe die Lösung ;)
 
Oben