Meltdown & Spectre: Sicherheitsrisiken durch Spekulation bei aktuellen Prozessoren [Archiv] - Seite 3

Armaq

2018-01-04, 23:27:33

Man kann sicher davon ausgehen, dass nach den aktuellen Veröffentlichungen sich diverse Forscher dran machen in der Art und Weise noch mehr zu finden. Wer weiß wie viele mögliche Angriffsmuster sich dort noch so verstecken.
Das ist ja das Hauptproblem bei Spectre.

Ich glaube Du hast ihn mißverstanden. Es ging nicht um den Patch als Ganzen (wie Du scheinbar annimmst) sondern darum, dass in dem Patch ja noch andere Dinge geändert worden sein könnten. Das bezieht sich jetzt auf den Kernelpatch für Meltdown?
Ja, der Meltdown Patch. Alles andere ist nicht per Patch machbar und auch nicht verfügbar.

Man darf ja auch nicht vergessen, dass bspw. in einer Shared Infrastructure auch der User der VM einen Patch installieren muss. D.h. auf den total nachlässig administrierten Servern bei den großen Massenhostern, ist überhaupt nicht sichergestellt, dass die Nutzer der VMs auch patchen. Es gibt Kunden denen ist das scheiß egal und da läuft halt Suse in uralt mit php 5.1 und gut ist. Die anderen VMs auf der gleichen Node sind aber durch Meltdown immernoch gefährdet (mein jetziger Kenntnisstand).

Ganon

2018-01-04, 23:45:29

Das ist ja das Hauptproblem bei Spectre.

Aber es könnten durchaus noch diverse Leute in Richtung Meltdown suchen. Meltdown wie es jetzt ist hängt natürlich an den entsprechenden Schwachstellen in den CPUs, aber das müssen ja nicht die einzigen Schwachstellen gewesen sein.

Blediator16

2018-01-04, 23:48:02

Ekelhaft wie Intel in jedem Statement auch die anderen Firmen reinziehen will, während die anderen sich nur um Ihre Produkte kümmern ohne Intel dabei zu erwähnen.

nonharderware

2018-01-04, 23:54:12

Ekelhaft wie Intel in jedem Statement auch die anderen Firmen reinziehen will, während die anderen sich nur um Ihre Produkte kümmern ohne Intel dabei zu erwähnen.

Dürfte ich um Quellen bitten?
Wie definierst du "reinziehen"?

Demirug

2018-01-04, 23:55:33

Man darf ja auch nicht vergessen, dass bspw. in einer Shared Infrastructure auch der User der VM einen Patch installieren muss. D.h. auf den total nachlässig administrierten Servern bei den großen Massenhostern, ist überhaupt nicht sichergestellt, dass die Nutzer der VMs auch patchen. Es gibt Kunden denen ist das scheiß egal und da läuft halt Suse in uralt mit php 5.1 und gut ist. Die anderen VMs auf der gleichen Node sind aber durch Meltdown immernoch gefährdet (mein jetziger Kenntnisstand).

Azure forciert gerade die Updates und ich habe deswegen Spaß im Urlaub. Ursprünglich war das erst ab dem 10 geplant.

LadyWhirlwind

2018-01-04, 23:59:57

Azure forciert gerade die Updates und ich habe deswegen Spaß im Urlaub. Ursprünglich war das erst ab dem 10 geplant.

Kann Microsoft bei Azure das erzwingen?

Aber wenn da wirklich der Gast patchen muss, wird das richtig ungemütlich.

Boris

2018-01-05, 00:00:42

Dürfte ich um Quellen bitten?
Wie definierst du "reinziehen"?
Schau dir mal die bisherigen Pressemitteilungen an, da wird mehrmals darauf verweisen, dass alle (implizit gleich stark) von den Problemen betroffen sind. Klar, die müssen das so machen, aber hinterlässt halt ein Geschmäckle...

Blediator16

2018-01-05, 00:01:52

Dürfte ich um Quellen bitten?
Wie definierst du "reinziehen"?

Ja gerne:

AMD Statement:
https://www.amd.com/en/corporate/speculative-execution
ARM Statement:
https://developer.arm.com/support/security-update

Dagegen die Intel Statements:

https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00088&languageid=en-fr
https://newsroom.intel.com/news/intel-responds-to-security-research-findings/

Gerne erwähnt Intel auch alle anderen CPU Hersteller bloss nicht alleine dastehen :rolleyes:

Absolut kein Rückgrat.

deekey777

2018-01-05, 00:06:39

Windows 10 Pro x64 1709 (mit dem Update) with A10-9600P:

Speculation control settings for CVE-2017-5715 [branch target injection]
Hardware support for branch target injection mitigation is present: False
Windows OS support for branch target injection mitigation is present: True
Windows OS support for branch target injection mitigation is enabled: False
Windows OS support for branch target injection mitigation is disabled by system policy: False
Windows OS support for branch target injection mitigation is disabled by absence of hardware support: True

Speculation control settings for CVE-2017-5754 [rogue data cache load]
Hardware requires kernel VA shadowing: False

Demirug

2018-01-05, 00:14:41

Kann Microsoft bei Azure das erzwingen?

Aber wenn da wirklich der Gast patchen muss, wird das richtig ungemütlich.

Wir haben nur Windows Maschinen bei Azure und da erzwingen sie es gerade für jede Gast VM. Was sie bei den Linux Systemen machen weiß ich nicht.

Die Hosts sind wohl schon aktualisiert das geht wie ich mir habe sagen lassen inzwischen on the fly ohne das die Gast VMs dafür runterfahren müssen.

Armaq

2018-01-05, 00:16:20

Azure forciert gerade die Updates und ich habe deswegen Spaß im Urlaub. Ursprünglich war das erst ab dem 10 geplant.
Die Meltdown Hacks kommen, da können wir uns alle sicher sein. Und die Jungs werden genug Futter finden, auch wenn viele reagieren. Viel mehr werden nicht reagieren. Meltdown geht halt per javascript, nodejs, ajax uvm. das ist das Problem. Jeder der mit einer Intel CPU surft und kein Patch hat, bekommt über die Werbung den Schadcode ohne sich wehren zu können und der Angreifer muss nichts mehr groß tun. Er liest alles mit was im RAM hängt...

Online Banking ist zZ nicht zu empfehlen.

Spectre erfordert soweit ich das verstand und es mir vermittelt wurde Zugriff auf die Maschine und man bekommt nicht sofort was man will, sondern muss warten. D.h. bei einem Exploit von großen HW-Nodes muss ich zT viele hundert GB RAM "abwarten" und die Branch Prediction muss sich erstmal durch alles arbeiten. Ist dann das Wunschpasswort aber wirklich nur auf der Platte und wird nicht abgefragt, bekommt der Angreifer auch nichts.

Die Infra aller Cloud Anbieter kann ohne Endkundenkontakt komplett gepatcht werden. Das geht automatisch für alle Komponente der Cloud, aber nicht für die VM auf der Cloud und das MS es per Force durchdrückt zeigt wie gefährlich es ist. Damit ist mehr oder minder klar, dass jeder Freizeitadmin unbedingt updaten muss, sonst sind hunderttausende Maschinen die von Gameserver bis Dateischlampe alles bereitstellen offen für Meltdown. Welcome to shit country. Dein Mietnachbar auf der Hetzner VM updatet nicht und der Angreifer liest deine Passwörter mit.

Lord Wotan

2018-01-05, 00:16:39

Dagegen die Intel Statements:

https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00088&languageid=en-fr
https://newsroom.intel.com/news/intel-responds-to-security-research-findings/

Gerne erwähnt Intel auch alle anderen CPU Hersteller bloss nicht alleine dastehen :rolleyes:

Absolut kein Rückgrat. Ja perfide, aber durchschaubar.
Intel wollte damit die Kurzgewinne von AMD stoppen und ihren Abstützt retten. Erstmal hatte Intel damit Erfolg.

Aber das Geile, jetzt befassen sich die Medien mit der Geschichte des Intel CEO und den Intel Aktienskandal. Insiderhandel ist Strafbar. Den Intel Aktionären, das Intelbug Problem zu verschwiegen, was zum Kurssturz führte, ist auch Strafbar. Da Intel mindestens seit Juli 2017 Bescheid wusste und seinen Aktionären dazu nicht sagte. Aber lt Gesetz ist Intel verpflichtet, das bei Kenntnis ihren Aktionären sofort mitzuteilen. Intel hat das nicht getan und somit seinen Aktionären bewusst geschadet oder das zu mindestens billigend in kauf genommen. So oder so, ist die Sache jetzt wohl etwas, für einen Staatsanwalt in der USA. Und 25 Jahre so einen Bug, in der CPU mitzuschleppen, bei diesen Auswirkungen des Bugs, ist nicht gerade ein Aushängeschild, für die QM Abteilung von Intel. Das werden sich garantiert auch die Anleger von Intel sagen. Für AMD ist die Geschichte ein Segen. So kann sie endlich Intel langfristig von Platz 1 stoßen. Mein nächster PC wird bestimmt einer mit AMD CPU. Der ganze Umgang von Intel mit diesen Hardwarebug, stinkt zum Himmel.

nonharderware

2018-01-05, 00:17:06

...Edit.

LadyWhirlwind

2018-01-05, 00:26:31

Wir haben nur Windows Maschinen bei Azure und da erzwingen sie es gerade für jede Gast VM. Was sie bei den Linux Systemen machen weiß ich nicht.

Die Hosts sind wohl schon aktualisiert das geht wie ich mir habe sagen lassen inzwischen on the fly ohne das die Gast VMs dafür runterfahren müssen.

Danke für die Info.
Kann man das wirklich nicht hostseitig unterbinden? Grosse Provider werden es kaum schaffen alle schwarzen Schafe fernzuhalten.

Edit: Hat irgendwer einen Link, der einigermassen verständlich einer Laiin erklärt wie das mit dem Leaken genau funktioniert?

Demirug

2018-01-05, 00:28:52

das MS es per Force durchdrückt zeigt wie gefährlich es ist.

Versteh mich nicht falsch. Ich habe kein Problem das sie das durchdrücken. Ich ärgere mich nur wegen dem schlechten Timeing da ich das ganze zu normalen Arbeitszeiten am nächsten Montag machen wollte.

Sven77

2018-01-05, 00:31:26

Den Intel Aktionären, das Intelbug Problem zu verschwiegen, was zum Kurssturz führte, ist auch Strafbar.

So ein Blödsinn

Lord Wotan

2018-01-05, 00:39:04

So ein Blödsinn
Tagesthemen bei ihren Börsenthema, das Ausführlich erklärt. Also kein Blödsinn. Intel hätte ihre Aktionäre sofort informieren müssen, also in Juli 2017, da absehbar war, das dieser Bug zu Kurzeinbrüchen führen wird. Also informiere du dich bitte erst mal, bevor du hier was von Blödsinn schreibst. Das Mark in der "BRD", Schweiz, England oder Österreich anders sein. In den USA ist das aktuelles Recht. In der selben Sendung, wird auch auf den Skandal des Aktienverkaufs des Intel CEO eingegangen. Natürlich sagt er, das hat nichts mit den Bug zu tun. Was soll er auch sonst sagen, da Insiderhandel ja Knast bedeutet. Und er sich wohl nicht selbst bezichtigen wird. http://www.ardmediathek.de/tv/Tagesthemen/tagesthemen/Das-Erste/Video?bcastId=3914&documentId=48914036

gravitationsfeld

2018-01-05, 01:01:54

Das ist in den USA tatsaechlich so, ja.

Linmoum

2018-01-05, 01:11:03

Auch Apple hat sich jetzt geäußert
Apple has already released mitigations in iOS 11.2, macOS 10.13.2, and tvOS 11.2 to help defend against Meltdown. Apple Watch is not affected by Meltdown. In the coming days we plan to release mitigations in Safari to help defend against Spectre. We continue to develop and test further mitigations for these issues and will release them in upcoming updates of iOS, macOS, tvOS, and watchOS.
https://support.apple.com/en-us/HT208394

CompuJoe

2018-01-05, 01:18:05

Dazu kommt ja noch das sie eine neue CPU Reihe releasen mit dem Wissen das der Bug vorhanden ist.
Wie gesagt ich bin der Meinung die haben den Release nicht nur wegen Ryzen vorgezogen sondern auch aus dem Grund das die Veröffentlichung des Bugs nicht den Release von Coffee-Lake und Skylake-X torpediert.

Die hätten die 8th gen gar nicht relasen dürfen mit dem Wissen, und aus dem Grund und anderen wird auch gerade schon ermittelt wenn ich das richtig verstanden habe!

Nightspider

2018-01-05, 01:51:25

Ist das Problem hardwareseitig eigentlich einfach zu fixen oder wird das dann erst mit der übernächsten CPU Generation gefixt?

StefanV

2018-01-05, 02:24:47

Noobfrage:
Jetzt wo die Schwachstellen öffentlich geworden sind wirds wohl demnächst auch Schadsoftware geben die sie ausnutzen(?). Was passiert mit alter Hard und Software, zB XP Rechner, oder Smartphones die nicht mehr geupdated werden?
Inwieweit, bzw für was, bzw unter welcher Voraussetzung, lassen sich die Dinger noch verwenden?
XP; SRYSLY?!

Aber ums mal so zu sagen:
XP ist nicht betroffen, weil du eh meistens als Admin rumgeisterst, weswegen es auch keinen Ausbruch aus dem Userspace geben kann.

Ist das Problem hardwareseitig eigentlich einfach zu fixen oder wird das dann erst mit der übernächsten CPU Generation gefixt?
DAs ist der SUPERGAU für die Hardware.

Weil du musst den Branch Predictor in der CPU austauschen/ersetzen. Das bedeutet dann ein komplettes Redesign von der CPU.

gravitationsfeld

2018-01-05, 02:32:12

Ist das Problem hardwareseitig eigentlich einfach zu fixen oder wird das dann erst mit der übernächsten CPU Generation gefixt?
Meltdown sollte einfach sein. Möglicherweise sogar durch uCode-Updates. Spectre ist quasi nicht zu beheben in High-Performance-CPUs. Da wird es wohl auf Mitigations raus laufen.

Nightspider

2018-01-05, 02:34:46

Weiß nicht ob es hier schon war aber kann mir nochmal einfach erklären, warum AMD nicht oder zumindest nicht so sehr betroffen ist von Meltdown oder Spectre wie Intel?

Ah habs selber gefunden:

AMD erklärte, dass die eigenen Prozessoren von den in den Analysen durch Google Project Zero beschriebenen Angriffsvarianten nach den bisherigen Untersuchungen nur in einem Fall (Variant One, Bounds Check Bypass) betroffen seien.

Bei Variante Zwei (Branch Target Injection) sehe man durch Unterschiede in der Architektur bei AMD-CPUs praktisch keine Gefahr, dass die Lücke genutzt werden könne, Variante 3 (Rogua Data Cache Load) könne aufgrund dieser Architekturunterschiede auf keinen Fall ausgenutzt werden.

CompuJoe

2018-01-05, 03:18:35

Wie gesagt, ich bin der Meinung, Coffee-Lake schnell noch vorzeitig relesaen um Kohle rein zu holen.
Cannon-Lake zum Teil oder komplett gestrichen mit dem Vorwand 10nm funzt nicht richtig, in der Realität basteln die am Chipdesign.
Intel wie immer, keine Fehler eingestehen und andere Gründe/Hersteller angeben/reinziehen um abzulenken.

PrivateCeralion

2018-01-05, 04:28:09

https://twitter.com/never_released/status/948996493280731139?s=09

On Skylake and later, Redpoline doesn't work, and you need to use IBRS (and for that, microcode update). A perf hit for SKL/KBL/CFL is coming next...

Das wars dann...

Nightspider

2018-01-05, 04:53:22

Und auf Deutsch?

StefanV

2018-01-05, 05:05:03

Und auf Deutsch?
Brauchen BIOS Patch, kostet performance.

Boris

2018-01-05, 05:12:06

Wow, das wäre nahezu der worst case.

uweskw

2018-01-05, 07:29:36

Ok: Intel versucht offensichtlich auf biegen und brechen alle anderen Hersteller irgendwie mit reinzuziehen um nicht ganz so schlecht dazustehen und hat da weltweit wohl auch schon seine "Foren Betreuer" in Stellung gebracht.
Sehe ich das richtig, dass AMD wohl nur am Rande betroffen ist und es für AMD-CPUs einfachere Lösungen gibt?
Falls dem so ist, sollten alle die irgendwas mit Kryptowährungen zu tun haben, schleunigst auf ein AMD System wechseln.

Greetz
US

grobi

2018-01-05, 07:30:30

Vielleicht ist genau das was AMD gebraucht hat um wieder richtig im CPU-Markt Fuß zu fassen wenn sie wirklich nicht so von den Problemen betroffen sind. Man kann es dann Karma nennen.

gruß grobi

Pirx

2018-01-05, 07:34:20

LadyWhirlwind

2018-01-05, 07:40:32

SQL Server Hinweise von MS:

https://support.microsoft.com/en-us/help/4073225/guidance-for-sql-server

Das Ende der Cloud in geteilten Umgebungen?

uweskw

2018-01-05, 07:41:57

proof of concept für Spectre, das auch auf AMD funktioniert(?)
https://gist.github.com/ErikAugust/724d4a969fb2c6ae1bbd7b2a9e3d4bb6

(https://www.computerbase.de/forum/showthread.php?t=1737683&p=20800644#post20800644)

Spectre scheint nur unter gewissen Umständen auch AMD zu betreffen, Meltdown jedoch ausschlieslich Intel.

greetz
US

Korfox

2018-01-05, 07:51:59

Ist das Problem hardwareseitig eigentlich einfach zu fixen oder wird das dann erst mit der übernächsten CPU Generation gefixt?
Wird dir niemand beantworten können.
Allerdings basieren ja beide Fehler auf dem Problem, dass die vorrausschauende Codeausführung Speicherbereiche nicht sauber trennt, wenn ich das korrekt im Kopf habe.
Das heißt: Intel kann Meltdown wahrscheinlich relativ zügig "fixen", indem eben kein Kernel-Code mehr präemptiv ausgeführt wird.

Spectre wird wohl etwas schwerer, da es ja offensichtlich bisher keine wirksame Möglichkeit gibt, die Speicherbereiche hardwareseitig zu trennen, wenn man präemptiv Code ausführt. Von daher sehe ich da entweder die komplette preemtion abzuschalten, oder es dauert länger.

Sehe ich das richtig, dass AMD wohl nur am Rande betroffen ist und es für AMD-CPUs einfachere Lösungen gibt?

Nein. AMD ist nur am Rande betroffen (eben nur durch Spectre), während es für das Problem, das exklusiv Intel betrifft eine einfache Lösung (das Kernel-Update) gibt.

Gipsel

2018-01-05, 08:17:08

proof of concept für Spectre, das auch auf AMD funktioniert(?)
https://gist.github.com/ErikAugust/724d4a969fb2c6ae1bbd7b2a9e3d4bb6

(https://www.computerbase.de/forum/showthread.php?t=1737683&p=20800644#post20800644)
Spielzeugbeispiel für Spectre v1. Daß das funktioniert, ist bekannt. Das geht auf praktisch allen CPUs (selbst in-order ARM) mit Spekulation.

deekey777

2018-01-05, 08:56:10

Hier mein Sandy Bridge:
Speculation control settings for CVE-2017-5715 [branch target injection]

Hardware support for branch target injection mitigation is present: False
Windows OS support for branch target injection mitigation is present: True
Windows OS support for branch target injection mitigation is enabled: False
Windows OS support for branch target injection mitigation is disabled by system policy: False
Windows OS support for branch target injection mitigation is disabled by absence of hardware support: True

Speculation control settings for CVE-2017-5754 [rogue data cache load]

Hardware requires kernel VA shadowing: True
Windows OS support for kernel VA shadow is present: True
Windows OS support for kernel VA shadow is enabled: True
Windows OS support for PCID optimization is enabled: False

Da stimmt was nicht:
Bei dem x5-Z8350 (Windows 10 x32) und dem i3-2130 (Sandy Bridge, Windows 10 x64) steht "Hardware requires kernel VA shadowing: True", aber nur bei dem letzten scheint der Schutz aktiviert zu sein.

Ganon

2018-01-05, 09:06:30

Das Ende der Cloud in geteilten Umgebungen?

"Ende" würde ich das nicht nennen. Das ist mehr ein Dämpfer für die allgemeine "Immer höher/weiter/schneller/mehr Kultur". Da wo Performance wichtig ist, muss man nun einfach seine Hardware aufrüsten, um den Dämpfer zu beheben (so wie man es die letzten Jahre schon immer getan hat) und hoffentlich daran denken, nicht wieder nur auf ein Pferd zu setzen.

Ich hoffe ja auch leise, dass man anfängt auch mal Software zu optimieren, statt teilweise auf den langsamsten Software-Stacks zu arbeiten, die die Menschheit hervorgebracht hat. edit: Also als Beispiel könnten PHP5 Nutzer mal darüber nachdenken ihre Software fit für PHP7 zu machen.

das exklusiv Intel betrifft

Es ist weiterhin falsch, dass Meltdown Intel-Only ist.

Korfox

2018-01-05, 09:14:31

Es ist weiterhin falsch, dass Meltdown Intel-Only ist.
Auf die Diskussion lasse ich mich mit dir nicht auch noch ein.

Es ist ja auch falsch, dass alle Intel-CPUs seit *** davon betroffen sind. Intanium dürfte z.B. schadfrei sein.
Die ARM-Kerne betreffen halt keinen bzw. kaum einen Desktop-Nutzer, sondern Smartphone-Nutzer.

Ganon

2018-01-05, 09:20:24

Auf die Diskussion lasse ich mich mit dir nicht auch noch ein.

Es ist ja auch keine Diskussion, es ist ein schlichter Fakt. Für alle weiterführenden Interpretationen von Anderen an der Aussage kann ich ja nichts.

Lord Wotan

2018-01-05, 09:27:07

deekey777

2018-01-05, 09:31:41

Die Frage ist doch, hätte Intel in Juli 2017 ihre ganzen CPU zurückrufen müssen und ihren Kunden das sagen müssen. Oder hat ab Juli Intel ihre Kunden Bewusst betrogen. Denn wär hätte sich ab Juli 2017 eine Intel CPU gekauft, wenn er das mit den Bugs gewusst hätte. Da bin ich gespannt, wie das Juristen sehen, bei Neuware ab Juli 2017.

Die CPUs haben keinen Bug, es ist falsch dies zu behaupten. Warum hätte Intel die CPUs zurückrufen müssen, wenn sie funktionieren, wie sie sollen?

Hat Microsoft oder Apple je ihre Betriebssysteme zurückgerufen, weil diese erst im Nachhinein gepatcht wurden? Etwas mehr Bewusstsein für die Realität wäre angebracht.

Exxtreme

2018-01-05, 09:35:11

dargo

2018-01-05, 09:39:48

Die Frage ist doch, hätte Intel in Juli 2017 ihre ganzen CPU zurückrufen müssen und ihren Kunden das sagen müssen. Oder hat ab Juli Intel ihre Kunden Bewusst betrogen. Denn wär hätte sich ab Juli 2017 eine Intel CPU gekauft, wenn er das mit den Bugs gewusst hätte. Da bin ich gespannt, wie das Juristen sehen, bei Neuware ab Juli 2017.
Ja... so würde ich das auch sehen.

Ist aber echt interessant zu erfahren mit welchen Mitteln mittlerweile um die IPC-Krone gekämpft wird indem CPU X "besser" orakelt als CPU Y. :D Ich bin echt gespannt wie das ausgeht.

Die CPUs funktionieren so wie sie sollen. Und deshalb ist es auch kein Bug und kein Betrug. Das ist ja das Problem bei der Sache.
Wenn die CPUs nun durch die Patches langsamer sind hat sich Intel einen Wettbewerbsvorteil gegenüber der Konkurrenz verschafft.

deekey777

2018-01-05, 09:43:38

Die CPUs funktionieren so wie sie sollen. Und deshalb ist es auch kein Bug und kein Betrug. Das ist ja das Problem bei der Sache.
Eben. Man kann natürlich mit Ford Pinto (https://de.wikipedia.org/wiki/Ford_Pinto) argumentieren, aber das ginge zu weit.

Wenn die CPUs nun durch die Patches langsamer sind hat sich Intel einen Wettbewerbsvorteil gegenüber der Konkurrenz verschafft.
Wo hat Intel sich einen Wettbewerbsvorteil verschafft?

Armaq

2018-01-05, 09:44:59

Die CPUs funktionieren so wie sie sollen. Und deshalb ist es auch kein Bug und kein Betrug. Das ist ja das Problem bei der Sache.
Intel hat den jüngste Release durchgezogen obwohl sie von den Problemen wussten. Man muss da ehrlich sein und sagen, hätte ich nicht anders gemacht, denn Spectre ist halt ein fieses Problem und nicht lösbar innerhalb eines Jahres. Meltdown hingegen scheint sogar besser auf Gen7 und 8 zu funktionieren und braucht weitere Patches.

@gannon: we have only verified Meltdown on Intel processors. At the moment, it is unclear whether ARM and AMD processors are also affected by Meltdown.

AMD selbt sagt, dass sie es nachstellen konnten im Lab für 1 Variante von Spectre, betrifft aber weit weniger Prozessoren und die Sicherheitsforscher konnten ohne internes AMD Wissen die Attacke nicht nutzen. Das ging bei Intel sehr wohl. Es gibt hier einen dramatischen Unterschied. https://www.amd.com/en/corporate/speculative-execution
Es ist sogar so, dass AMD nur für einen Teil von Spectre anfällig ist, also wo bitte ist Meltdown hier ein Problem?

Spectre
Variant 1: bounds check bypass (CVE-2017-5753) - Variant One Bounds Check Bypass Resolved by software / OS updates to be made available by system vendors and manufacturers. Negligible performance impact expected. AMD Statement
Spectre
Variant 2: branch target injection (CVE-2017-5715)
Meltdown
Variant 3: rogue data cache load (CVE-2017-5754)

ARM hat wohl teilweise auch Meltdown Anfälligkeiten, aber sagen auch, dass bestimmte Produkte nicht in öffentlichen Umgebungen eingesetzt werden und daher ist ein Exploit auch nicht wirklich bedrohlich.

Arbeitest du für Intel? Denn das ist ja genau die Strategie von Intel anderen auch ein wenig Schmutz anzuhaften. Das geht aber nicht, denn aufgrund des überragenden Markterfolgs von Intel ist Meltdown eben für Endanwender doch ein Problem und auf Cloud/cloud ähnlichen Systemen sogar eine Bedrohung für Teile der Infrastruktur oder die Kunden welche sich eine Hardware Node teilen.

dargo

2018-01-05, 09:47:03

Wo hat Intel sich einen Wettbewerbsvorteil verschafft?
Indem sie eine Leistung X vorgegaukelt haben die sie jetzt nicht erbringen können.

Pirx

2018-01-05, 09:47:17

Die CPUs funktionieren so wie sie sollen. ...
Zweifelhaft... Dann könnte man auch softwareseitig alles so lassen und dann würde man ja sehen, ob das die Kunden auch so sehen und wieviele Intel-CPUs dann noch verkauft würden.

Linmoum

2018-01-05, 09:49:18

Wo sagt AMD, dass sie Meltdown nachstellen konnten? AMD schließt das (architekturbedingt) kategorisch aus.

Exxtreme

2018-01-05, 09:51:13

Wenn die CPUs nun durch die Patches langsamer sind hat sich Intel einen Wettbewerbsvorteil gegenüber der Konkurrenz verschafft.
Jein. Mit einem Messer kann man auch sehr viel mehr Blödsinn machen als nur Gemüse schneiden. Trotzdem würde jetzt niemand deswegen auf die Idee kommen zu behaupten ein Messer sei fehlkonstruiert oder voller Bugs. Intel hat halt eine Eigenschaft drin, die sich auch zum Blödsinn machen eignet. Deshalb würde ich jetzt nicht behaupten das sei ein Bug oder gar Betrug.

Korfox

2018-01-05, 09:51:15

@gannon: we have only verified Meltdown on Intel processors. At the moment, it is unclear whether ARM and AMD processors are also affected by Meltdown.

ARM geht davon aus, dass Coretex-A75, A72, A57 und A15 betroffen sind:
https://developer.arm.com/support/security-update

Ich denke, darum ging es Ganon.

Ganon

2018-01-05, 09:51:31

AMD selbt sagt

Was auch immer ihr da mit AMD wollt... das meinte ich ja "ich kann nichts für die Interpretationen Anderer".

https://developer.arm.com/support/security-update

Cortex-A75 - Variant 3 - Yes

Es ist mir völlig egal wie Leute sich das hindrehen wollen. Die Aussage "Meltdown ist ein Intel-Only Bug" ist schlicht und ergreifend falsch. Genauso ist die Annahme falsch Meltdown existiert nur, weil Intel einen Bug in ihren CPUs hat. Darum auch die massiven Verständnisprobleme hier im Thread.

dargo

2018-01-05, 09:53:46

deekey777

2018-01-05, 09:55:24

Indem sie eine Leistung X vorgegaukelt haben die sie jetzt nicht erbringen können.
Und wenn der PC aus ist, dann verbraucht er auch keinen Strom: vorgegaukelter Wettbewerbsvorteil!!!!111einseinseins.

Ich glaube, ihr hat habt den Kern des Problems nicht verstanden. Es wird eine Standardfunktion, wie sie auch in anderen CPU-Architekturen eingesetzt und sich bewährt hat. https://www.golem.de/news/spectre-und-meltdown-all-unsere-moderne-technik-ist-kaputt-1801-131961-2.html

Das Novum dieses großen Problems sind direkte Angriffe auf zwei wesentliche Mechanismen, die seit rund 20 Jahren Standard für schnelle Prozessoren sind. Meltdown attackiert die "out-of-order execution", Spectre die "speculative execution". Beides sind zwei Eckpfeiler von hoher Rechenleistung gleich welcher Architektur, sie wurden 1995 mit dem Pentium Pro in den Markt eingeführt. Der war übrigens mit bestehender Software zunächst furchtbar langsam, es lohnte sich aber, die Programme an die neuen Konzepte anzupassen. Heute arbeitet jedes moderne Design mit diesen Techniken. Der Haken ist nur: Bei beiden Methoden muss der Prozessor raten, was als nächstes zu tun ist, und erzeugt so selbst Daten. Die müssen irgendwo zwischengespeichert werden, auch wenn sie sich später als unnütz erweisen, und genau da setzen die Seitenkanalangriffe an.

Noch trivialer hat es die Tagesschau beschrieben.

Armaq

2018-01-05, 09:59:24

Was auch immer ihr da mit AMD wollt... das meinte ich ja "ich kann nichts für die Interpretationen Anderer".

https://developer.arm.com/support/security-update

Cortex-A75 - Variant 3 - Yes

Es ist mir völlig egal wie Leute sich das hindrehen wollen. Die Aussage "Meltdown ist ein Intel-Only Bug" ist schlicht und ergreifend falsch. Genauso ist die Annahme falsch Meltdown existiert nur, weil Intel einen Bug in ihren CPUs hat. Darum auch die massiven Verständnisprobleme hier im Thread.
Nur wie viele Cortex A75 sind schon in Nutzung? Das ist ja das brandneue Modell von ARM, da gibt es ja kaum Geräte in der Wildbahn.

Intels Erfolg ist jetzt ihr Problem. Sie müssen halt 10x so viele Systeme absichern wie andere Anbieter. Zusätzlich ist jedes ihrer Produkte betroffen bis auf wenige Ausnahmen, bei ARM ist eine Generation betroffen und bildet die Ausnahme.

hmmm

2018-01-05, 09:59:48

Die Aussage "Meltdown ist ein Intel-Only Bug" ist schlicht und ergreifend falsch. Genauso ist die Annahme falsch Meltdown existiert nur, weil Intel einen Bug in ihren CPUs hat. Darum auch die massiven Verständnisprobleme hier im Thread.
Ok, auf x86 CPUs ist Meltdown Intel exklusiv.

PS:Und natürlich ist es kein HW Fehler, es kommt sich bald sowas wie cortana @Meltdown von MS und Intel. Dann findet das ding endlich auch wirklich mal das was ich suche. :O

Exxtreme

2018-01-05, 10:01:03

Es ist albern darüber in einem Forum zu diskutieren. Das werden dann die Juristen klären müssen.
Eben. Und ich glaube nicht, dass Intel da irgendwie angreifbar ist. Sie stellen nur Hardware mit bestimmten Features her. Was fremde Software daraus macht ... tjoa.

deekey777

2018-01-05, 10:04:01

Apple hat Meltdown zumindest in neueren Betriebssystemen vor Wochen gefixt, https://support.apple.com/en-us/HT208394

Meltdown

Meltdown is a name given to an exploitation technique known as CVE-2017-5754 or "rogue data cache load." The Meltdown technique can enable a user process to read kernel memory. Our analysis suggests that it has the most potential to be exploited. Apple released mitigations for Meltdown in iOS 11.2, macOS 10.13.2, and tvOS 11.2. watchOS did not require mitigation. Our testing with public benchmarks has shown that the changes in the December 2017 updates resulted in no measurable reduction in the performance of macOS and iOS as measured by the GeekBench 4 benchmark, or in common Web browsing benchmarks such as Speedometer, JetStream, and ARES-6.

Wo bleibt eigentlich die Aufregung, dass Microsoft erst jetzt nachzieht?

ndrs

2018-01-05, 10:05:16

Eben. Man kann natürlich mit Ford Pinto (https://de.wikipedia.org/wiki/Ford_Pinto) argumentieren, aber das ginge zu weit.
Man kann auch mit den bisherigen Strategien von Intel in den 80ern und 90ern argumentieren. Das hätte ne Gewisse Ähnlichkeit. Die Intel Story (https://www.bernd-leitenberger.de/intelstory.shtml) (Abschnitt Prozesse)

Ganon

2018-01-05, 10:07:11

Nur wie viele Cortex A75 sind schon in Nutzung? Das ist ja das brandneue Modell von ARM, da gibt es ja kaum Geräte in der Wildbahn.

Dass Intel durch Meltdown stärker betroffen ist, ist klar. Die Aussage "Meltdown ist nicht Intel-Only" widerspricht dem nicht.

Wo bleibt eigentlich die Aufregung, dass Microsoft erst jetzt nachzieht?

Dadurch, dass durch den Leak alles vorgezogen werden musste, würde ich da niemandem Vorwürfe machen.

dreamweaver

2018-01-05, 10:09:45

Die Meltdown Hacks kommen, da können wir uns alle sicher sein. Und die Jungs werden genug Futter finden, auch wenn viele reagieren. Viel mehr werden nicht reagieren. Meltdown geht halt per javascript, nodejs, ajax uvm. das ist das Problem. Jeder der mit einer Intel CPU surft und kein Patch hat, bekommt über die Werbung den Schadcode ohne sich wehren zu können und der Angreifer muss nichts mehr groß tun. Er liest alles mit was im RAM hängt...

Online Banking ist zZ nicht zu empfehlen.

Blöde Frage:

Muss dazu gleichzeitig Online Banking und eine Seite mit entsprechend aktivem Java Script geöffnet sein, oder geht das auch zeitversetzt?

Also jetzt Seite mit bösem Script geöffnet, dann Browser zu und eventuell auch Neutstart, dann Online Banking.

Sprich, kann dazu ein Trojaner (o.ä.) eingeschleust werden oder geht das nur parallel in Echtzeit?

deekey777

2018-01-05, 10:09:51

...

Dadurch, dass durch den Leak alles vorgezogen werden musste, würde ich da niemandem Vorwürfe machen.

Ach komm, vorgespiegelte Empörung muss einfach sein.

Eben. Und ich glaube nicht, dass Intel da irgendwie angreifbar ist. Sie stellen nur Hardware mit bestimmten Features her. Was fremde Software daraus macht ... tjoa.

"Nicht Waffen töten Menschen, Menschen töten Menschen."

Angreifbar wird Intel nur, wenn sie diese Angriffsmöglichkeit vor Jahren erkannt haben und es ihnen zumutbar war, darauf zu reagieren.

dargo

2018-01-05, 10:16:57

Und wenn der PC aus ist, dann verbraucht er auch keinen Strom: vorgegaukelter Wettbewerbsvorteil!!!!111einseinseins.

Ich glaube, ihr hat habt den Kern des Problems nicht verstanden.
Es ist sinnlos mit dir darüber zu diskutieren wenn du gerade im Trollmodus bist.

Eben. Und ich glaube nicht, dass Intel da irgendwie angreifbar ist. Sie stellen nur Hardware mit bestimmten Features her. Was fremde Software daraus macht ... tjoa.
Fremde Software... hmm, was ist mit den Intel Treibern? :uponder:

HOT

2018-01-05, 10:17:55

Indem sie eine Leistung X vorgegaukelt haben die sie jetzt nicht erbringen können.
Das setzt den vorgezogenen Coffeelake-quasi-paper-launch in ein ganz neues Bild... Es geht halt um den Kampf um die Köpfe der Käufer. Wenn einmal etabliert ist Coffeelake > Ryzen, dann hat man das gewonnen. Das wär mit entsprechender Drosslung vs. PinnacleRidge sehr schwer geworden. Ganz abgesehen von dem Stigma, dass die eigenen CPUs fehlerhaft sind und die der Konkurrenz nicht. Es ist wohl kein Zufall, dass es nach Coffeelake noch ne 14++ Generation gibt.

deekey777

2018-01-05, 10:24:59

Es ist sinnlos mit dir darüber zu diskutieren wenn du gerade im Trollmodus bist.

Fremde Software... hmm, was ist mit den Intel Treibern? :uponder:

Es ist sinnlos mit Leuten wie dir zu diskutieren, weil ihr einfach nicht über den eigenen Schatten springen könnt und nicht einmal in der Lage seid, sich mit dem Problem auseinanderzusetzen (bzw. wollt das gar nicht). Stattdessen kommen solche unsinnigen Aussagen wie "Bug", "Betrug", "Wettbewersvorteil".

Armaq

2018-01-05, 10:26:22

Blöde Frage:

Muss dazu gleichzeitig Online Banking und eine Seite mit entsprechend aktivem Java Script geöffnet sein, oder geht das auch zeitversetzt?

Also jetzt Seite mit bösem Script geöffnet, dann Browser zu und eventuell auch Neutstart, dann Online Banking.

Sprich, kann dazu ein Trojaner (o.ä.) eingeschleust werden oder geht das nur parallel in Echtzeit?
Es geht nicht ums einschleusen, das wäre tatsächlich noch krasser.
Es geht darum das man Werte auslesen kann zB. Passwörter und PINs im Klartext ohne Verschlüsselung. Das ist trotzdem noch eine Sache für Experten. Mein Verständnis ist, dass es nicht zeitversetzt oder nach einem Restart geht. Du hast eine "böse" Website mit einem Exploit offen und machst parallel O-Banking. Mit bis zu 2000 Bytes pro Sekunde schickt die böse Website jetzt den Inhalt deines RAMs an eine beliebige Adresse.

Bevor du also Online Banking machst, solltest du einen gepatchten Browser plus OS einsetzen. Die Updates kommen ja gerade rein. Hast du ein AMD Desktop Prozessor ist es nicht möglich. Zusätzlich wird der Exploit sicherlich nicht sofort flächendeckend verfügbar, es ist immer noch ein Thema von Spezialisten höchster Qualifizierung. Nur es ist möglich und was möglich ist wird gemacht. Meltdown ist ja deshalb auch flächendeckend unter Verschluss behandelt worden. Wobei ich echt nicht weiss, warum zB Ubuntu erst Anfang November informiert wurde.

Spectre verlangt Zugriff in irgendeiner Weise. (Root Rechte bei Mietservern, direkten physischen Zugriff auf ein Notebook etc.)

Exxtreme

2018-01-05, 10:28:59

Fremde Software... hmm, was ist mit den Intel Treibern? :uponder:
Es werden nicht die Treiber angegriffen sondern schon eine Eigenschaft in der Hardware.

dargo

2018-01-05, 10:30:28

Es ist sinnlos mit Leuten wie dir zu diskutieren, weil ihr einfach nicht über den eigenen Schatten springen könnt und nicht einmal in der Lage seid, sich mit dem Problem auseinanderzusetzen (bzw. wollt das gar nicht). Stattdessen kommen solche unsinnigen Aussagen wie "Bug", "Betrug", "Wettbewersvorteil".
Ich habe jetzt ehrlich gesagt keine Lust mit dir das Thema zu vertiefen. Ob Intel angreifbar ist oder nicht werden die Juristen entscheiden. Aus meiner Sicht hat sich Intel einen Wettbewerbsvorteil ermogelt wenn ab Tag X die eigenen CPUs weniger Leistung liefern als vorher weil durch Patch X eine Sicherheitslücke geschlossen werden musste. Und ich erwähne gleich dabei das ist meine persönliche Ansicht die niemand teilen muss! Ob juristisch korrekt oder nicht lasse ich komplett offen.

Es werden nicht die Treiber angegriffen sondern schon eine Eigenschaft in der Hardware.
Es geht mir überhaupt nicht um die Sicherheitslücke bzw. die Angriffe sondern alleine um die Folgen der Patches die direkte Auswirkung auf die Leistung X haben.

Lord Wotan

2018-01-05, 10:32:41

Eine Sauerei, die Katze ist aus den Sack. Intel will nur die Kunden mit CPU' s der letzten 5 Jahre ein Bios update geben. Und das auch nur wenn die Mainboard und Laptop Hersteller mitspielen. Alle anderen gehen leer aus und müssen mit den 25 Jahre alten Hardwarebug leben. https://www.drwindows.de/news/meltdown-und-spectre-intel-veroeffentlicht-cpu-liste-und-verspricht-immunisierende-updates

Ich werde wohl offensichtlich für keins meiner Hardware ein Bios update bekommen. Nicht mal für mein Surface 2 pro.

Pirx

2018-01-05, 10:34:04

Es ist sinnlos mit Leuten wie dir zu diskutieren, weil ihr einfach nicht über den eigenen Schatten springen könnt und nicht einmal in der Lage seid, sich mit dem Problem auseinanderzusetzen (bzw. wollt das gar nicht). Stattdessen kommen solche unsinnigen Aussagen wie "Bug", "Betrug", "Wettbewersvorteil".
Es ist also kein Fehler des Produkts ("DES Herstellers der sichersten Produkte weltweit"), wenn auf so einfache Weise sensible Daten ausgelesen werden können? Das ist mindestens diskutabel, denke ich mal.

Eine Sauerei, die Katze ist aus den Sack. Intel will nur die Kunden mit CPU' s der letzten 5 Jahre ein Bios update geben. Und das auch nur wenn die Mainboard und Laptop Hersteller mitspielen. Alle anderen gehen leer aus mit Müssen mit den Bug leben. https://www.drwindows.de/news/meltdown-und-spectre-intel-veroeffentlicht-cpu-liste-und-verspricht-immunisierende-updates

Ich werde wohl offensichtlich für keins meiner Hardware ein Bios update bekommen. Nicht mal für mein Surface 2 pro.
Einfach ein neues Intel-System zulegen, dann wid alles gut.;)

dreamweaver

2018-01-05, 10:36:56

Es geht nicht ums einschleusen, das wäre tatsächlich noch krasser.
Es geht darum das man Werte auslesen kann zB. Passwörter und PINs im Klartext ohne Verschlüsselung. Das ist trotzdem noch eine Sache für Experten. Mein Verständnis ist, dass es nicht zeitversetzt oder nach einem Restart geht. Du hast eine "böse" Website mit einem Exploit offen und machst parallel O-Banking. Mit bis zu 2000 Bytes pro Sekunde schickt die böse Website jetzt den Inhalt deines RAMs an eine beliebige Adresse.
Ok, so hatte ich das auch vermutet.

Sprich, solange man das nicht parallel macht (was man eh nie machen sollte), ist erstmal alles beim Alten.

Wenn man natürlich Schadsoftware auf dem System hat die ausspionieren kann und Informationen an die Quelle zurücksendet, ist das System eh kompromittiert.

Lord Wotan

2018-01-05, 10:37:14

Armaq

2018-01-05, 10:40:37

Ok, so hatte ich das auch vermutet.

Sprich, solange man das nicht parallel macht (was man eh nie machen sollte), ist erstmal alles beim Alten.

Wenn man natürlich Schadsoftware auf dem System hat die ausspionieren kann und Informationen an die Quelle zurücksendet, ist das System eh kompromittiert.
Naja, bis vorgestern dachten wir alle das die Isolierung im OS und zB auch die spezifische Isolierung von Tabs in Chrome dicht ist. Google hat mal viel Geld für die Isolierung der Tabs ausgegeben und Ausbruch aus der Isolierung kamen sehr lange nicht mehr vor.

Exxtreme

2018-01-05, 10:41:34

Es geht mir überhaupt nicht um die Sicherheitslücke bzw. die Angriffe sondern alleine um die Folgen der Patches die direkte Auswirkung auf die Leistung X haben.
Ja. Aber auch hier können sie sagen, dass es die Software ist, die langsamer arbeitet weil sie einige Features der CPU nicht nutzt. Und damit hätten sie recht.

lumines

2018-01-05, 10:43:42

Naja, bis vorgestern dachten wir alle das die Isolierung im OS und zB auch die spezifische Isolierung von Tabs in Chrome dicht ist. Google hat mal viel Geld für die Isolierung der Tabs ausgegeben und Ausbruch aus der Isolierung kamen sehr lange nicht mehr vor.

Es gibt ja die Strict Site Isolation. Das ist auch nicht aus dem Nichts gekommen.

Lord Wotan

2018-01-05, 10:45:08

Die CPUs funktionieren so wie sie sollen. Und deshalb ist es auch kein Bug und kein Betrug. Das ist ja das Problem bei der Sache.

Wenn das so ist hat Intel bewusst über Jahre betrogen. Wenn das eine gewollte Funktion und kein Bug ist, das Hacker über das Scheunentor Zugriff bekommen. Nee ist klar. Das ist ein Hardwarebug in der CPU die Intel seit 2017 wusste und ihre Kunden seit der Zeit bewusst verbugte Hardware verkauft hat.

Exxtreme

2018-01-05, 10:49:44

Wenn das so ist hat Intel bewusst über Jahre betrogen. Wenn das eine gewollte Funktion und kein Bug ist, das Hacker über das Scheunentor Zugriff bekommen. Nee ist klar. Das ist ein Hardwarebug in der CPU die Intel seit 2017 wusste und ihre Kunden seit der Zeit bewusst verbugte Hardware verkauft hat.
Ein Bug ist es dann wenn eine zugesicherte Eigenschaft nicht (korrekt) funktioniert. Und das kann man hier kaum behaupten, dass die Sprungvorhersage etc. nicht funktioniert. Diese Eigenschaft lässt sich halt für andere Dinge missbrauchen. Nur ist dann bei sehr vielen anderen Gegenständen ebenfalls der Fall, ohne dass sich jemand darüber beschwert.

deekey777

2018-01-05, 10:50:22

Also ist das eine gute Funktion in der CPU das Hacker das Scheunentor unbemerkt betreten können, nur die Kunden haben den Sinn nicht verstanden?
Das ist eine gute Funktion, die seit zwanzig Jahren die CPUs (nicht nur von Intel) beschleunigt.

dargo

2018-01-05, 10:51:15

Ja. Aber auch hier können sie sagen, dass es die Software ist, die langsamer arbeitet weil sie einige Features der CPU nicht nutzt. Und damit hätten sie recht.
Die Chipsatztreiber kommen aber von Intel.

Daredevil

2018-01-05, 10:51:30

Intel will nur die Kunden mit CPU' s der letzten 5 Jahre ein Bios update geben. Und das auch nur wenn die Mainboard und Laptop Hersteller mitspielen. Alle anderen gehen leer aus und müssen mit den 25 Jahre alten Hardwarebug leben.
Das soll Intel mal machen... :D
Ich glaube nicht, dass Intel momentan in der Lage ist, so eine Rufschädigende scheiße zu verzapfen, die werden dann wohl schnellstmöglichst korrigieren und auch ältere Prozessoren unterstützen.
Es sei denn, der Intel Chef hat AMD Aktien gekauft. ;D

Armaq

2018-01-05, 10:52:10

Ein Bug ist es dann wenn eine zugesicherte Eigenschaft nicht (korrekt) funktioniert. Und das kann man hier kaum behaupten, dass die Sprungvorhersage etc. nicht funktioniert. Diese Eigenschaft lässt sich halt für andere Dinge missbrauchen. Nur ist dann bei sehr vielen anderen Gegenständen ebenfalls der Fall, ohne dass sich jemand darüber beschwert.
Intel hat Generation 8 in den Markt geschickt und wusste um eine sehr schwere Kompromittierung der Sicherheit durch ihre Features. Gen 7 und 8 sind sogar noch stärker von dem Mist betroffen und brauchen "weitere Zuwendung".

Was genau ist daran strittig?

Bei älteren Prozessoren sehe ich ja ein, dass das Feature missbraucht wird und das Intel jetzt nicht gleich der Strick gedreht werden muss. Beim letzten Release ist das eine ganz andere Hausnummer.

Lord Wotan

2018-01-05, 10:53:12

Das ist eine gute Funktion, die seit zwanzig Jahren die CPUs (nicht nur von Intel) beschleunigt.

Auf kosten der Sicherheit. Also hat Intel das für die NSA eingebaut? Pratisch als General Schlüssel für alle Intel PC's. Also alles gut das idt ein gutes Feature

Corny

2018-01-05, 10:55:05

Pirx

2018-01-05, 10:55:49

Ein Bug ist es dann wenn eine zugesicherte Eigenschaft nicht (korrekt) funktioniert. Und das kann man hier kaum behaupten, dass die Sprungvorhersage etc. nicht funktioniert. Diese Eigenschaft lässt sich halt für andere Dinge missbrauchen. ...
Es gibt bestimmt nicht nur diese zugesicherte Eigenschaft.. egal, das kann hier eh nicht gerichtsfest(:D) geklärt werden.

Exxtreme

2018-01-05, 10:57:33

Intel hat Generation 8 in den Markt geschickt und wusste um eine sehr schwere Kompromittierung der Sicherheit durch ihre Features. Gen 7 und 8 sind sogar noch stärker von dem Mist betroffen und brauchen "weitere Zuwendung".

Das ist richtig. Nur hast du fast überall eine Kompromittierung der Sicherheit durch bestimmte Eigenschaften von Komponenten Dritter auch. Ohne dass sich da großartig jemand beschwert und "Bug" oder "Betrug" schreit. Bzw. als man von den möglichen Nebenwirkungen dieser Eigenschaften nichts wusste so hat man die dadurch generierte Mehrleistung doch gerne mitgenommen. Von daher ist das schon bissl mit zweierlei Maß messen.

Lord Wotan

2018-01-05, 10:57:37

Nur für die letzten 5 Jahre? Bei den aktuellen Laufzeiten der Hardware im Privatbereich ist das eine Sauerei. :rolleyes:
Ivy Bridge und älter erhalten also keine Updates seitens Intel.

Nicht mal mein 4790 k wird ein Fix bekommen. Und mein Surface 2 Pro auch nicht.

Corny

2018-01-05, 10:59:19

Damit wird es spannend, ob auf Betriebssystem- und Softwareebene alles gefixt werden kann. Ansonsten gibts die nächsten Jahre richtig viel Elektroschrott :freak:

Edit: wenn ich es mir recht überlege, bringen auch die BIOS Updates wenig. Die meisten Rechner erhalten das sowieso nie, entweder weils der Hersteller nicht unterstützt oder weils der Otto-Normal-User nicht einspielt.

Lord Wotan

2018-01-05, 11:01:16

Das ist richtig. Nur hast du eine Kompromittierung der Sicherheit durch bestimmte Eigenschaften von Komponenten Dritter auch. Ohne dass sich da großartig jemand beschwert und "Bug" oder "Betrug" schreit. Bzw. als man von den möglichen Nebenwirkungen dieser Eigenschaften nichts wusste so hat man die dadurch generierte Mehrleistung doch gerne mitgenommen. Von daher ist das schon bissl mit zweierlei Maß messen.
Hätte Intel in Juni 2017 das gesagt, hätte niemand mehr Intel gekauft. Also rede bitte nicht davon das man Mehrleistung gerne Mitnimmt. Der Kunde wusste nichts von Hardwarebug. Und das ist sehr Wohl betrug. Denn keiner hätte ab 2017 bei diesen Hardwarebug eine Intel CPU mit diesen Sicherheitsbug gekauft. Intel hat nicht nur ihre Aktionäre betrogen sondern auch ihre Kunden seitJuni 2017. Bis gestern waren alle Intel PC total schutzlos. Intel war das egal, die wollten nur ihre CPU unter das Volk bringen.

deekey777

2018-01-05, 11:04:05

Intel hat Generation 8 in den Markt geschickt und wusste um eine sehr schwere Kompromittierung der Sicherheit durch ihre Features. Gen 7 und 8 sind sogar noch stärker von dem Mist betroffen und brauchen "weitere Zuwendung".
.
Und trotzdem hat Microsoft die KBL-R und KBL in seine Surface Pro (2017) und Surface Book 2 verbaut.

Ist schon eine Weile her, als ich das lerne, aber in den USA wird die Fahrlässigkeit in etwa so definiert: Wenn die Behebung eines Problems günstiger ist als die Wahrscheinlichkeit des Schadeneintritts*möglicher Schaden, dann ist es fahrlässig, das Problem nicht zu beheben.

Was ist der Schaden? Der Schaden ist nicht, dass durch die Patches die Performance leiden kann, der Schaden ist, wenn durch die Ausnutzung von Meltdown und Spectre beim Kunden Schaden verursacht wird.

Das ist IMO der eigentliche Gag an der Sache: Wenn ein Kunde die ganzen Patches einspielt und sein Datenzentrum dadurch um X% langsamer wird, wird er großen Aufwand betreiben müssen, darzulegen, dass die Wahrscheinlichkeit der Ausnutzung von Meltdown/Spectre so hoch war, dass ihm nicht zumutbar war, die Patches zu ignorieren.

Auf kosten der Sicherheit. Also hat Intel das für die NSA eingebaut? Pratisch als General Schlüssel für alle Intel PC's. Also alles gut das idt ein gutes Feature
Es ist gar eine zionistische Verschwörung, denn Intel hat den P6 nach dem Pentium 3 zum Start des Pentium 4 (Netburst) eingemottet, dann kamen die Israelis aus Haifa und bauten den Pentium M auf der Grundlage des P6. Und der Pentium M ist grundlage für die Core-Prozessoren.

sapito

2018-01-05, 11:11:05

Nicht mal mein 4790 k wird ein Fix bekommen. Und mein Surface 2 Pro auch nicht.

da kann man(n) auch nix patchen, abkleben whatever. praktisch jede intel cpu ab Pentium Pro ist betroffen (da wurden die heute probleme bereiteten features erstmal? eingebaut (cpu seitig))

das US Cert hat hier richtiger weise eine klare Meinung dazu, cpu wegschmeißen (da NICHT reparierbar) und neu kaufen.

https://www.kb.cert.org/vuls/id/584653

Pirx

2018-01-05, 11:11:37

... wird er großen Aufwand betreiben müssen, darzulegen, dass die Wahrscheinlichkeit der Ausnutzung von Meltdown/Spectre so hoch war...
Das dürfte für die großen Provider ein Klacks sein.

Ganon

2018-01-05, 11:15:48

Lord Wotan

2018-01-05, 11:16:41

da kann man(n) auch nix patchen, abkleben whatever. praktisch jede intel cpu ab Pentium Pro ist betroffen (da wurden die heute probleme bereiteten features erstmal? eingebaut (cpu seitig))

das US Cert hat hier richtiger weise eine klare Meinung dazu, cpu wegschmeißen (da NICHT reparierbar) und neu kaufen.

https://www.kb.cert.org/vuls/id/584653
Doch man kann per Biosupdate Spectre fixen. Und die Kosten des neu Kaufes trägt Intel als Schadensersatz?

Birdman

2018-01-05, 11:17:30

Hätte Intel in Juni 2017 das gesagt, hätte niemand mehr Intel gekauft. Also rede bitte nicht davon das man Mehrleistung gerne Mitnimmt. Der Kunde wusste nichts von Hardwarebug.
Das hätte Intel gar nicht tun dürfen, selbst wenn Sie es gewollt hätten!

Und nun höre doch endlich auf mit deinen haarsträubenden und komplett falschen Behauptungen - deine Unfähigkeit aus den vorliegenden Fakten die richtigen Schlüsse zu ziehen, gehen auf keine Kuhhaut.

Exxtreme

2018-01-05, 11:18:09

Hätte Intel in Juni 2017 das gesagt, hätte niemand mehr Intel gekauft.
Das ist wohl korrekt.
Also rede bitte nicht davon das man Mehrleistung gerne Mitnimmt. Der Kunde wusste nichts von Hardwarebug. Und das ist sehr Wohl betrug. Denn keiner hätte ab 2017 bei diesen Hardwarebug eine Intel CPU mit diesen Sicherheitsbug gekauft. Intel hat nicht nur ihre Aktionäre betrogen sondern auch ihre Kunden seitJuni 2017. Bis gestern waren alle Intel PC total schutzlos. Intel war das egal, die wollten nur ihre CPU unter das Volk bringen.
Wie gesagt, ich glaube nicht, dass irgendein Gutachter das als Bug ansehen wird. Sondern als eine Eigenschaft, die sich auch für schädliche Dinge benutzen lässt.

Lord Wotan

2018-01-05, 11:22:25

Das ist wohl korrekt.

Wie gesagt, ich glaube nicht, dass irgendein Gutachter das als Bug ansehen wird. Sondern als eine Eigenschaft, die sich auch für schädliche Dinge benutzen lässt.komisch die Experten der PC Medien sehen das alle als Hardwarebug. Sogar die der CT.

deekey777

2018-01-05, 11:27:03

Da ich gerade darauf aufmerksam gemacht wurde, schaut mal wie sich 10 Jahre alte Prophezeiungen heute so lesen:

https://marc.info/?l=openbsd-misc&m=118296441702631
https://marc.info/?l=openbsd-misc&m=119318909016582

Bitte vollständig lesen von oben bis ganz unten. Aber gut, auf die "paranoiden Spinner von OpenBSD" hat ja eh noch niemand gehört :ugly:
Sage ich doch, es ist eine zionistische Verschwörung.

http://download.intel.com/design/processor/specupdt/31327914.pdf
Da steckt mehr als die Hälfte von Spectre!

w0mbat

2018-01-05, 11:27:42

Natürlich ist es ein Bug, da muss man ja nicht diskutieren. Betrug oder dergleichen würde ich es aber nicht nennen, weil ich nicht davon ausgehe, dass die "Nebenwirkungen" beabsichtigt waren.

Aber ein Bug ist es 100%, oder ist hier wirklich jemand der Meinung das wäre so gewollt? :ugly:

Und ja, Intel ist bei den x86 CPUs als einzige Firma von Meltdown betroffen. Auch das ist ein Fakt.

Wie viele hier wirklich Intel verteidigen, hätte ich nicht gedacht. Sowohl mein Laptop als auch mein Desktop haben beide Intel CPUs, was für ein Scheiß...

Timbaloo

2018-01-05, 11:28:20

Kann mal jemand die pseudojuristischen Posts entsorgen oder verschieben? Am besten in Politik und Wirtschaft, wo es denn hingehören würde.

Ganon

2018-01-05, 11:32:09

Und ja, Intel ist bei den x86 CPUs als einzige Firma von Meltdown betroffen. Auch das ist ein Fakt.

Da fällt mir gerade ein (da es wohl nirgendwo erwähnt wird): Wurden eigentlich VIA CPUs getestet?

Mr.Freemind

2018-01-05, 11:33:45

Nicht mal mein 4790 k wird ein Fix bekommen. Und mein Surface 2 Pro auch nicht.

Das ist doch Haswell Refresh (Devils Canyon) Mitte 2014....... sind doch erst 3,5 Jahre seit Release.

Armaq

2018-01-05, 11:36:24

Sage ich doch, es ist eine zionistische Verschwörung.

http://download.intel.com/design/processor/specupdt/31327914.pdf
Da steckt mehr als die Hälfte von Spectre!
Es ins lächerliche ziehen ist doch kein Weg.

Surface und Co wurden lange vor bekannt werden geplant und umgesetzt.

Wir haben auch noch ein paar Cores gekauft Mitte des Jahres. Wäre die Entscheidung da pro Intel gefallen mit dem Wissen?

Intel hat höchstwahrscheinlich viel dafür getan, dass ein Bug aus 06 erst im nächsten Jahr bekannt gemacht wird. Google ist nicht gerade dafür bekannt besonders nett mit Exploits umzugehen, was Veröffentlichung und Handlungszeit angeht. MS wurde regelmäßig von Google bloß gestellt.

Sie haben offensichtlich mit Intel gepartnert, weil ihre Infra genauso stark betroffen ist und es brauchte wohl Monate um Patches zu schreiben, denn die Linux Distris setzen auf der Arbeit von wenigen Leute auf.

Intel hat sich meiner Meinung nach rechtlich und vor allem moralisch mehr als schuldig gemacht. Generation 8 hätte nicht verkauft werden dürfen.

nonharderware

2018-01-05, 11:37:08

Wurde zwar schon erwähnt, aber hier noch eine Meldung zu "Retpoline":
http://winfuture.de/news,101376.html

teh j0ix :>

2018-01-05, 11:37:46

Kann mal jemand die pseudojuristischen Posts entsorgen oder verschieben? Am besten in Politik und Wirtschaft, wo es denn hingehören würde.

Danke! Würde mich auch freuen. Jeder lesenswerte Diskussionsansatz wird hier leider konsequent von Lord Wotan unterbrochen mit "aber ... aber ... aber ... Sie haben BETROGEN!!!11!!1" unterfüttert mit ganz viel Halbwissen. :rolleyes:

On Topic: Interessant wird es für die Leute, die jetzt gerade eine große Hardware-Anschaffung tätigen müssen (ich meine nicht im privaten Bereich und auch nicht den "normalen" PC Bereich). Wartet man bis Intel das Problem in den Griff bekommen hat und man verlässliche neue Benchmarks erhält? Könnte sich der Patch auf die Performance unterschiedlicher Intel-CPUs unterschiedlich auswirken?

Lord Wotan

2018-01-05, 11:38:28

Das ist doch Haswell Refresh (Devils Canyon) Mitte 2014....... sind doch erst 3,5 Jahre seit Release.

Sag das mal ASUS! Die haben ihren Bios Support für das ASUS Sabertooth Z97 Mark eingestellt. Da wird nichts kommen. Und das ist ja das perfide. Selbst wenn Intel das als Fix fürs Bios anbiete, wenn die Mainboard Hersteller nicht mitziehen steht man da als Kunde voll in Regen. Oder soll jetzt jeder das Bios für seine Hardware selbst kompilieren?

Birdman

2018-01-05, 11:39:54

Doch das hätte Intel tun müssen. Sie hätten ihre Anleger informieren müssen. Nach US Recht.
Ja genau....und dadurch die Sicherheit von Milliarden von Computersystemen über Monate hinweg zu gefährden.
Die Softwarehersteller brauchen diese Zeit, um erst mal entsprechende Patches zu coden und bereitzustellen. (welche wir ja nun wissen, erst im Dezember/Januar bereit waren)

Korfox

2018-01-05, 11:42:57

Wurde zwar schon erwähnt, aber hier noch eine Meldung zu "Retpoline":
http://winfuture.de/news,101376.html
Ich verstehe Retpoline aber schon richtig, dass das kein zentraler Patch ist, sondern eine Software damit vermeiden kann, präemptiv ausgeführt zu werden, oder? Sprich: Es muss weiterhin jede Software gepatched werden.

Ganon

2018-01-05, 11:46:01

Wurde zwar schon erwähnt, aber hier noch eine Meldung zu "Retpoline":
http://winfuture.de/news,101376.html

WinFuture hat aber scheinbar die weiterführenden Links nicht gelesen. Retpoline hat auch einen Performance-Impact. Der ist zwar klein, aber wenn 2% klein sind und 5% massiv viel, dann muss man die Skala vielleicht etwas anpassen. Aber es ist nicht "ohne".

Es muss weiterhin jede Software gepatched werden.

Jo, entsprechende Patches für LLVM und GCC stehen schon bereit. Damit kann man dann entsprechende Software neu kompilieren.

Annator

2018-01-05, 11:52:18

Gibt für ein paar Asus Z370 Mainboards schon Microcode Bios Updates.
Z.B. füs Z370-A:

Version 0606
2018/01/04 8.56 MBytes
PRIME Z370-A BIOS 0606
1. Update CPU Microcode
2. Improve system compatibility and stability

https://www.reddit.com/r/intel/comments/7o7luk/asusz370a_prime_0606_bios_released_with_cpu/

Get-SpeculationControlSettings Speculation control settings for CVE-2017-5715 [branch target injection]

Hardware support for branch target injection mitigation is present: True

Windows OS support for branch target injection mitigation is present: True

Windows OS support for branch target injection mitigation is enabled: True

Speculation control settings for CVE-2017-5754 [rogue data cache load]

Hardware requires kernel VA shadowing: True

Windows OS support for kernel VA shadow is present: True

Windows OS support for kernel VA shadow is enabled: True

Windows OS support for PCID optimization is enabled: True

BTIHardwarePresent : True
BTIWindowsSupportPresent : True
BTIWindowsSupportEnabled : True
BTIDisabledBySystemPolicy : False
BTIDisabledByNoHardwareSupport : False
KVAShadowRequired : True
KVAShadowWindowsSupportPresent : True
KVAShadowWindowsSupportEnabled : True
KVAShadowPcidEnabled : True

Sieht gut aus.

LadyWhirlwind

2018-01-05, 11:52:37

Mr.Freemind

2018-01-05, 11:54:59

Sag das mal ASUS! Die haben ihren Bios Support für das ASUS Sabertooth Z97 Mark eingestellt. Da wird nichts kommen. Und das ist ja das perfide. Selbst wenn Intel das als Fix fürs Bios anbiete, wenn die Mainboard Hersteller nicht mitziehen steht man da als Kunde voll in Regen. Oder soll jetzt jeder das Bios für seine Hardware selbst kompilieren?

Einfach mal durch die Hose atmen^^. Als Intel Windowsnutzer, bleibt einem atm doch sowieso nur abwarten übrig und folgende Maßnahmen:

kb4056892 installieren --> Meltdown
Danach schauen was noch so kommt bzgl. Spectre
Generell wie schon immer Vorsicht im Internet walten lassen
Ruhe bewahren
Schauen was so in Zukunft von AMD und Intel kommt

Ganon

2018-01-05, 11:58:32

Vorallem kommt der ja noch oben drauf, wenn ich das richtig verstanden habe....

Ja, das kommt dann aber allgemein für jeden oben drauf. Der ganze Spectre Kram ist aber eh noch alles in Entwicklung und teilweise Erforschung. Darum sagen sie ja auch, dass uns das noch eine Weile begleiten wird. Das ist kein "Hotfix".

Sicherheitskritische Systeme können den Kram nutzen. Bis und ob der Kram in dem Umfang überhaupt in die Allgemeinheit kommt, steht aktuell noch in den Sternen.

Aber dazu sei ja eben auch gesagt, dass Spectre (der schwer fixbare Teil) jetzt auch nicht soooo verdammt kritisch ist.

Gipsel

2018-01-05, 12:13:24

Doch man kann per Biosupdate Spectre fixen.Nicht wirklich. Man kann Spectre v2 (zumindest soweit es das Auslesen von Kernelspeicher geht) durch eine Kombination von Softwareänderungen am Betriebssystem und Mikrocodeänderungen (BIOS-Update) eindämmen (konsequent wäre das komplette Abschalten der Sprungvorhersage im Kernel oder sogar überall, aber das wäre dann wohl absurd langsam).
Für einen wirklichen Fix benötigt man eine überarbeitete Sprungvorhersage, z.B. durch mehr Bits beim Speichern der Adresse (+ Context ID und dann noch einen Hash davon?) eines Sprungs im Branch Target Buffer (so daß man nicht oder nur sehr viel schwieriger die Zielvorhersage durch andere Sprünge an anderen Adressen und anderen Kontexten spoofen kann [intel benutzt momentan wohl nur ganz simpel 12 Bits der Adresse, wodurch man da ganz gut ein Aliasing und damit falsche Hits konstruieren kann]).

Spectre v1 ist dagegen kaum allgemein/zentral zu beheben. Spekulation abschalten will man ja nicht, wenn man nicht mit einer allgemein deutlichst langsameren CPU leben kann (je nach Situation können da dann wohl auch mal nur unter 10% der jetzigen Leistung rauskommen, man also 90% verlieren). Hier muß offenbar wirklich ein Umdenken bei der Entwicklung von Software erfolgen. Man muß schlicht bei allen gefährdeten Sachen die Spekulation gezielt ausknipsen (wofür die CPUs entsprechende Befehle vorsehen müssen, momentan hilft wohl lfence). Und entsprechender Support in den Hochsprachen wäre halt einzubauen. Und es funktioniert halt nicht wirklich gut, wenn ein normaler Nutzer fast beliebigen Code zur Ausführung z.B. in einem Browser bringen kann (oder bei Linux halt über den BPF-Mechanismus gar im Kernel :freak:). Pro Browsertab ein eigener Prozeß könnte da schon helfen (solange der Speicher aller anderen Prozesse und des Kernels dann nicht gemappt sind).

Das blöde an Spectre v2 ist auch, daß selbst die Gegenmaßnahmen wie für Spectre v1 alleine nicht wirklich helfen würden, wenn sich die Zielvorhersage der Sprungvorhersage noch beeinflussen läßt. Damit kann man dann nämlich beliebige Codeschnipsel im Speicher (Gadgets) anspringen, die sich zu sinnvollem Code zur Exfiltration zusammenbauen lassen. Hier hilft wirklich nur den Branch Target Buffer bei jedem Syscall per Software zu flushen (dafür gibt es die Micocodeupdates, um das überhaupt zu ermöglichen) oder die Hardware für die Indizierung des BTBs wie oben erwähnt insgesamt aufzubohren, um dort keine falschen Hits zu bekommen.

Vermutlich meint AMD übrigens genau das mit der "near zero vulnerability" für Spectre v2. Die Indizierung in den BTB wird bei ihnen schlicht mehr Bits benutzen (und/oder die Adresse hashen), wodurch die Atacke schwieriger wird. Details sind leider nicht bekannt, auch was die Unterschiede zwischen den verschiedenen CPU-Generationen angeht.

Lord Wotan

2018-01-05, 12:17:44

MadPenguin

2018-01-05, 12:18:33

"In the past companies had no choice but to select INTC CPU as there was no other alternatives. Now that AMD has similar offerings as INTC we shall see if companies start to make the right choices. One of the reason why INTC cpu are faster than AMD is because INTC decided to sacrifice security for improved speed. With AMD the reverse is true, thereby no impact with this current meltdown bug. Now that companies have a choice, lets hope they make the right choice, and if not, they then should be accountable of future security issues."

Was haltet ihr von diesem Statement?

Lord Wotan

2018-01-05, 12:21:14

Vermutlich meint AMD übrigens genau das mit der "near zero vulnerability" für Spectre v2. Die Indizierung in den BTB wird bei ihnen schlicht mehr Bits benutzen (und/oder die Adresse hashen), wodurch die Atacke schwieriger wird. Details sind leider nicht bekannt, auch was die Unterschiede zwischen den verschiedenen CPU-Generationen angeht.
Das heißt, keiner ist sicher, bis das in der CPU mit einer neuen Generation per Hardware gefixt wird?

deekey777

2018-01-05, 12:24:52

Es ins lächerliche ziehen ist doch kein Weg.
Was anderes hat dieser Thread aber nicht verdient.

Ich habe drei Ergebnisse hier gepostet: A10-9600P, x5-Z8350 und i3-2130. Andere haben ihre Ergebnisse hier gepostet, ob und wie das Update greift. Interessiert keinen.

Es wird auf Benchmarks verlinkt, interessiert niemanden.

Surface und Co wurden lange vor bekannt werden geplant und umgesetzt.
Und Microsoft war im Sommer 2017 über die Sicherheitslücke informiert.

Wir haben auch noch ein paar Cores gekauft Mitte des Jahres. Wäre die Entscheidung da pro Intel gefallen mit dem Wissen?
Das muss du dich selbst fragen.

Intel hat höchstwahrscheinlich viel dafür getan, dass ein Bug aus 06 erst im nächsten Jahr bekannt gemacht wird. Google ist nicht gerade dafür bekannt besonders nett mit Exploits umzugehen, was Veröffentlichung und Handlungszeit angeht. MS wurde regelmäßig von Google bloß gestellt.

Google konkurriert mit Microsoft. Hat Google aber Intel oder AMR bloßgestellt? Nein.

Sie haben offensichtlich mit Intel gepartnert, weil ihre Infra genauso stark betroffen ist und es brauchte wohl Monate um Patches zu schreiben, denn die Linux Distris setzen auf der Arbeit von wenigen Leute auf.

Eben. Gerade Chromebooks sind ein großer Wurf für Google, da können sie es sich nicht leisten, mit Intel zu verkrachen, wenn ihr Anbieter von Chromebooks auf Intel-CPUs setzen.

Intel hat sich meiner Meinung nach rechtlich und vor allem moralisch mehr als schuldig gemacht. Generation 8 hätte nicht verkauft werden dürfen.
Schaue dir die Statements von Google, Microsoft oder Apple an. Hier Apple:

Security researchers have recently uncovered security issues known by two names, Meltdown and Spectre. These issues apply to all modern processors and affect nearly all computing devices and operating systems. All Mac systems and iOS devices are affected, but there are no known exploits impacting customers at this time. Since exploiting many of these issues requires a malicious app to be loaded on your Mac or iOS device, we recommend downloading software only from trusted sources such as the App Store. Apple has already released mitigations in iOS 11.2, macOS 10.13.2, and tvOS 11.2 to help defend against Meltdown. Apple Watch is not affected by Meltdown. In the coming days we plan to release mitigations in Safari to help defend against Spectre. We continue to develop and test further mitigations for these issues and will release them in upcoming updates of iOS, macOS, tvOS, and watchOS.
Da kann sich Intel fröhlich zurücklehnen.

Retpoline: a software construct for preventing branch-target-injection (https://support.google.com/faqs/answer/7625886)

Lord Wotan

2018-01-05, 12:25:48

Exxtreme

2018-01-05, 12:28:25

Das heißt, keiner ist sicher, bis das in der CPU mit einer neuen Generation per Hardware gefixt wird?
Sicher ist da relativ. Derzeit lässt sich wohl nur Meltdown auch praktisch für Exploits ausnutzen. Bei Spectre 1 und 2 (die betreffen auch AMD) gibt es evtl. eine theoretische Möglichkeit, die sich aber durch neue Softwareversionen reparieren lässt.

deekey777

2018-01-05, 12:28:35

Einfach mal durch die Hose atmen^^. Als Intel Windowsnutzer, bleibt einem atm doch sowieso nur abwarten übrig und folgende Maßnahmen:

kb4056892 installieren --> Meltdown
Danach schauen was noch so kommt bzgl. Spectre
Generell wie schon immer Vorsicht im Internet walten lassen
Ruhe bewahren
Schauen was so in Zukunft von AMD und Intel kommt

892 (und Ableger) ist nicht nur für Meltdown gedacht, sondern soll auch Edge und Internet Explorer gegen Spectre dichter machen.
https://blogs.windows.com/msedgedev/2018/01/03/speculative-execution-mitigations-microsoft-edge-internet-explorer/#hlgJckks2qu9Vxhm.97

Initially, we are removing support for SharedArrayBuffer from Microsoft Edge (originally introduced in the Windows 10 Fall Creators Update), and reducing the resolution of performance.now() in Microsoft Edge and Internet Explorer from 5 microseconds to 20 microseconds, with variable jitter of up to an additional 20 microseconds. These two changes substantially increase the difficulty of successfully inferring the content of the CPU cache from a browser process.

PrivateCeralion

2018-01-05, 12:31:53

https://twitter.com/never_released/status/949231568509267968

A new performance hit is coming for Intel Skylake+ CPUs, IBRS is "horribly slow" according to Intel themselves.

Armaq

2018-01-05, 12:34:37

Was anderes hat dieser Thread aber nicht verdient.

Ich habe drei Ergebnisse hier gepostet: A10-9600P, x5-Z8350 und i3-2130. Andere haben ihre Ergebnisse hier gepostet, ob und wie das Update greift. Interessiert keinen.

Es wird auf Benchmarks verlinkt, interessiert niemanden.

Und Microsoft war im Sommer 2017 über die Sicherheitslücke informiert.

Das muss du dich selbst fragen.

Google konkurriert mit Microsoft. Hat Google aber Intel oder AMR bloßgestellt? Nein.

Eben. Gerade Chromebooks sind ein großer Wurf für Google, da können sie es sich nicht leisten, mit Intel zu verkrachen, wenn ihr Anbieter von Chromebooks auf Intel-CPUs setzen.

Schaue dir die Statements von Google, Microsoft oder Apple an. Hier Apple:

Da kann sich Intel fröhlich zurücklehnen.

Retpoline: a software construct for preventing branch-target-injection (https://support.google.com/faqs/answer/7625886)
Die Benchmarks auf privaten PCs sind nicht so wirklich interessant. Klar, als Gamer ist das ggf. schon wichtig, aber in Papers zu beiden Lücken steht wo es wirklich zwirbelt. Stark virtualisierte Umgebungen sind betroffen. Wir haben es ja selbst gebencht, ich hab es auch gepostet.

Generation 7 und 8 bekommen weitere Fixes, was die an Performance kosten kann man ja noch nicht wissen. Es bleibt schlechter Stil zu denken man stehe über den Dingen ...

Lord Wotan

2018-01-05, 12:35:53

Pirx

2018-01-05, 12:36:28

deekey777

2018-01-05, 12:47:31

Microsoft verarscht auch seine Kunden.

Ein Bios Fix gibt es zwar für das Surface 3pro, für das Surface 2 pro aber nicht, trotz der selben CPU in Gerät. Die CPU von Surface 3 pro und 2 pro sind identisch. So verarscht man Kunden.

Es ist keine Verarsche, sondern ist wohl noch nicht fertig, denn auch das Surface 3 dürfte betroffen sein, vielleicht auf Surface 1&2.

Armaq

2018-01-05, 13:11:43

Sicher ist da relativ. Derzeit lässt sich wohl nur Meltdown auch praktisch für Exploits ausnutzen. Bei Spectre 1 und 2 (die betreffen auch AMD) gibt es evtl. eine theoretische Möglichkeit, die sich aber durch neue Softwareversionen reparieren lässt.
Nein, nur 1 Exploit betrifft AMD. Hab auch dargestellt welcher. 2 schließt AMD kategorisch aus.

Meltdown ist richtig böse, weil das mit einem Werbebanner übers Netz klappt.

Spectre ist böse aber sehr viel schwieriger, denn ohne Zugriff geht es nicht, dachte ich bisher. Mozilla sagt im Statement das Timing extrem wichtig ist und sie jetzt ungenauer sind, um Spectre einen Riegel vorzuschieben. Damit ist für mich wieder offen, ob und wie gefährlich Spectre wirklich ist.

Cloud Anbieter sind hier ein bisschen die Dummen, denn hier haben die Cloud Nutzer die notwendigen Rechte, um Spectre auf jeden Fall auszunutzen und andere Daten als die für sie bestimmten abzugreifen (insofern auf einer Node vorhanden).

unl34shed

2018-01-05, 13:13:51

Nein, nur 1 Exploit betrifft AMD. Hab auch dargestellt welcher. 2 schließt AMD kategorisch aus.

Spectre 2 schließt man nicht zu 100% aus, hält es aber für sehr unwahrscheinlich.

Lurtz

2018-01-05, 13:13:56

Jein. Mit einem Messer kann man auch sehr viel mehr Blödsinn machen als nur Gemüse schneiden. Trotzdem würde jetzt niemand deswegen auf die Idee kommen zu behaupten ein Messer sei fehlkonstruiert oder voller Bugs. Intel hat halt eine Eigenschaft drin, die sich auch zum Blödsinn machen eignet. Deshalb würde ich jetzt nicht behaupten das sei ein Bug oder gar Betrug.
Das ist eine gute Funktion, die seit zwanzig Jahren die CPUs (nicht nur von Intel) beschleunigt.
Äh gilt das nicht erstmal für jeden Bug? Die wenigsten Hersteller bauen Bugs aus bösem Willen ein, das sind meistens Eigenschaften, die einen Sinn haben/hatten.

Intel hat es nicht für nötig gehalten, Coffee Lake im Wissen darum zurückzuhalten. Dann müssen sie jetzt eben mit dem Fallout leben.

deekey777

2018-01-05, 13:15:25

https://www.amd.com/en/corporate/speculative-execution
Variant Two Branch Target Injection Differences in AMD architecture mean there is a near zero risk of exploitation of this variant. Vulnerability to Variant 2 has not been demonstrated on AMD processors to date.

Fusion_Power

2018-01-05, 13:19:45

Ab wann die CPUs dann neu und sicherer designed werden, steht vermutlich auch in den Sternen. Wäre es einfach und billig, hätte man das sicher schon längst gemacht aber die Tatsache, dass so viele CPUs seit so vielen Jahren die gleichen Fehler haben, deutet darauf hin dass es ein Bereich ist, den man mal nicht so eben neu designen kann.

Armaq

2018-01-05, 13:23:53

Spectre 2 schließt man nicht zu 100% aus, hält es aber für sehr unwahrscheinlich.
Richtig. Wenn man sich den Text durchliest stellen sie auch dar, dass unter Laborbedingungen mit Vollzugriff auf alles gearbeitet wurde und Leute mit Detailwissen über die CPU ausgestattet waren.

Über das Internet und mit wesentlich weniger internem Wissen konnte das noch gar nicht nachgestellt werden. Hier liegt ja auch der Unterschied in den Architekturen. Ich finde es halt betonenswert, weil Intel direkt alle bezichtigt hat genauso anfällig zu sein. Das ist aber nicht der Fall.

Ex3cut3r

2018-01-05, 13:32:42

Vlt. interessant für Leute die noch zwecks Gaming oder anderen Gründen auf der Anniversary (LTSB) sind. Ich musste das Update auch manuell installieren, ansonsten kam da nichts. :/

Birdman

2018-01-05, 13:33:05

Spectre ist böse aber sehr viel schwieriger, denn ohne Zugriff geht es nicht, dachte ich bisher.
Doch, Spectre geht in der Theorie auch via JS/Werbebanner im Browser, ist aber viel schwieriger zu triggern als Meltdown.

Durch die aktuellen Timinganpassungen sowie Prozess-Isolation Funktionen welche die Browserhesteller eingebracht haben, wird das ganze nochmals erschwert, bzw. schon quasi unmöglich gemacht.
Viele andere Programme werden da aber auch noch nachziehen müssen - Browser sind aber halt ab gefährdesten und damit auch das erste was Patches bekam.

Demirug

2018-01-05, 13:45:23

Hat man den außer den Cachelines noch einen anderen Stateleak gefunden welcher über JS auslesbar ist?

Falls nicht sollte das reduzieren der Genauigkeit in der Zeitmessung schon ausreichen das man nicht mehr feststellen kann ob der Speicher nun im Cache ist oder nicht.

deekey777

2018-01-05, 13:46:33

Schnoesel

2018-01-05, 13:48:12

Geh ich recht in der Annahme das ab Skylake zusätzliche Updates (Bios/Firmware whatever) nötig sind und es mit dem Winupdate KB4056892 + Firefoxupdate noch nicht getan ist?

LadyWhirlwind

2018-01-05, 13:48:24

Doch, Spectre geht in der Theorie auch via JS/Werbebanner im Browser, ist aber viel schwieriger zu triggern als Meltdown.

Durch die aktuellen Timinganpassungen sowie Prozess-Isolation Funktionen welche die Browserhesteller eingebracht haben, wird das ganze nochmals erschwert, bzw. schon quasi unmöglich gemacht.
Viele andere Programme werden da aber auch noch nachziehen müssen - Browser sind aber halt ab gefährdesten und damit auch das erste was Patches bekam.

Wenn Browser & Office Programme (inkl. Adobe, Bildbetrachter etc.) entsprechend angepasst wurden, dann ist die Gefahr schon sehr klein. Kritisch sind ja nur Programme die Daten aus dem Internet laden.
Ansonsten gilt, wenn der PC schon infiziert wurde, ist Spectre nur eine weitere Gefahr.

Edit: Für Firmen besteht dann natürlich noch zusätzlich das Problem, das Daten die zwar gebraucht aber nicht gesehen werden sollen, sich möglicherweise von regulären Anwendern auslesen lassen.

Gipsel

2018-01-05, 13:50:51

WinFuture hat aber scheinbar die weiterführenden Links nicht gelesen. Retpoline hat auch einen Performance-Impact. Der ist zwar klein, aber wenn 2% klein sind und 5% massiv viel, dann muss man die Skala vielleicht etwas anpassen. Aber es ist nicht "ohne".

Jo, entsprechende Patches für LLVM und GCC stehen schon bereit. Damit kann man dann entsprechende Software neu kompilieren.Gab es nicht schon Meldungen, daß die Branch Prediction ab Skylake "zu clever" für den Retpoline-Fix für Spectre v2 ist? Sprich, die läßt sich davon nicht beeindrucken und der Exploit funktioniert (vielleicht mit minimalen Anpassungen) weiterhin. Man benötigt die Microcode-Änderungen, damit die CPUs (auf entsprechende Aufforderung hin) den Branch Target Buffer flushen.

Gipsel

2018-01-05, 13:58:35

So eine zumindestens für meine PC´s positive Antwort.

Aus Hardwareluxx

Hallo Lord Wotan,

es wird auch für die Z97 Platinen ein update kommen. Das dauert aber leider noch etwas. Es müssen jetzt sozusagen alle Modelle bearbeitet werden....

Ich melde mich aber auch nochmal dazu....

So als kleine Info:

For Meltdown, yes, we update uCode.
For Spectre, It’s related to Microsoft OS or Linux OS. It means that user need to update their OS.

Hotfix Name:
Microsoft : KB4056892
Linux KAISER hotfix
MACOS ： 10.3.2

Auszug ende. Das heißt alle Z87 Platinen bekommen nichts, obwohl dort auch der Intel 4790K eingesetzt sein kann.Die haben da was durcheinander gebracht. Die µcode-Updates sind hauptsächlich für Spectre v2 nötig (wodurch man "Hardware Support für BTI Mitigation" im M$-Sprech erhält), das OS muß natürlich ebenso gepatcht werden, um das zu nutzen. Für Meltdown-Mitigation sind eigentlich nur OS-Updates (KPTI/KAISER) nötig. Auch intel hat bei seiner Auflistung der betroffenen CPUs (die µCode-Updates bekommen sollen) nur Spectre v2 erwähnt und für Meltdown nur auf OS-Updates verwiesen.

Lurtz

2018-01-05, 13:59:46

Vermute mein MSI-Skylake-Board, das seit über einem Jahr kein Update bekommen hat, wird auch nichts mehr bekommen. Threads werden ins OffTopic(!)-Forum verschoben und jede Verantwortung abgelehnt :ugly:

Moved to Anything under the sun as bios/firmware can't help. It is a cpu/OS problem. MSI makes neither of both.
https://forum-en.msi.com/index.php?topic=297707.0

Ich hoffe das ist wieder nur ein verwirrter Supportmitarbeiter, nicht MSIs offizielle Haltung.

Ganon

2018-01-05, 14:00:37

Gab es nicht schon Meldungen, daß die Branch Prediction ab Skylake "zu clever" für den Retpoline-Fix für Spectre v2 ist? Sprich, die läßt sich davon nicht beeindrucken und der Exploit funktioniert (vielleicht mit minimalen Anpassungen) weiterhin. Man benötigt die Microcode-Änderungen, damit die CPUs (auf entsprechende Aufforderung hin) den Branch Target Buffer flushen.

Es gab Meldungen in die Richtung, ja. Aber wie ich ja schon sagte, ist der ganze Spectre-Kram eh noch in Entwicklung und Erforschung, sodass ich her allgemein erst mal warte was noch alles so gefunden wird. Das was bisher (ohne Retpoline) schon so getan wurde macht Spectre eh schon so irrsinnig schwer, dass ich mir persönlich gar nicht so viel Sorgen um sowas mache.

Spectre benötigt gezielte Vorbereitungen, Planungen, Analysen und eine recht lange Laufzeit um überhaupt irgendwas zu erreichen. Das ist kein Ding was man einfach in irgend einen Werbebanner packt und nach 20 Sekunden irgendwo Daten rausträgt.

Das steht hier eigentlich auch schon zig mal im Thread, aber man zieht es hier ja lieber vor wie aufgescheuchte Hühner wirr umherzuirren. :D

Armaq

2018-01-05, 14:03:05

Vermute mein MSI-Skylake-Board, das seit über einem Jahr kein Update bekommen hat, wird auch nichts mehr bekommen. Threads werden ins OffTopic(!)-Forum verschoben und jede Verantwortung abgelehnt :ugly:

https://forum-en.msi.com/index.php?topic=297707.0

Ich hoffe das ist wieder nur ein verwirrter Supportmitarbeiter, nicht MSIs offizielle Haltung.
Das wird ja eh noch lustig. Der Vorfall zeigt was die Anbieter über Sicherheit und Verantwortung ggü. ihren Kunden denken.

Ex3cut3r

2018-01-05, 14:03:13

Vermute mein MSI-Skylake-Board, das seit über einem Jahr kein Update bekommen hat, wird auch nichts mehr bekommen. Threads werden ins OffTopic(!)-Forum verschoben und jede Verantwortung abgelehnt :ugly:

https://forum-en.msi.com/index.php?topic=297707.0

Ich hoffe das ist wieder nur ein verwirrter Supportmitarbeiter, nicht MSIs offizielle Haltung.
Typisch MSi, deren Moderatoren sind echt "non" Menschlich. Allein schon sein Satz, "bitte keine Panik verteilen" Spinnen die eigentlich? Oder ist Ihnen dieser Super Gau nicht bekannt?!

Gipsel

2018-01-05, 14:03:18

Ganon

2018-01-05, 14:08:16

Oder Apple in ihre CPUs mit ARM-ISA? Die sind nämlich offenbar auch von Meltdown betroffen.

Klingt zumindest so:
https://support.apple.com/en-us/HT208394

Apple released mitigations for Meltdown in iOS 11.2, macOS 10.13.2, and tvOS 11.2.

Wenn Apples ARM CPUs nicht betroffen wären, wären Meltdown fixes für iOS und tvOS relativ witzlos.

Birdman

2018-01-05, 14:08:32

Die haben da was durcheinander gebracht.
Danke dass Du das bestätigst was ich mir beim durchlesen dieser Meldung auch gedacht habe.

Wäre aber interessant wenn es einen Meltdown Fix via µcode geben würde, welcher dann KPTI auch auf einer Intel CPU überflüssig macht und Benchmarks zwischen den beiden Methoden ermöglicht.

BUG

2018-01-05, 14:09:20

Kompatibilität von Kaspersky Lab Programmen mit dem Sicherheitsupdate für Microsoft Windows vom 9. Januar 2018

https://support.kaspersky.com/de/14042

Habe noch ne Info von von Kaspersky erhalten da wir auch noch ältere Versionen (KES10 SP1 MR3 & MR4) im Einsatz haben.

To clarify the support article by Kaspersky is in relation to the compatibility issue with MS Security update. This is only affecting KES10 SP2 installations. I have provided some background information surrounding the update below.

1) The Microsoft update was released a week earlier than planned (09.01.18)
[ https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002 ]

2) It is now available via WU/WSUS but only for machines with readiness flag enabled (both for machines with AV and without AV installed). The flag is supposed to be set by AV products or by Admin (see the instructions in KBs from the advisory - as an example)
[ https://support.microsoft.com/en-us/help/4056891/windows-10-update-kb4056891 ]

3) The readiness flag (registry key) was changed (unexpectedly) from the one agreed with Microsoft before New Year and implemented in database updates of 28.12.17. Therefore currently our update (28.12) doesn't enable MS January update.

We prepared a database update with new readiness flag (additionally to the current we set) - the database update is in testing.

4) The current version of the MS January update doesn't cause any incompatibility problems with KES (with NO fixes).

We are currently investigating the reason for this: if it is a fix from MS or some other changes.

As of today we have released a database update today for KES10 SP2. The update is downloaded and installed via standard database update tasks, you should now notice that the registry value is now set for the below registry key which will enable you to receive the Microsoft update. This has been implemented due the last minute unexpected change from Microsoft.

"Key="HKEY_LOCAL_MACHINE"Subkey="SOFTWARE\Microsoft\Windows\CurrentVersion\QualityCompat"
Value Name="cadca5fe-87d3-4b96-b7fb-a231484277cc"
Type="REG_DWORD”
Data="0x00000000”

Going forward, we have also released a new build of KES - KES10 SP2 MR1. It is recommended to use this version on new builds and future installs of KES to ensure they are compatible with the MS update.

Gruß
BUG

Palpatin

2018-01-05, 14:13:13

Alle reden aktuell nur von den PCs und Handys, wie sieht es denn mit den ganzen Routern Switches usw aus. Da ist doch mittlerweile auch fast überall ARM verbaut. Sind die anfällig für Spectre?

deekey777

2018-01-05, 14:15:39

Oder Apple in ihre CPUs mit ARM-ISA? Die sind nämlich offenbar auch von Meltdown betroffen.
Genau! Und trotzdem haben sie das iPhone 8/X auf den Markt gebracht.

Was mir eher Sorge macht:
Es stellt sich die Frage, was mit Geräten passiert, die iOS 11.2.1 nicht nutzen (können). Sie bleiben alle ungepatcht. Gerade das iPhone 5 bzw. Geräte mit dem Apple A6 sind weiterhin schnell genug unter iOS 10. Zwei-Wege-Authentifizierung bringt nicht viel, wenn die Apple ID samt Passwort geklaut werden.

Ganon

2018-01-05, 14:16:29

Alle reden aktuell nur von den PCs und Handys, wie sieht es denn mit den ganzen Routern Switches usw aus. Da ist doch mittlerweile auch fast überall ARM verbaut. Sind die anfällig für Spectre?

Ich weiß zwar nicht was für geheime Daten du aus einem Router oder Switch extrahieren willst, aber prinzipiell brauchst du erst mal eine Code-Execution Lücke in den Geräten. Und dann hast du in der Regel eh schon verloren. Da brauchst du gar kein Spectre mehr. Gehen tut es vermutlich trotzdem.

Birdman

2018-01-05, 14:18:14

Spectre benötigt gezielte Vorbereitungen, Planungen, Analysen und eine recht lange Laufzeit um überhaupt irgendwas zu erreichen. Das ist kein Ding was man einfach in irgend einen Werbebanner packt und nach 20 Sekunden irgendwo Daten rausträgt.
Für Homeuser gilt das auf jedenfall und da sehe ich auch kein grosses Risiko.
In Cloudumgebungen sieht das aber natürlich anders aus - da kennt man als "Mitbenutzer" einer Virtualisierungsplattform natürlich die genauen Specs dieser Architektur und hat viel Zeit und Möglichkeiten, eine Attacke zu fahren.

Gipsel

2018-01-05, 14:19:39

Spectre benötigt gezielte Vorbereitungen, Planungen, Analysen und eine recht lange Laufzeit um überhaupt irgendwas zu erreichen. Das ist kein Ding was man einfach in irgend einen Werbebanner packt und nach 20 Sekunden irgendwo Daten rausträgt.Das stimmt mehr für Spectre v2 als für Spectre v1. V1 ist nicht wirklich schwieriger als Meltdown (es ist im Prinzip sehr ähnlich). Für intel-CPUs ist es sogar im Prinzip effektiv die gleiche Lücke, da die sich bei spekulativer Ausführung von Loads so oder so nicht um Privilege-Level kümmern, es ist egal, wie genau das getriggert wird. Ob der Fetch nun hinter einer Exception oder einem falsch vorhergesagtem Sprung (Abfrage der Pufferlänge) liegt, macht da vermutlich nicht wirklich einen Unterschied (außer daß man Meltdown ohne OoOE schwer hinkriegt, Spectre dagegen schon).

Ganon

2018-01-05, 14:29:27

Das stimmt mehr für Spectre v2 als für Spectre v1. V1 ist nicht wirklich schwieriger als Meltdown (es ist im Prinzip sehr ähnlich)

Soweit ich das jetzt verstanden habe wurden ja deswegen Features in den Browsern deaktiviert und einige Regler verstellt, damit das nicht mehr soooo einfach ist. Also aus dem Browser heraus.

edit: Finde es doof, dass es 3 Lücken mit 2 Namen gibt die auf einmal veröffentlicht wurden :D 3-2-1 Chaos :D

Lurtz

2018-01-05, 14:42:23

https://twitter.com/never_released/status/949231568509267968

A new performance hit is coming for Intel Skylake+ CPUs, IBRS is "horribly slow" according to Intel themselves.
Das wird ja eh noch lustig. Der Vorfall zeigt was die Anbieter über Sicherheit und Verantwortung ggü. ihren Kunden denken.
Ganz verdenken kann man es den Mainboardherstellern nicht. Die fahren nicht die hohen Margen wie Intel ein, vor allem im Consumerbereich.

Gipsel

2018-01-05, 14:43:30

Soweit ich das jetzt verstanden habe wurden ja deswegen Features in den Browsern deaktiviert und einige Regler verstellt, damit das nicht mehr soooo einfach ist. Also aus dem Browser heraus.

edit: Finde es doof, dass es 3 Lücken mit 2 Namen gibt die auf einmal veröffentlicht wurden :D 3-2-1 Chaos :DSolange Du ausführen kannst, was Du willst und es mit guter Zeitauflösung vermessen kannst, gibt es keine wirkliche Verteidigung gegen Spectre v1. Deswegen hat ja z.B. auch MS mit dem aktuellen Update für Edge die Timerauflösung auf 20µs verschlechtert und gibt zusätzlich noch 20µs zufälligen Jitter auf den Wert (zusätzlich zur Deaktivierung eines Features; man schränkt eben ein wenig ein, daß man Alles ausführesn kann, was ein Angreifer möchte). Damit verringert man die mögliche Geschwindigkeit der Datenextraktion beträchtlich. Wirklich verhindern kann man sie aber nicht. Aber wie schon gesagt, wenn jeder Tab in einem eigenen Prozeß sitzt und das OS alle Speicherbreiche unmapped, die nicht zum aktuellen Prozeß gehören, kann man nur noch da rumwurschteln (bei AMD kann man ja angeblich sowieso nicht auf den Kernelspeicher zugreifen, auch wenn der nicht unmapped ist). Aber innerhalb des eigenen Prozeses kann man prinzipiell immer noch Alles lesen (nur eben deutlich langsamer). Und mit dem KPTI-Patch eben auch nur noch da und nicht mehr im Kernelbereich.
Aufgabe wird es also sein, OS und Browser entsprechend zu härten. Damit dämmt man das Problem ein.

Ganon

2018-01-05, 14:47:21

Deswegen hat ja z.B. auch MS mit dem aktuellen Update für Edge die Timerauflösung auf 20µs verschlechtert und gibt zusätzlich noch 20µs zufälligen Jitter auf den Wert. Damit verringert man die mögliche Geschwindigkeit der Datenextraktion beträchtlich.
[...]
Aber wie schon gesagt, wenn jeder Tab in einem eigenen Prozeß sitzt und das OS alle Speicherbreiche unmapped, die nicht zum aktuellen Prozeß gehören, kann man nur noch da rumwurschteln.

Ja eben. FireFox und Edge machen 1:1 das Gleiche und Chrome schlägt vor "Strict Site Isolation" zu aktivieren. Somit ist das Einfallstor "Browser" schon mal nicht mehr so ein großes Tor und somit auch nicht die Lücke im Consumer-Bereich.

Denn wie gesagt. Wenn man am Browser vorbei schon Code auf die Maschine bekommen hat, dann ist Spectre ja nur noch ein Bonus. Verloren in allen Kategorien hat man dann als Anwender eh schon.

Ex3cut3r

2018-01-05, 15:00:43

Ja eben. FireFox und Edge machen 1:1 das Gleiche und Chrome schlägt vor "Strict Site Isolation" zu aktivieren.

Danke, habe es mal in Chrome aktiviert.

StefanV

2018-01-05, 15:07:13

Danke! Würde mich auch freuen. Jeder lesenswerte Diskussionsansatz wird hier leider konsequent von Lord Wotan unterbrochen mit "aber ... aber ... aber ... Sie haben BETROGEN!!!11!!1" unterfüttert mit ganz viel Halbwissen. :rolleyes
Kann mal jemand die pseudojuristischen Posts entsorgen oder verschieben? Am besten in Politik und Wirtschaft, wo es denn hingehören würde.
Tja, nur blöd, dass es gerade eine Klage gegen Intel geben wird:
https://linustechtips.com/main/topic/881874-intel-gets-sued-for-fraud-negligence-breach-of-contract-following-cpu-vulnerability-cmon-who-didnt-see-this-coming/

Und ganz brisant:
Seit Juni/Juli weiß man davon.
Und stellt Coffeelake trotzdem vor. Und Skylake ebenso...

Und Timbaloo kannst mal deine Signatur überarbeiten?!

Wie gesagt, ich glaube nicht, dass irgendein Gutachter das als Bug ansehen wird. Sondern als eine Eigenschaft, die sich auch für schädliche Dinge benutzen lässt.
Abwarten und Tee rauchen.
Das brisante an dem ganzen Mist ist ja, dass das ganze seit Mitte des Jahres rumschwelt und man sich trotzdem Entschied noch zwei neue CPU Serien auf den Markt zu schmeißen, obwohl man von diesem Zustand wusste.

DAS könnte dem ganzen das Genick brechen und für Intel zu einem enormen Problem werden...

Wenn sie Coffeelake und Skylake-X verschoben hätten, aufgrund des Zustandes, hätten sie bessere Karten gehabt. JETZ schaut es aber wirklich blöde aus.

Oh und auch Linus Tolvards ist mal wieder am ranten über Intel...

Gipsel

2018-01-05, 15:08:16

Ja eben. FireFox und Edge machen 1:1 das Gleiche und Chrome schlägt vor "Strict Site Isolation" zu aktivieren. Somit ist das Einfallstor "Browser" schon mal nicht mehr so ein großes Tor und somit auch nicht die Lücke im Consumer-Bereich.

Denn wie gesagt. Wenn man am Browser vorbei schon Code auf die Maschine bekommen hat, dann ist Spectre ja nur noch ein Bonus. Verloren in allen Kategorien hat man dann als Anwender eh schon.
Wobei Spectre v2 im Prinzip relativ mächtig sein könnte im Sinne von große Möglichkeiten und schwer abwehrbar (da muß man recht viel im Kernel patchen um jeweils den BTB der CPU zu flushen [wofür es auch ein µcode-Update braucht, damit die das können] und darf nirgendwo was übersehen). Und KPTI hilft da genau gar nicht (weil man spekulativ Codefragmente im Kernel anspringt und man somit natürlich wieder Zugriff auf den Kernelspeicher hat). Und selbst wenn man Alles im Kernel dicht gemacht hat, könnte man das immer noch im eigenen Prozeß machen (wogegen natürlich dann auch wieder die Maßnahmen wie für Spectre v1 helfen). Aber im Endeffekt schafft nur eine bessere Indizierung der BTBs der Sprungvorhersage wirklich Abhilfe, so daß man da keine Zieladressen injizieren kann (oder zumindest nur sehr viel schwerer, wie AMD das für seine CPUs behauptet). Aber immerhin ist eine Hardwarelösung realistisch möglich (für Spectre v1 sehe ich dagegen kaum eine "endgültige" Lösung, wenn man die CPUs nicht massiv verlangsamen will => es bleibt nur eine Eindämmung und Verringerung der Auswirkungen per Software).

Und Du hast schon recht: Spectre v2 aus dem Browser heraus wirklich effektiv zu nutzen stelle ich mir eben auch schon relativ schwierig vor (was aber eben auch nicht heißt, daß es unmöglich wäre).

deekey777

2018-01-05, 15:11:35

Ich habe im Febraur 2013 einen PC mit i3-2130 gekauft, denn ich täglich nutze. Jetzt werde ich Intel verklagen.

Ex3cut3r

2018-01-05, 15:12:31

für Spectre v1 sehe ich dagegen kaum eine "endgültige" Lösung, wenn man die CPUs nicht massiv verlangsamen will => es bleibt nur eine Eindämmung und Verringerung der Auswirkungen per Software).

Super. Am besten wirft man seine CPU echt in den Müll, was ein Dilemma. :mad:

Achill

2018-01-05, 15:13:43

Für Debian und wahrscheinlich auch andere Linux Distribution gibt es das Microcode-Update für Intel schon in unstable seit 2017-12-15.

intel-microcode (3.20171215.1) unstable; urgency=high

* Add supplementary-ucode-CVE-2017-5715.d/: (closes: #886367)
New upstream microcodes to partially address CVE-2017-5715
+ Updated Microcodes:
sig 0x000306c3, pf_mask 0x32, 2017-11-20, rev 0x0023, size 23552
sig 0x000306d4, pf_mask 0xc0, 2017-11-17, rev 0x0028, size 18432
sig 0x000306f2, pf_mask 0x6f, 2017-11-17, rev 0x003b, size 33792
sig 0x00040651, pf_mask 0x72, 2017-11-20, rev 0x0021, size 22528
sig 0x000406e3, pf_mask 0xc0, 2017-11-16, rev 0x00c2, size 99328
sig 0x000406f1, pf_mask 0xef, 2017-11-18, rev 0xb000025, size 27648
sig 0x00050654, pf_mask 0xb7, 2017-11-21, rev 0x200003a, size 27648
sig 0x000506c9, pf_mask 0x03, 2017-11-22, rev 0x002e, size 16384
sig 0x000806e9, pf_mask 0xc0, 2017-12-03, rev 0x007c, size 98304
sig 0x000906e9, pf_mask 0x2a, 2017-12-03, rev 0x007c, size 98304
* Implements IBRS and IBPB support via new MSR (Spectre variant 2
mitigation, indirect branches). Support is exposed through cpuid(7).EDX.
* LFENCE terminates all previous instructions (Spectre variant 2
mitigation, conditional branches).
[..]

Wenn jemand wirklich kein Bios-Update mit aktualisierten Microcode für sein MB bekommt, dann könnte man also auch eine kleine SSD kaufen und auf Dual-Boot Linux/Win umsteigen anstatt das ganze System auszutauschen. Unter Linux dann die "wichtigen Sachen" erledigen und unter Win dann einfach spielen oder halt die Anwendungen nutzen, die man unter Linux nicht betreiben kann.

--
Btw - ich dachte MS kann auch Microcode-Updates beim Boot durchführen, Intel müsste MS also nur mit aktueller Code versorgen oder?

LadyWhirlwind

2018-01-05, 15:13:54

Solange Du ausführen kannst, was Du willst und es mit guter Zeitauflösung vermessen kannst, gibt es keine wirkliche Verteidigung gegen Spectre v1. Deswegen hat ja z.B. auch MS mit dem aktuellen Update für Edge die Timerauflösung auf 20µs verschlechtert und gibt zusätzlich noch 20µs zufälligen Jitter auf den Wert (zusätzlich zur Deaktivierung eines Features; man schränkt eben ein wenig ein, daß man Alles ausführesn kann, was ein Angreifer möchte). Damit verringert man die mögliche Geschwindigkeit der Datenextraktion beträchtlich. Wirklich verhindern kann man sie aber nicht. Aber wie schon gesagt, wenn jeder Tab in einem eigenen Prozeß sitzt und das OS alle Speicherbreiche unmapped, die nicht zum aktuellen Prozeß gehören, kann man nur noch da rumwurschteln (bei AMD kann man ja angeblich sowieso nicht auf den Kernelspeicher zugreifen, auch wenn der nicht unmapped ist). Aber innerhalb des eigenen Prozeses kann man prinzipiell immer noch Alles lesen (nur eben deutlich langsamer). Und mit dem KPTI-Patch eben auch nur noch da und nicht mehr im Kernelbereich.
Aufgabe wird es also sein, OS und Browser entsprechend zu härten. Damit dämmt man das Problem ein.

Spectre ist vorallem gefährlich für Cloud Dienste die mehrere Kunden auf der gleichen physischen Hardware haben und für Firmen mit Client-Server-Programmen die Daten innerhalb der Programme sicher wissen wollen.
Letzteres lässt sich durch Programmupdates und Auslagerung auf Serverdienste lösen.

Für Cloudserver betreiber wirds allerdings ungemütlich. Weil Zeit ist da ja vorhanden...

Achill

2018-01-05, 15:25:00

Spectre ist vorallem gefährlich für Cloud Dienste die mehrere Kunden auf der gleichen physischen Hardware haben und für Firmen mit Client-Server-Programmen die Daten innerhalb der Programme sicher wissen wollen.
Letzteres lässt sich durch Programmupdates und Auslagerung auf Serverdienste lösen.

Für Cloudserver betreiber wirds allerdings ungemütlich. Weil Zeit ist da ja vorhanden...

Das ist (imho) viel zu naiv, wie oft installieren wir irgend welche Plugins/Mods für Anwendungen wie Browser oder Games bzw. Benchmarks. Wie lange laufen dann diese Anwendungen ohne Unterbrechung? Es gibt unzählige Wege auch auf einen Desktop-System einen Angriff zu fahren ohne das man das System aktiv kompromittieren muss oder der Benutzer es dann mitbekommt.

Das die Browser erstmal Unschärfe bei der Ausführung von JS und co hinzugefügt haben ist ja erstmal das mindeste weil dieser Angriffsvektor am leichtesten nutzbar war/ist.

--
(Persönliche Meinung) Desktop und Notebook wird zukünftig wieder AMD sein, besonders angefressen bin ich bei meinen Notebook. Da ist schon nur ein Haswell mit 2C/4T drin und die Limitierung von max 12GB nerven. Wenn jetzt noch Docker und KVM beim Bauen und Testen langsamer werden ... :(

Ganon

2018-01-05, 15:30:36

Hmm, also doch ein Fix über beim Booten einspielbaren Microcode... oder ist das nur ein Teil und man braucht trotzdem noch ein Firmware Update (weil da steht partially)... hach, ist das alles verwirrend :D

Bei Linux wurde ja vor einiger Zeit der Intel ucode Kram so umgestellt, dass das vor dem Kernel-Boot eingespielt wird über die initrd. Vielleicht ist es darum möglich?

Birdman

2018-01-05, 15:32:55

Und ganz brisant:
Seit Juni/Juli weiß man davon.
Und stellt Coffeelake trotzdem vor. Und Skylake ebenso...
Ich stell mir vor dass Intel durch die Entdeckung dieser Verwundbarkeit arg in die Breduille gekommen ist.

Diese Produkte waren schon lange vorher angekündigt und der entsprechende Launch bekannt. (inkl. dem ganzen Rattenschwanz der da dranhängt, aka Mobo Hersteller, Shareholder, etc.)

Wenn man da nun einfach so den Release abbricht und für die nächsten, was weiss ich? 12+ Monate nix liefert, dann müsste man aber eine verdammt gute Erklärung haben, wieso man das tut
Aber eine solche konnte man aufgrund der Brisanz der Sicherheitslücke nicht rauslassen ohne daudrch quasi eine globale Bedrohung auszulösen....also was tun?

Ich hätte das jedenfalls nicht entscheiden wollen :biggrin:

kruemelmonster

2018-01-05, 15:48:34

Für Debian und wahrscheinlich auch andere Linux Distribution gibt es das Microcode-Update für Intel schon in unstable seit 2017-12-15.

Wenn jemand wirklich kein Bios-Update mit aktualisierten Microcode für sein MB bekommt, dann könnte man also auch eine kleine SSD kaufen und auf Dual-Boot Linux/Win umsteigen anstatt das ganze System auszutauschen. Unter Linux dann die "wichtigen Sachen" erledigen und unter Win dann einfach spielen oder halt die Anwendungen nutzen, die man unter Linux nicht betreiben kann.

--
Btw - ich dachte MS kann auch Microcode-Updates beim Boot durchführen, Intel müsste MS also nur mit aktueller Code versorgen oder?

Korrekt, Windows lädt beim Booten ebenfalls aktuellen Microcode nach, siehe die showmc.exe der c't.
Eine weitere Möglichkeit ist den aktuellen Microcode im Bios selber zu aktualisieren, dazu gibt es seit Jahren direkt von Intel entsprechende Flashtools. Habe so mein MSI X299 vor kurzem auf die ME v11.11.50.1422 hochgezogen um die ME-Lücke zu schließen, siehe hier (https://www.win-raid.com/t596f39-Intel-Management-Engine-Drivers-Firmware-amp-System-Tools.html).

Annator

2018-01-05, 16:01:51

Hat hier keiner ein Asus Z370 Board und kann mal die neuen Microcode Bios Updates testen?

LadyWhirlwind

2018-01-05, 16:09:46

Das ist (imho) viel zu naiv, wie oft installieren wir irgend welche Plugins/Mods für Anwendungen wie Browser oder Games bzw. Benchmarks. Wie lange laufen dann diese Anwendungen ohne Unterbrechung? Es gibt unzählige Wege auch auf einen Desktop-System einen Angriff zu fahren ohne das man das System aktiv kompromittieren muss oder der Benutzer es dann mitbekommt.

Das die Browser erstmal Unschärfe bei der Ausführung von JS und co hinzugefügt haben ist ja erstmal das mindeste weil dieser Angriffsvektor am leichtesten nutzbar war/ist.

--
(Persönliche Meinung) Desktop und Notebook wird zukünftig wieder AMD sein, besonders angefressen bin ich bei meinen Notebook. Da ist schon nur ein Haswell mit 2C/4T drin und die Limitierung von max 12GB nerven. Wenn jetzt noch Docker und KVM beim Bauen und Testen langsamer werden ... :(
Mit sauberer Prozessisolation wird man das aber eindämmen können. Das hatte ich zumindest so verstanden...
Keine Ahnung was du immer so installierst, aber logisch ist die Versuchung gross, sich irgendwelche Gratisprogramme zu installieren, aber da hatte man auch schon vorher verloren, wenn man was dubioses Quellen installiert hatte. Da ist Spectre nur eine weitere Methode.

Achill

2018-01-05, 16:42:20

Mit sauberer Prozessisolation wird man das aber eindämmen können. Das hatte ich zumindest so verstanden...
Keine Ahnung was du immer so installierst, aber logisch ist die Versuchung gross, sich irgendwelche Gratisprogramme zu installieren, aber da hatte man auch schon vorher verloren, wenn man was dubioses Quellen installiert hatte. Da ist Spectre nur eine weitere Methode.

Ich habe von der Allgemeinheit gesprochen, und für diese muss m.E. auch sauber und zügig die Patches für Microcode/Bios/OS eingespielt werden.

Schnoesel

2018-01-05, 16:42:40

Wenn man da nun einfach so den Release abbricht und für die nächsten, was weiss ich? 12+ Monate nix liefert, dann müsste man aber eine verdammt gute Erklärung haben, wieso man das tut
Aber eine solche konnte man aufgrund der Brisanz der Sicherheitslücke nicht rauslassen ohne daudrch quasi eine globale Bedrohung auszulösen....also was tun?

Hätte man mit dem Release gewartet, bis die Sachen bekannt gegeben wurde inklusive der Patches (was ja glaub ich kommende Woche planmäßig der Fall gewesen wäre) hätte man sich nichts zu Schulden kommen lassen, denn jeder hätte gewusst worauf er sich einlässt. So aber wurde der Käufer darüber im Unklaren gelassen. Bei Intel hielt man Ryzen offenbar für eine Gefahr, darum auch der vorgezogene Release inklusive dem ganzen Chiptheater. Wäre Coffeelake wie geplant released worden hätte es keine Problem bekommen. Eventuell hat man geglaubt, dass die Sache keine großen Wellen schlägt. So kann man sich irren.

Simon Moon

2018-01-05, 16:53:56

Sind die Core 2 (z.b. Conroe) auch schon betroffen? Hab gelesen erst ab den Core i CPUs sei dies der Fall.

StefanV

2018-01-05, 17:01:00

Sind die Core 2 (z.b. Conroe) auch schon betroffen? Hab gelesen erst ab den Core i CPUs sei dies der Fall.
Vermutlich teilweise.

fondness

2018-01-05, 17:02:37

Oder anders gesagt:
Warum baut ARM in den Cortex-A75 die Meltdown-Lücke ein? (https://developer.arm.com/support/security-update)
Oder Apple in ihre CPUs mit ARM-ISA? Die sind nämlich offenbar auch von Meltdown betroffen.

Wenn man annimmt, dass diese Lücke in irgendeiner Form eine logische Konsequenz einer modernen CPU-Entwicklung ist, dann wäre die umgekehrte Frage ja viel spannender: Warum hat ihn AMD nicht eingebaut? Waren die als einzige clever genug um das zu erkennen? Oder purer Zufall?

fondness

2018-01-05, 17:08:57

https://twitter.com/never_released/status/949231568509267968

A new performance hit is coming for Intel Skylake+ CPUs, IBRS is "horribly slow" according to Intel themselves.

"That perf hit is roughly the same as the KPTI patchset that is already there, and it affects ALL Skylake and later CPUs, but not BDW"

"All Silvermont+ Atoms are affected"

"So on AMD, retpoline doesn't even seem to be needed for Spectre Scenario 2, and lfence is enough there."

https://twitter.com/never_released/status/949235113128349696
https://twitter.com/never_released/status/949253173029556225
https://twitter.com/never_released/status/949257771010142208

Ich bin gespannt, wie sich das CPU-Kräfteverhältnis darstellt, wenn das mal alle gepatcht ist.^^

Lord Wotan

2018-01-05, 17:26:59

Die haben da was durcheinander gebracht. Die µcode-Updates sind hauptsächlich für Spectre v2 nötig (wodurch man "Hardware Support für BTI Mitigation" im M$-Sprech erhält), das OS muß natürlich ebenso gepatcht werden, um das zu nutzen. Für Meltdown-Mitigation sind eigentlich nur OS-Updates (KPTI/KAISER) nötig. Auch intel hat bei seiner Auflistung der betroffenen CPUs (die µCode-Updates bekommen sollen) nur Spectre v2 erwähnt und für Meltdown nur auf OS-Updates verwiesen.
Da kommt ja dann richtig Vertrauen auf, das Asus weiß was es tut. Hammer.

Lord Wotan

2018-01-05, 17:34:16

Und ganz brisant:
Seit Juni/Juli weiß man davon.
Und stellt Coffeelake trotzdem vor. Und Skylake ebenso...

Das brisante an dem ganzen Mist ist ja, dass das ganze seit Mitte des Jahres rumschwelt und man sich trotzdem Entschied noch zwei neue CPU Serien auf den Markt zu schmeißen, obwohl man von diesem Zustand wusste.

DAS könnte dem ganzen das Genick brechen und für Intel zu einem enormen Problem werden...

Wenn sie Coffeelake und Skylake-X verschoben hätten, aufgrund des Zustandes, hätten sie bessere Karten gehabt. JETZ schaut es aber wirklich blöde aus.
...
Damit ist ja bewiesen, das Intel ihre Kunden glatt betrogen haben, obwohl sie wussten das ihre Hardware das größte Sicherheitsloch aller Zeiten hat. Nur Intel war das egal, die wollten den blöden Kunden ihren Hardwarebug verkaufen. Bin gespannt was Gericht zumindest bei der neu Ware ab Juli 2017 sagen. Intel hat das Sicherheitsrisiko für ihr Geschäft, billigend in Kauf genommen. Und nichts gesagt.

Bucklew

2018-01-05, 17:44:38

Noebbie

2018-01-05, 17:46:56

Vielleicht liegt es einfach daran, dass die Intel-Implementierung der speculative execution deutlich cleverer ist, also in deutlich mehr Fällen greift, als bei AMD. Je besser die Vorhersage in der Hardware ist, desto einfacher ist es natürlich auch, den Angriff durchzuführen. Und Intel hat ja nicht ohne Grund immer noch die höhere IPC.

Man wird in zukünftigen CPUs die unterschiedlichen Berechtigungsebenen auch auf Cacheseite einführen müssen. Wird die CPUs sicherlich nicht sonderlich langsamer machen, sondern eben "nur" komplexer.

Und am besten kauft man bis dahin keine CPU mehr.

deekey777

2018-01-05, 17:49:07

Sind die Core 2 (z.b. Conroe) auch schon betroffen? Hab gelesen erst ab den Core i CPUs sei dies der Fall.
Core 2 Q6600 nach dem gestrigen Update:

Speculation control settings for CVE-2017-5715

[B]Hardware support for branch target injection mitigation is present: False
Windows OS support for branch target injection mitigation is present: True
Windows OS support for branch target injection mitigation is enabled: False
Windows OS support for branch target injection mitigation is disabled by system policy: False
Windows OS support for branch target injection mitigation is disabled by absence of hardware support: True

Speculation control settings for CVE-2017-5754 [rogue data cache load]

Hardware requires kernel VA shadowing: True
Windows OS support for kernel VA shadow is present: True
Windows OS support for kernel VA shadow is enabled: True
Windows OS support for PCID optimization is enabled: False

...

Scheint "in Ordnung" zu sein.

Bucklew

2018-01-05, 17:50:00

Und am besten kauft man bis dahin keine CPU mehr.
Dann sollte man seinen PC aus lassen. Und das Smartphone. Und das Tablet.

Wie posten die denn alle hier? ;D

maguumo

2018-01-05, 17:51:38

Und am besten kauft man bis dahin keine CPU mehr.
Klar, am besten nutzt man auch keine mehr. Ich verziehe mich dann für das nächste Jahr mal mit Industrial Society and Its Future in eine Blockhütte :D

Kriton

2018-01-05, 17:52:02

Mal was zu den Performanceeinbußen durch die Patches bei Meltdown:

Intel said Wednesday that performance degradation after security updates for Meltdown "should not be significant" for the average user. But on a call with investors, the company admitted a decrease in performance of up to 30 percent was possible after fixes under some "synthetic workloads."

https://www.cnbc.com/2018/01/05/amd-is-big-winner-from-chip-flaw-fiasco.html

PostgreSQL, another database vendor, reports that in their testing the best case is a 17% slowdown and the worst case is 23%.

https://www.forbes.com/sites/kenkam/2018/01/04/amd-looks-poised-to-gain-at-intels-expense/#10d0b42174ec

Die Primärquelle ist im Artikel verlinkt.

Screemer

2018-01-05, 17:52:41

Man muss uebrigens auch das BIOS updaten.
Sorry, wenn es schon beantwortet wurde. Liese sich das microcode Update nicht auch übers so verteilen? Es gab ja schon windowsupdate die Intel microcode eingepflegt haben.

Kriton

2018-01-05, 17:55:48

Sorry, wenn es schon beantwortet wurde. Liese sich das microcode Update nicht auch übers so verteilen? Es gab ja schon windowsupdate die Intel microcode eingepflegt haben.

https://www.forum-3dcenter.org/vbulletin/showthread.php?p=11594981#post11594981

nonharderware

2018-01-05, 17:56:40

Gibt es Infos ob die Xeon Phi für den SVLCLGA3647 Sockel auch betroffen sind?

Ganon

2018-01-05, 17:57:41

https://www.forbes.com/sites/kenkam/2018/01/04/amd-looks-poised-to-gain-at-intels-expense/#10d0b42174ec

Das mit PostgreSQL stimmt nicht. Sie haben von hier (https://www.postgresql.org/message-id/flat/20180102222354.qikjmf7dvnjgbkxe%40alap3.anarazel.de#20180102222354.qikjmf7dvnjgb kxe@alap3.anarazel.de) das Worst-Case Szenario (SELECT 1) genommen und einmal mit nopcid und einmal mit pcid. Der Best-Case sind 7%, nicht 17% und der "echte" Worst-Case sind 17%.

Und den Part:

Note that real-world scenarios probably will see somewhat smaller
impact, as this was measured over a loopback unix sockets which'll have
smaller overhead itself than proper TCP sockets + actual network.

Haben sie komplett überlesen.

edit: Sie haben es ein bisschen korrigiert.

Pirx

2018-01-05, 18:05:08

Das mit PostgreSQL stimmt nicht. Sie haben von hier (https://www.postgresql.org/message-id/flat/20180102222354.qikjmf7dvnjgbkxe%40alap3.anarazel.de#20180102222354.qikjmf7dvnjgb kxe@alap3.anarazel.de) das Worst-Case Szenario (SELECT 1) genommen und einmal mit nopcid und einmal mit pcid. Der Best-Case sind 7%, nicht 17% und der "echte" Worst-Case sind 17%.
...
mit IBRS wegen Spectre stimmts vllt wieder :ulol:

Digidi

2018-01-05, 18:14:55

Ich bin total Verwirrt. Lässt sich das jezt alles per Software beheben? Oder macht man es einfach nur schwieriger das Tor zu finden und aufzubrechen?

fondness

2018-01-05, 18:28:30

Je besser die Vorhersage in der Hardware ist, desto einfacher ist es natürlich auch, den Angriff durchzuführen.

Erklär das mal. :):D

Loeschzwerg

2018-01-05, 18:30:52

@Digidi: Evtl. hilfreicher Link (https://danielmiessler.com/blog/simple-explanation-difference-meltdown-spectre/) :) Meltdown ist also via OS Patches gefixt, für den Rest bedarf es Anpassungen an den jeweiligen Programmen und geg. µCode Updates.

---

Das sagt das M$ Skript zu einem VIA Eden X4 / Zhaoxin ZX-C:
PS C:\Windows\system32> Get-SpeculationControlSettings
Speculation control settings for CVE-2017-5715 [branch target injection]

Hardware support for branch target injection mitigation is present: False
Windows OS support for branch target injection mitigation is present: False
Windows OS support for branch target injection mitigation is enabled: False

Speculation control settings for CVE-2017-5754 [rogue data cache load]

Unsupported processor manufacturer: CentaurHauls
In C:\Program Files\WindowsPowerShell\Modules\SpeculationControl\1.0.1\SpeculationControl.psm1 :148 Zeichen:13
+ throw ("Unsupported processor manufacturer: {0}" -f $cpu. ...
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
+ CategoryInfo : OperationStopped: (Unsupported pro...r: CentaurHauls:String) [], RuntimeException
+ FullyQualifiedErrorId : Unsupported processor manufacturer: CentaurHauls

Was sagt mir das nun hinsichtlich Spectre?

Sven77

2018-01-05, 18:37:03

@ Loeschzwerg
Nichts, das ist eine Fehlermeldung

Loeschzwerg

2018-01-05, 18:46:56

Zu Meltdown (CVE-2017-5754) ja, aber ich habe nach Spectre (CVE-2017-5715) gefragt.

transstilben

2018-01-05, 19:20:43

Gibt es Infos ob die Xeon Phi für den SVLCLGA3647 Sockel auch betroffen sind?
Sind auch betroffen. Quelle : Intel, Liste betroffener Prozessoren. Auch Prozessoren, die nicht auf der Liste sind, können betroffen sein.

Achill

2018-01-05, 19:35:49

Mein Android-Phone hat gerade ein Update angezeigt und bekommen ... Security Patches von Google für Android: https://source.android.com/security/bulletin/2018-01-01

--

Linus mal wieder sehr deutlich bzgl. der Qualität der Patches/der "Bugs": https://lkml.org/lkml/2018/1/3/797

Lord Wotan

2018-01-05, 19:37:21

Ganon

2018-01-05, 19:46:29

Bei der Update Politik der Android Hersteller bezweifel ich aber, das jeder Android Handy Nutzer ein Update bekommt.

Da Updates für die Browser-Engine separat kommen und man allgemein nicht einfach beliebige Anwendung auf dem Gerät ausführen kann, ist das Risiko von Spectre aber recht minimal.

TRX

2018-01-05, 19:59:50

http://www.planet3dnow.de/cms/35759-massive-sicherheitsluecke-in-intel-cpus-update-amd-arm-bugfixes-2/

Demnach ist spectre 1 und 2 praktisch auf Amd CPUs ausgeschlossen, es sein denn eBPF JIT is on, Meltdown ohnehin.

Oder sehe ich das falsch?

nonharderware

2018-01-05, 20:09:22

Jetzt fang ich auch noch damit an zu spekulieren:
Ist dies vielleicht der Grund wieso z.B. Russland die Elbrus CPU und China (Zhaoxin) eigene x86 CPUs entwicklen?

Lord Wotan

2018-01-05, 20:10:53

Da Updates für die Browser-Engine separat kommen und man allgemein nicht einfach beliebige Anwendung auf dem Gerät ausführen kann, ist das Risiko von Spectre aber recht minimal.
OK, ändert aber nichts daran das nur einige wenige Android Hersteller bei ihren Kunden auf Sicherheit achten, den anderen ist das leider egal. Das sieht man ja leider mal Außerhalb dieser Sache hier, das die Update Politik vieler Handyhersteller einfach unterirdisch ist Und da liegt leider Android auf Grund der Masse der Handys leider weit forme. Kaum Gekauft, ist der Kunde egal, weil der Hersteller will ja schon wieder den Nachfolger verkaufen.

maguumo

2018-01-05, 20:17:32

Jetzt fang ich auch noch damit an zu spekulieren:
Ist dies vielleicht der Grund wieso z.B. Russland die Elbrus CPU und China (Zhaoxin) eigene x86 CPUs entwicklen?
Elbrus ist SPARC und VIA ein Konzern mit Sitz in Taiwan, dachte die kommen mit den Chinesen nicht so gut klar? Das sie technologisch unabhängig sein wollen ist doch selbstverständlich. Ein derartiger Fehler der alle betrifft, öffentlich wird und sich recht einfach per Software beheben lässt dürfte weit von deren Worst Case Szenarien sein.

TGKlaus

2018-01-05, 20:22:23

Ganon

2018-01-05, 20:24:06

Bei allein 2,7 Mio Apps im offiziellen Playstore ist diese Aussage totaler Quatsch.

Wenn der Anwender sich manuell irgend einen Blödsinn installiert, dann brauchst du kein Spectre.

Setsul

2018-01-05, 20:48:28

Gab es nicht schon Meldungen, daß die Branch Prediction ab Skylake "zu clever" für den Retpoline-Fix für Spectre v2 ist? Sprich, die läßt sich davon nicht beeindrucken und der Exploit funktioniert (vielleicht mit minimalen Anpassungen) weiterhin. Man benötigt die Microcode-Änderungen, damit die CPUs (auf entsprechende Aufforderung hin) den Branch Target Buffer flushen.
Minimale Anpassungen nicht gerade, aber wenn der return stack buffer voll oder leer ist holt sich Skylake eine Vorhersage aus dem branch target buffer und man steht wieder am Anfang. Das ganze "wir callen mit einem return" ist dann natürlich ausgehebelt.
https://lkml.org/lkml/2018/1/4/708

Ähnlich lustige Sachen passieren aber überall, sind nur schwieriger.
Bei anderen CPUs kann man eventuell den RSB manipulieren.
https://lkml.org/lkml/2018/1/4/757

Also retpoline ist 50% hoffen dass niemand das ausnutzt bevor bessere fixes mit IBRS oder ähnlichem tatsächlich sicher sind und 50% hoffen dass nach dem lfence einfach nicht genug zeit ist um irgendwas anzustellen bevor der flush kommt, wenn es jemand schafft.

AMD empfiehlt einfach nur die Zieladresse für indirekte jumps/branches/calls in ein Register zu laden und danach lfence. Danach sollte dann die Spekulation praktisch sofort fehlschlagen, weil die Adresse ja bereit ist, sodass eigentlich nur ein Takt an instructions überhaupt spekulativ versucht wird, aber definitiv nicht genug Zeit bleibt um ein Ergebnis von load zu sehen oder sogar weiterzuverarbeiten.

Elbrus ist SPARC
Elbrus ist nicht SPARC.

maguumo

2018-01-05, 20:50:44

Elbrus ist nicht SPARC.

Stimmt, weiß nicht wo ich das her hatte.

LadyWhirlwind

2018-01-05, 20:53:47

Jetzt fang ich auch noch damit an zu spekulieren:
Ist dies vielleicht der Grund wieso z.B. Russland die Elbrus CPU und China (Zhaoxin) eigene x86 CPUs entwicklen?

Nein, die wollen aus politischen Gründen nicht von „westlicher“ Technologie abhängig sein. Was glaubst du was passiert, wenn Trump gegen Russland ein Handelsembargo erlässt und Intel verbietet CPUs zu liefern.

Lord Wotan

2018-01-05, 20:54:38

steve.it

2018-01-05, 21:15:31

Analyse zur Prozessorlücke: Meltdown und Spectre sind ein Security-Supergau

"Ist damit Out-of-Order out of Order? Nein, aber Prozessor- und Betriebsystem-Hersteller müssen zügig einiges ändern. Erste Microcode-Updates stehen jetzt schon an."
https://www.heise.de/newsticker/meldung/Analyse-zur-Prozessorluecke-Meltdown-und-Spectre-sind-ein-Security-Supergau-3935124.html?seite=2

In diesem Kontext könte Apple schon einen kleinen Vorteil haben (nicht von mir aber IMHO interessant):
"Für Meltdown musste unter OSX fast nichts gepatcht werden, weil OSX sowieso schon immer getrennte Speicherseitentabellen für Kernel und Prozess hatte. Deshalb gibt es auch kaum Performanceeinbussen: OSX war schon immer langsam an dieser Stelle, was I/O betrifft. Das war schon Gegenstand vieler Flamewars mit Linus Torvalds.
Ist ja auch klar, bei einem Microkernel gibt es nicht "den Kernel", den man in den Speicher eines Prozesses mappen kann. Der Kernel besteht aus vielen Komponenten (bei OSX: Mach, BSD-Kram, IOKit, ...), die jede ihre eigenen virtuellen Speicher haben.

Man siehe auch hier (interessant für Meltdown ab Seite 46):
https://events.ccc.de/congress/2007/Fahrplan/attachments/1053_inside-macosx-kernel.pdf "
https://www.heise.de/forum/Mac-i/News-Kommentare/Meltdown-und-Spectre-Alle-Macs-und-iOS-Geraete-betroffen/Bitte-Meltdown-und-Spectre-trennen/posting-31632101/show/

Lord Wotan

2018-01-05, 21:21:56

In diesem Kontext könnte Apple schon einen kleinen Vorteil haben
Apple nutzt doch auch Intel CPU´s oder?

anddill

2018-01-05, 21:23:40

Apple nutzt doch auch Intel CPU´s oder?
Ja, und beweist daß man auch eine Intel-CPU sicher(er) betreiben kann wenn man bei der Software etwas umsichtiger ist.

Ganon

2018-01-05, 21:26:26

In diesem Kontext könte Apple schon einen kleinen Vorteil haben
Für Meltdown musste unter OSX fast nichts gepatcht werden
OSX war schon immer langsam

Merkst'e selbst, nicht? :D So nebenbei: XNU ist kein Microkernel.

Lord Wotan

2018-01-05, 21:28:37

Ja, und beweist daß man auch eine Intel-CPU sicher(er) betreiben kann wenn man bei der Software etwas umsichtiger ist.
Ok verstehe das aber immer noch nicht ganz. Das Apple OS, ist doch so was wie Linux, was ebenfalls betroffen war, oder? Wie kann jetzt Apple ´s OS sicherer als das Linux selber sein, wenn das Apple OS aus Linux besteht. Oder mache ich einen Denkfehler?

Ganon

2018-01-05, 21:29:24

Ja, und beweist daß man auch eine Intel-CPU sicher(er) betreiben kann wenn man bei der Software etwas umsichtiger ist.

Schon, aber die Performance-Verluste die wir gerade alle beklagen, an diese Werte nach Verlust kommst du mit OS X nicht mal im Normalbetrieb ran. Das System ist halt allgemein verdammt langsam. Da rettet dich dann nicht mal eine AMD CPU.

Ok verstehe das aber immer noch nicht ganz. Das Apple OS, ist doch so was wie Linux, was ebenfalls betroffen war, oder? Wie kann jetzt Apple ´s OS sicherer als das Linux selber sein, wenn das Apple OS aus Linux besteht. Oder mache ich einen Denkfehler?

macOS ist nicht Linux, ganz einfach. edit: Das habe ich dir auch schon mehrfach erzählt.

unl34shed

2018-01-05, 21:36:07

Ok verstehe das aber immer noch nicht ganz. Das Apple OS, ist doch so was wie Linux, was ebenfalls betroffen war, oder? Wie kann jetzt Apple ´s OS sicherer als das Linux selber sein, wenn das Apple OS aus Linux besteht. Oder mache ich einen Denkfehler?

Der unterschied besteht zwischen OSX und Linux darin, das Linux die Kernel Adressen jedes mal bei User Code aus der MMU Tabelle löscht. Linux hat das bis jetzt noch nicht gemacht. Ist die Adresse nicht in der MMU bekann, kann damit wohl auch nicht mit Meltdown drauf zugegriffen werden. Das Löschen der MMU Tabelle kostet allerdings Zeit.

steve.it

2018-01-05, 21:36:14

Schon, aber die Performance-Verluste die wir gerade alle beklagen, an diese Werte nach Verlust kommst du mit OS X nicht mal im Normalbetrieb ran. Das System ist halt allgemein verdammt langsam. Da rettet dich dann nicht mal eine AMD CPU.

Das liest sich jetzt aber ziemlich übertrieben. Für normale Anwendungen merkt man im Alltag eigentlich keinen Unterschied. Dieses langsam kommt in erster Linie aus Datenbankbenches etc., die auf macOS ohnehin eher untypisch sind. Zudem ist das alles inkl. den CCC-Folien mittlerweile recht alt und die Frage ist, wie das aktuell aussieht.

Wer schon mal Final Cut Pro X genutzt hat, sieht wie schnell ein Mac sein kann.
Damit zersägt man durchaus potentere Hardware unter Linux oder Windows nach meinem Eindruck mit anderen NLEs. Gut, das liegt natürlich auch daran, dass Final Cut Pro X eine komplette Neuentwicklung war/ist.

Zurück zum Thema:
Klar, der Macuser wird nach dem Patch weniger (voraussichtlich) an Performance-Verlust merken, da macOS in dem Bereich ohnehin immer langsamer war.

Ganon

2018-01-05, 21:41:13

Das liest sich jetzt aber ziemlich übertrieben. Für normale Anwendungen merkt man im Alltag eigentlich keinen Unterschied.

Bei "Normalanwendungen" merkt halt auch der Windows und Linux User keinen Unterschied nach den Patches. Ich sag ja auch nicht, dass macOS unbenutzbar langsam ist, aber macOS verliert so gut wie jeden Benchmark. Egal ob real-world oder synthetisch.

Dieses langsam kommt in erster Linie aus Datenbankbenches

Da HFSX den fsync Befehl komplett ignoriert sind Datenbankanwendungen unter macOS sogar schneller. Leider verlieren sie damit auch ihre ACID Eigenschaften. ;) Weiß gar nicht wie APFS reagiert.

grobi

2018-01-05, 21:44:12

@Lord Wotan

Mac OSX ist ein auf Unix basierendes Betriebssystem. Linux ist wenn dann nur ein "Nachbau" von Unix und handhabt einiges anders.

Edit: Meine Erklärung war nur Leihenhaft.

Complicated

2018-01-05, 21:52:29

Spectre benötigt gezielte Vorbereitungen, Planungen, Analysen und eine recht lange Laufzeit um überhaupt irgendwas zu erreichen. Das ist kein Ding was man einfach in irgend einen Werbebanner packt und nach 20 Sekunden irgendwo Daten rausträgt.
Es sei denn man benutzt TSX dafür und umgeht den OS Exception Handler, womit man auch gleich einen Exploit für alle Betriebssysteme hat. So wie es auf der Blackhat Konferenz 2016 demonstriert wurde (von wegen seit Mitte diesen Jahres erst bekannt). Die detaillierteste Beschreibung bisher die ich gesehen habe: https://www.blackhat.com/docs/us-16/materials/us-16-Jang-Breaking-Kernel-Address-Space-Layout-Randomization-KASLR-With-Intel-TSX.pdf (https://www.blackhat.com/docs/us-16/materials/us-16-Jang-Breaking-Kernel-Address-Space-Layout-Randomization-KASLR-With-Intel-TSX.pdf)

Result Summary
•Linux: 100% of accuracy around 0.5 second
•Windows: 100% for M/U in 5 sec, 99.28% for X/NX for 45 sec
•OS X: 100% for detecting ASLR slide, in 31ms
•Linux on Amazon EC2: 100% of accuracy in 3 seconds
Damals schon die Gegenmaßnahmen diskutiert:

• Modifying CPU to eliminate timing channels
Difficult to be realized :(

• Using separated page tables for kernel and user processes
High performance overhead (~30%) due to frequent TLB flush

•Fine-grained randomization
Difficult to implement and performance degradation

•Coarse-grained timer?
Always suggested, but no one adopts it. Die Coarse-grained timer sind ja auch Teil der Sofortmaßnahmen, welche die Browser Hersteller genutzt haben.

HPE nun mit ersten BIOS Updates für Microcodes:
HPE ProLiant DL380 Gen9/DL360 Gen9 (P89) Servers (https://support.hpe.com/hpsc/swd/public/detail?sp4ts.oid=1009087943&swItemId=MTX_cf6657e373254295b51b2e368a&swEnvOid=4184#tab4)
Erst dann werden die OS-Patches auch überhaupt erst scharf geschaltet.

Ich würde keinem Benchmark trauen der ohne BIOS Update schon statt gefunden hat und auch nicht dem Tester, dass er das Thema schon verstanden hat. Die Performance-Bremsen werden erst greifen wenn auch der Patch nach den BIOS Updates aktiviert ist.

Die Verifizierung des Patches unter Windows läuft über das Powershell-Tool und zeigt ob auch die Hardware (BIOS-Update) neben dem OS entsprechende Updates erhalten hat. Ist das nicht der Fall wird der Patch deaktiviert, wie das Tool auch deutlich mitteilt.

Beispiel AMD-CPU (R7 1700x/C6H/W10):
http://abload.de/img/r7win10jlutb.jpg

Beispiel Intel CPU (i7 6850/X99-A II/W10):
http://abload.de/img/i76850w10syu82.jpg

Hier lassen sich nun die Meldungen des OS für zwei Sicherheitslücken auslesen.
Meldungen zu Spectre sind unter CVE-2017-5715 [branch target injection] zu finden.
Meldungen zu Meltdown sind im Abschnitt CVE-2017-5754 [rogue data cache load] enthalten.

Wie auch bei beiden deutlich zu lesen ist in der ersten roten Zeile fehlt die Hardware-Unterstützung für Spectre 2 und deswegen ist der ganze Patch deaktiviert. Und für beide wird unter "Suggested actions" empfohlen BIOS/Firmware-Updates zu installieren.

Ebenfalls ist zu sehen, dass das AMD System unter Windows auch den Meltdown-Patch ("kernel VA shadowing" in Redmond Sprache) nicht eingespielt bekommt weil nicht "required", wie ja auch unter Linux der Patch nicht unnötigerweise eingespielt wird auf AMD Systemen.

Spectre 1 lässt sich, wie ja schon ausführlich hier im Thread beschrieben wurde, nicht durch das OS patchen, daher zeigt das Tool auch keinen Status dafür an. Hier sind die jeweiligen Anwendungen zuständig.

Wer Probleme hat dieses Powershell Tool "Get-SpeculationSettings" unter Windows 7/Windows 8 zum laufen zu bringen findet eine Anleitung hier: Meltdown/Spectre Powershell Verifikation Windows 7 (http://www.planet3dnow.de/vbulletin/threads/429296-Meltdown-Spectre-Powershell-Verifikation-Windows-7)

Gipsel

2018-01-05, 21:55:02

Wenn man annimmt, dass diese Lücke in irgendeiner Form eine logische Konsequenz einer modernen CPU-Entwicklung ist, dann wäre die umgekehrte Frage ja viel spannender: Warum hat ihn AMD nicht eingebaut? Waren die als einzige clever genug um das zu erkennen? Oder purer Zufall?Da wird viel Zufall dabei gewesen sein. Und Meltdown und auch Spectre v2 sind nicht unbedingt logische Konsequenz der Weiterentwicklung von CPUs. Höchstens wenn man "fast and loose" spielt und an jeder Ecke auch noch das letzte Bit oder den letzten Check einsparen will.
"That perf hit is roughly the same as the KPTI patchset that is already there, and it affects ALL Skylake and later CPUs, but not BDW"

"All Silvermont+ Atoms are affected"

"So on AMD, retpoline doesn't even seem to be needed for Spectre Scenario 2, and lfence is enough there."

https://twitter.com/never_released/status/949235113128349696
https://twitter.com/never_released/status/949253173029556225
https://twitter.com/never_released/status/949257771010142208
Und von selber Stelle auch noch das (https://twitter.com/never_released/status/949258402278060032):
"lfence is for paranoia, to switch the risk from near zero to zero :)"

=============================

Vielleicht liegt es einfach daran, dass die Intel-Implementierung der speculative execution deutlich cleverer ist, also in deutlich mehr Fällen greift, als bei AMD. Je besser die Vorhersage in der Hardware ist, desto einfacher ist es natürlich auch, den Angriff durchzuführen. Und Intel hat ja nicht ohne Grund immer noch die höhere IPC.Nicht wirklich.
Bei Meltdown schiebt intel den finalen Check, ob der Zugriff eigentlich erlaubt ist, im Zweifelsfall bis zum Commit der Instruktion auf. Bei AMD geschieht das offenbar bereits parallel zum L1-Zugriff (und bei einem Page Fault wird der Wert anders als bei intel gar nicht in den reorder buffer geschrieben), bei intel erst später. Dadurch ist intel zwar latenztoleranter, was den TLB angeht, aber das Problem damit sieht man jetzt.
Man wird in zukünftigen CPUs die unterschiedlichen Berechtigungsebenen auch auf Cacheseite einführen müssen. Wird die CPUs sicherlich nicht sonderlich langsamer machen, sondern eben "nur" komplexer.Ähm, jedem Cacheeintrag ist per Tag eine eindeutige Adresse zugewiesen und die TLBs cachen natürlich auch die Pagetables mitsamt Berechtigungen. Die CPU hat bereits alle Informationen in den Caches, um die Berechtigungen festzustellen. Nur überprüfen die intel-CPUs (wie auch ein paar von Apple und der A75 von ARM) die offenbar nicht vor der spekulativen Ausführung, sondern erst danach.

Und was Spectre v2 angeht, so merkt sich der indirect branch predictor von intel offenbar nicht mal die Adresse des Sprungs, sondern hat lediglich eine globale History für indirect branches (zumindest steht das so im Spectre Paper als Resultat der Tests). AMDs Branch Predictor indiziert mit der Adresse des Branches in den BTB (offenbar auch bei dem indirect predictor), was das Spoofen (also das Injizieren falscher Sprungziele) erheblich erschwert. Deswegen offenbar auch das "near zero risk".

Edit:
Beim nochmaligen Lesen des Spectre Paper kommt mir die Vermutung, daß der Spectre v2 Exploit leicht anders funktionieren könnte, als da beschrieben (bzw. haben die vielleicht die Begriffe durcheinander bekommen). Sieht so aus, als trainiere man da den Branch Return Stack falsch, nicht den Branch Target Buffer, wie dort gesagt.
Kommando zurück.

Ganon

2018-01-05, 21:59:23

Aber noch mal zum Punkt der Software-Sicherheit: Wir bewegen uns halt schon seit Jahren/immer auf einem schmalen Grad zwischen "Performance" und "Sicherheit". z.B. Windows, Linux und macOS bewegen sich hier. Man kann hier diverse Dinge zur Kosten der Performance sicherer machen, aber mangels Notwendigkeit wird es eben gelassen.

Ein anderes Extrem ist z.B. OpenBSD. Das zieht halt so ziemlich alle möglichen Register in Sachen machbarer Software-Sicherheit. Die Performance unter OpenBSD ist dementsprechend grauenhaft. So grauenhaft, dass vor einer Weile (1-2 Jahren) Patches kamen, damit man in FireFox überhaupt ein Video ansehen kann.

Das alles bringt aber eben nichts, wenn die Hardware Fehler macht. Dann hat man einfach verloren. Die Software-"Fixes" für Spectre sind ja nämlich keine Fixes, sondern Workarounds für die Hardware.

LadyWhirlwind

2018-01-05, 22:08:58

Tarkin

2018-01-05, 22:09:23

Ganon

2018-01-05, 22:20:46

Du wiedersprichst dir jetzt zum Teil selber.

Na ich meinte schon auf Software-Ebene. Das doofe bei Sidechannel ist: Du machst selbst nicht unbedingt einen Fehler, hast aber trotzdem einen gemacht. Klingt genauso doof wie es in der Realität halt ist.

Implementierst du einen Krypto-Algorithmus auf eine naive Art und Weise, aber komplett "fehlerfrei", dann ist er anfällig für Sidechannel-Angriffe und somit unsicher. Du musst dabei halt Sidechannel bedenken und entsprechende Gegenmaßnahmen ergreifen.

Ähnlich ist das hier auch mit der Hardware. Die einzige Lösung ist, es nicht zu tun (also das Spekulieren). Kostet aber wieder Performance. Recht viel sogar. Oder du ergreifst Gegenmaßnahmen. Das sehen wir aktuell gerade.

grobi

2018-01-05, 22:21:50

Das hier schon bekannt?!

Performance impact of Windows patch and BIOS update (0606) on i7-8700 on ASUS PRIME Z370-A motherboard using Realbench 2.56.

https://np.reddit.com/r/pcmasterrace/comments/7obokl/performance_impact_of_windows_patch_and_bios/

https://i.redd.it/vbymibcgj9801.png

OUCH!! Soviel zum Thema „negligible performace impact“

Das sind ja doch erhebliche Performanceeinbrüche. Auf der Seite in den Kommentaren hat jemand ein Spiel getestet. Die min.FPS sind deutlich geringer.
Hoffentlich bleibt das nicht so und es ist nur weil es schnell gepatcht werden musste.

Ganon

2018-01-05, 22:25:26

Hoffentlich bleibt das nicht so und es ist nur weil es schnell gepatcht werden musste.

Da sich herausgestellt hat, dass ab Skylake "so gut" spekuliert wird, dass er sogar die Gegenmaßnahmen "wegspekuliert", verliert man halt zwangsläuft die Performance die so ab Skylake gekommen ist.

Ist halt die Frage ob Intel hier noch irgendwas fixen kann. Weil entweder man spekuliert "gut" oder eben nicht. Ist fraglich ob Intel da überhaupt irgendwas noch umbauen kann. Das weiß halt nur Intel.

Annator

2018-01-05, 22:38:00

Was müsste schneller sein um das wieder auszugleichen? RAM, Cache oder CPU Takt?

gravitationsfeld

2018-01-05, 22:43:36

Wurde auf Twitter auch schon angekuendigt, dass der Microcode-Patch wohl uebel sein wird. Ich bin kurz davor mir nen Threadripper-System zu bestellen. Wollt ich eh machen.

LadyWhirlwind

2018-01-05, 22:45:23

Na ich meinte schon auf Software-Ebene. Das doofe bei Sidechannel ist: Du machst selbst nicht unbedingt einen Fehler, hast aber trotzdem einen gemacht. Klingt genauso doof wie es in der Realität halt ist.

Implementierst du einen Krypto-Algorithmus auf eine naive Art und Weise, aber komplett "fehlerfrei", dann ist er anfällig für Sidechannel-Angriffe und somit unsicher. Du musst dabei halt Sidechannel bedenken und entsprechende Gegenmaßnahmen ergreifen.

Ähnlich ist das hier auch mit der Hardware. Die einzige Lösung ist, es nicht zu tun (also das Spekulieren). Kostet aber wieder Performance. Recht viel sogar. Oder du ergreifst Gegenmaßnahmen. Das sehen wir aktuell gerade.

Oder du löst es fundamental anders, so dass die jetzt bekannt gewordenen Sidechannel-Angriffsmethoden nicht erfolgreich sind. Nur solange man dann keine echte Gefahr in den Sidechannel-Angriffen sieht, wird man auch nichts dagegen tun, wenn es (Performance) kostet. Neu ist die Idee ja nicht, aber solange man die Daten sicher wähnte, gab es keinen Grund etwas dagegen zu tun.

Ganon

2018-01-05, 22:54:29

Oder du löst es fundamental anders, so dass die jetzt bekannt gewordenen Sidechannel-Angriffsmethoden nicht erfolgreich sind.

Na AMD hat ja scheinbar bisher alles richtig gemacht. Heißt natürlich nicht, dass nicht in 2 Monaten auch ein AMD Angriff vorgestellt werden könnte.

"Fundamental anders" ist halt schwierig. Man holt halt mal nicht über Nacht eine grundlegend neue CPU-Architektur hervor. Das kann noch eine ganze Weile dauern.

Screemer

2018-01-05, 23:05:23

Reicht es dir nicht langsam mit Intel whitewashing?

Ganon

2018-01-05, 23:08:49

Reicht es dir nicht langsam mit Intel whitewashing?

Du machst in deinem Kopf Whitewashing draus. Dafür kann ich nichts. Meltdown und Spectre sind zwei bzw. drei Angriffe auf grundlegende CPU-Funktionsweisen (darum sind auch ARM und POWER betroffen). Nur weil diese in der jetzigen Form nicht in Gänze bei AMD zünden, heißt das nicht, dass es für immer und in jeder Form unmöglich ist.

stb

2018-01-05, 23:11:28

Ich mache mal ein Fragezeichen hinter die Aussage, dass der Patch für macOS relativ einfach sei.
Denn so wie es scheint ist bislang nur High Sierra, die aktuelle macOS-Version, gepatched. Die Vorgängerversionen scheinen bislang leer auszugehen.

Lord Wotan

2018-01-05, 23:12:55

Das mit den Bios Update scheint sehr viel Leistung zu kosten.
https://www.reddit.com/r/pcmasterrace/comments/7obokl/performance_impact_of_windows_patch_and_bios/?sort=new

Schnoesel

2018-01-05, 23:15:51

Für welches der 3 Szenarien muss jetzt das Biosupdate erfolgen?

Meltdown, Spectre 1, Spectre 2 oder für alle 3? Es wird langsam ziemlich verwirrend. (nicht dass es das nicht längst schon wäre)

eratte

2018-01-05, 23:20:09

Du machst in deinem Kopf Whitewashing draus. Dafür kann ich nichts

Doch der Rand nervt, halte dich mal an aktuelle Fakten und Infos und hör auf irgendwelche Zukunftsszenarien zu ersinnen.

w0mbat

2018-01-05, 23:27:21

PS: der Intel CEO soll ja die Eröffnungsrede auf der CES geben. Bin gespannt :D

grobi

2018-01-05, 23:28:02

Ich bin entsetzt und gespannt zu gleich was denn nun passiert.

Was wäre denn wenn Intel Auftragsfertiger für Ryzen wird weil die ihre Architektur einstampfen müssen......:freak:

Gipsel

2018-01-05, 23:29:41

Für welches der 3 Szenarien muss jetzt das Biosupdate erfolgen?

Meltdown, Spectre 1, Spectre 2 oder für alle 3? Es wird langsam ziemlich verwirrend. (nicht dass es das nicht längst schon wäre)
Spectre v2. Eventuell nur ab Skylake wirklich nötig. Vor Skylake ohne µCode-Update vermutlich "near zero risk", wenn es nur mit OS-Update läuft (das braucht man aber immer; nur µCode-Update hilft gegen gar nichts).

Ex3cut3r

2018-01-05, 23:32:43

Wo ist eigentlich Krawall? Der hat doch erst kürzlich einen gebrauchten Skylake gekauft, ich wette der Kotzt jetzt. :biggrin:

Schnoesel

2018-01-05, 23:34:32

Spectre v2. Eventuell nur ab Skylake wirklich nötig.

Nun ja versuche gerade das Specudingens auf meinem Surface mit Skylake CPU auszuführen und kann das Ganze auch erstmal instllieren aber ab Import-Module SpeculationControl bekomm ich nur ne Fehlermeldung. Muss mich morgen mal drum kümmern heute keine NErv mehr dafür. Solange das nicht klar ist werde ich erstmal darauf verzichten sensible Sachen über das Surface zu machen.

Schätze beim Surface muss ich aber auf ein Firmwareupdate warten.

Complicated

2018-01-05, 23:43:01

@Schnoesel
Versuchs mal mit dieser Anleitung: http://www.planet3dnow.de/vbulletin/threads/429296-Meltdown-Spectre-Powershell-Verifikation-Windows-7?p=5184706#post5184706
Ab dem Punkt "Get-ExecutionPolicy"

TRX

2018-01-05, 23:48:21

M.E. eines der Besten bisher lancierten Ablenkungsmanöver von Intel.

Der Hinweis von Intel, dass auch die anderen Hersteller betroffen sind, insbesondere AMD und diese mit in den Sumpf zu ziehen, ohne das es einen Nachweis bislang gibt, dass die AMD CPUs unter Standarteinstellungen für eines der Probleme wirklich anfällig sind.

....und wieder in weiten Teilen der IT- Kreise keine oder völlig unzureichende Reflexion dieser Tatsache. Grandios!

Linmoum

2018-01-06, 00:09:02

The fix for the #Intel CPU vulnerabilities has a #brutal effect on compile times.
Compiling the #syslog_ng package on #Fedora changed drastically: from 4 minutes to 21!
As far as I can see compiling #Java is affected most.
#Meltdown #Spectre
https://twitter.com/PCzanik/status/949275491617464320

Lord Wotan

2018-01-06, 00:25:04

CompuJoe

2018-01-06, 00:33:52

Also was ich mittlerweile so abseits des Mainstreams mitbekomme, also von meinen Freunden und Bekannten die sich etwas auskennen und auch im IT Bereich arbeiten ist das der Supergau dank Intel.

Bei einem Freund von mir haben sie alles was mit Home Office läuft abgeschaltet und die müssen jetzt jeden Tag hunderte km Pendeln, bei einem anderen ist die Bude mal für 4 Tage dicht bis das System wieder sicher ist.

Lehdro

2018-01-06, 01:26:30

RIP Intel wenn das mit OS Patching + BIOS Update wirklich so reinhaut. Die Compilezeit ist ja nicht mehr feierlich.

kruemelmonster

2018-01-06, 02:03:48

Lagerdenken bringt beim Thema Sicherheit nicht allzu viel da zur Zeit einfach alles im Eimer ist, auch AMD: https://www.phoronix.com/scan.php?page=news_item&px=AMD-PSP-2018-Vulnerability

AMD's Secure Processor / Platform Security Processor (PSP) that is akin to Intel's Management Engine (ME) is reportedly vulnerable to remote code execution.
...
Google reported this issue to the AMD Security Team in September and then in December began rolling out a software fix.

---
@Performanceverlust: nichts genaues weiß man nicht, ist ja weiterhin ein komplettes Drucheinander. RealBench in #723 sieht schon mächtig übel aus, Fedora in #744 klingt grausam bis man in die Kommentare guckt:

Something else has to be completely off there, then. Gentoo user here on i7-7700K: syslog-ng-3.13.2 in December (w/o KPTI obviously): merge time 40 seconds, with KPTI enabled: 40 seconds . So no difference at all.
I tested libvirt 3.7.0 RPM compile time and it had negligible performance impact. With kernel 4.14.8-300.fc27 it took 3 min 55 sec, and with kernel 4.14.11-300.fc27 it takes 4 minutes 5 secs. 8 cpus on a i7-3740QM - perhaps a sign of the benefit of the 'pcid' feature in that cpu

Lehdro

2018-01-06, 02:11:45

Lagerdenken bringt beim Thema Sicherheit nicht allzu viel da zur Zeit einfach alles im Eimer ist, auch AMD:
1. Ich kann PSP bei AMD im BIOS abschalten.
2. "[...]and then in December began rolling out a software fix."

Das ist nichtmal ansatzweise das "Niveau" welches Intel hier erreicht. Da kommen zwar auch recht schnell Fixes, allerdings nur für die neueren CPUs und auch nur in Verbindung mit wie auch immer gearteten Performanceverlusten. AMD scheint da echt als einziger mit einem blauen Auge davonzukommen.

Bitterböse:
Ich meine welche Wahl hat man denn jetzt beim kompilieren? AMD mit Segfaults oder Intel mit bald anscheinend fünf mal so langer Kompilierzeit. :freak:

Achill

2018-01-06, 02:21:51

[..]
@Performanceverlust: nichts genaues weiß man nicht, ist ja weiterhin ein komplettes Drucheinander. RealBench in #723 sieht schon mächtig übel aus, Fedora in #744 klingt grausam bis man in die Kommentare guckt:

Something else has to be completely off there, then. Gentoo user here on i7-7700K: syslog-ng-3.13.2 in December (w/o KPTI obviously): merge time 40 seconds, with KPTI enabled: 40 seconds . So no difference at all.

Evtl. noch kein Bios aktualisiert - hatten wir doch hier schon im Thread ...

I tested libvirt 3.7.0 RPM compile time and it had negligible performance impact. With kernel 4.14.8-300.fc27 it took 3 min 55 sec, and with kernel 4.14.11-300.fc27 it takes 4 minutes 5 secs. 8 cpus on a i7-3740QM - perhaps a sign of the benefit of the 'pcid' feature in that cpu

I could not measure compiling the C and Java parts separately, but the majority of the slow down was definitely in the Java part.

If this is true, we'll probably see optimizations in the #Java #compiler soon. Compiling Java sources is obviously syscall- and i/o-heavy (many small source files which are translated into class files). I'm sure there is lots of room for optimization with #KPTI enabled.

Es gibt gewisse Unterschiede, je nachdem in welcher Sprache man Code schreibt und diesen dann baut+testet+paketiert+systemtestet+ausrollt ... usw.