Massig Sicherheitslücken in Intel CPU's gefunden.

[khz]

Das wird genau so ablaufen wie bei dem SuperGAU "Snowden Enthüllungen" .. in ein paar Monaten weiss _jeder_ das es dieses Thema gibt und das es wahr ist, aber Konsequenzen folgen nicht und es wird noch schlimmer.

 

[kybernaut_01]

Gefühlte Wahrheiten/Informationen sind eher glückssache, liegt evt. manchen aber mehr.

Falls du damit mich meintest: Nein.
Es gibt diese Informationen auch auf der Windows-Seite, war aber zu faul das alles zusammenzusuchen. Trotzdem ist nunmal das BIOS am frühesten in der Kette

 

[khz]

Falls du damit mich meintest:

Nein meine nicht dich. Ich meine "uns" alle. Niemand ist dagegen dauerhabt resistent, es ist wie mit dem entgegenhalten der Schwerkraft: ständig Arbeit.

Es ist technisch. Rein von der Logik würde ich im Bereich Linux es so erfassen. Ich bin aber kein Techniker/Programmierer/... und bin mir nicht zu 100% sicher.
Deswege ja auch die Nachfrage u.a. hier. Irgendwer hat etwas mehr Wissen und kann mich bestätigen oder korrigieren. Ich finde so etwas gut und behaupte nicht "das Wissen" zu besitzen. Zusammen.
Das selbe/ähnliches könnte auch bei anderen Menschen/Betriebssysteme vorzufinden sein.

 

[swissdoc]

Da dieser Microcode immer vor dem booten des Kernels geladen wird ist das wie immer wieder aufs neue (flüchtiges) BIOS update. <-- @Linuxuser ist das richtig?

Korrekt. Linux kann beim Booten den Microcode flüchtig patchen. Nicht immer, aber immer öfter. Wenn man ein BIOS mit dem Patch hat, sollte das aber nicht nötig sein.
https://www.cyberciti.biz/faq/install-update-intel-microcode-firmware-linux/

 

[kybernaut_01]

Intel hat mittlerweile die finale Liste der Microcode-Updates veröffentlicht.

Prozessoren die auf dieser Liste mit Production Status „Stopped“ vermerkt sind, werden keine Microcode-Uodates mehr erhalten - somit lassen sie sich auch nicht mehr gegen Spectre Variante 2 patchen, da hierfür immer eine Kombination aus Microcode-Update und OS-Update erforderlch ist.

Mit dabei sind beliebte Prozessoren wie der Core 2 Duo.

 

[swissdoc]

Prozessoren die auf dieser Liste mit Production Status „Stopped“ vermerkt sind, werden keine Microcode-Uodates mehr erhalten - somit lassen sie sich auch nicht mehr gegen Spectre Variante 2 patchen, da hierfür immer eine Kombination aus Microcode-Update und OS-Update erforderlch ist.

Danke für den Link. Mein altes Schlachtross, ein i7-780 mit dem Codenamen Lynnfield ist da sogar noch dabei, Baujahr 2009. Da lohnt ja ein Upgrade von XP auf Windows 7 umso mehr

 

[kybernaut_01]

Danke für den Link. Mein altes Schlachtross, ein i7-780 mit dem Codenamen Lynnfield ist da sogar noch dabei, Baujahr 2009. Da lohnt ja ein Upgrade von XP auf Windows 7 umso mehr

Na dann Unter Windows XP hattest du eh vermutlich ganz andere Löcher offen ....
Achso ... und du musst direkt auf Windows 10 gehen (zumindest wenn du Schutz gegen Meltdown / Spectre haben willst).

 

[kybernaut_01]

Für AMD-Prozessoren mit Bulldozer-Architektur und neuer gibt es ab sofort auch einen Fix gegen Spectre V2:

https://www.heise.de/security/meldu...0-Update-gegen-Spectre-V2-Luecke-4016546.html

 

[kybernaut_01]

Eine neue Welle an Intel-Sicherheitslücken rollt an:

https://www.heise.de/security/meldu...ten-Sicherheitsluecken-betroffen-4039302.html

 

[khz]

Die Lücken werden doch eh nicht ausgenutzt oder gab es schon einen bekannten Angriff zu den alten Spectre und Meltdown Lücken, die mittlerweile schon teilweise gefixt wurden?

 

[kybernaut_01]

@khz: die bisherigen waren ja wohl wirklich schwer auszunutzen — bei den neue soll eine sehr leicht auszunutzende dabei sein

Scheint alles ein sehr grundsätzliches Problem zu sein. Zitat aus dem aktuellen c‘t Bericht:

Insgesamt zeigen die Spectre-NG-Lücken, dass Spectre und Meltdown keine einmaligen Ausrutscher waren. Es handelt sich eben nicht um ein simples Loch, das man mit ein paar Flicken nachhaltig stopfen könnte. Es verdichtet sich vielmehr das Bild einer Art Schweizer Käse: Für jedes abgedichtete Loch, tauchen zwei andere auf. Das ist die Folge davon, dass bei der Prozessorentwicklung der letzten zwanzig Jahre Sicherheitserwägungen immer nur die zweite Geige gespielt haben.

Ein Ende der Patches für Hardware-Probleme der Spectre-Kategorie ist jedenfalls nicht in Sicht. Doch eine niemals endende Patch-Flut ist keine akzeptable Lösung. Man kann sich nicht schulterzuckend damit abfinden, dass die zentrale Kernkomponente unserer gesamten IT-Infrastruktur ein grundsätzliches Sicherheitsproblem aufweist, das immer wieder zu Problemen führen wird.

 

[khz]

@kybernaut_01 Ja.
Was noch beunruhigender ist war der Satz "1 Lücke stopfen und 2 neue tun sich auf, Schweizer Käse".

Ansehen: https://youtu.be/tJKFQEF0_V4?t=2m

Die reden ja von Cloud, sind meine Daten da sicher wenn Firmen/Behörden/... die (oftmals ohne eine Wahl für mich) eingeforderten persönlichen Daten da liegen?
Wer ist haftbar wenn diese Daten z.B. Kriminelle/... in die Hände fallen?
Die Behörde/Firma, Intel, ich oder sogar niemand?

Oder "stell dich nicht so an"?

 

[btrnm]

Die Russen natürlich.

 

[c1151]

Und wieder einmal steht die Menschheit kurz vor dem Untergang. Sorry, aber *gähn

 

[khz]

Die konkrete Gefahr für Privatleute und Firmen-PCs ist hingegen eher gering, weil es dort in aller Regel andere, einfacher auszunutzende Schwachstellen gibt

https://www.heise.de/ct/artikel/Super-GAU-fuer-Intel-Weitere-Spectre-Luecken-im-Anflug-4039134.html

 

[studio-kiel]

das neue creators spring patch 1803 bringt - zumindest hier - einen mächtigen performance-schub auf desktop-pc und laptop. keine ahnung, ob da jetzt wieder was an dem intel-problem gefixt oder optimiert wurde, aber programme wie cubase, wavelab, steam, etc. erscheinen, bzw. öffnen sich jetzt genauso schnell, als wenn man auf den arbeitsplatz klickt. der wahnsinn...so machts wieder richtig spaß habe zudem letzte woche den desktop-pc das erste mal seit 2008 (XP SP3) und nach diversen online-upgrades (ohne jegliche probleme - W7, W8.1, W10) mal wieder neu aufgesetzt, weil der dokumente-ordner nach den jahren so voll war und nur umständlich aufzuräumen ist. und auch bei der reaktivierung der digitalen lizenz (die man zuvor mit seinem ms-konto verknüpfen sollte) mit neuer hardware keinerlei probs gehabt. cloudkram, etc. nutze ich nicht - und auch seit über 10 jahren reicht mir der defender, bzw. vorher die MS Internet Security Essentials, als Schutz (davor antivir) - ich klicke allerdings auch jeden tag zweimal auf den Update-Button. Das gehört für mich einfach dazu und ich habe Spaß daran mein System sauber zu halten - trotz über 200 Spielen, etc. Windows = <3

 

[kybernaut_01]

@ckoehler: Klar, es hat was von *gähn* und man wird müde von derlei Nachrichten.

Aber selbst wenn es für Hans Porno jetzt nicht der Weltuntergang sein mag, ist es doch generell ein Thema und für Intel schon auch sowas wie ein Skandal, wenn man sich die Millionen an Prozessoren vorstellt die da draußen laufen - manche nicht nur für Pornos und zum Surfen auf Sequencer.de

 

[khz]

das neue creators spring patch 1803 bringt - zumindest hier - einen mächtigen performance-schub auf desktop-pc und laptop.

Liegt wohl an "Windows 10 1803 ohne Microcode-Updates gegen Spectre V2" https://www.heise.de/security/meldu...crocode-Updates-gegen-Spectre-V2-4039062.html?

Wobei das mit dem Leistungsverlust ist wohl eher Esoterik bzw. FAKE-NEWS wie die hier aufgestellte belustigende/Verleumdung(?) Russen Theorie.

Nach dem Einspielen der Patches sollten Systeme teilweise 30 Prozent langsamer rechnen als zuvor und die CPU-Last gar um bis zu 60 Prozent steigen. Mit dem notwendigen - vor allem zeitlichen - Abstand zeigt sich jedoch, dass diese Angaben eher maßlos übertrieben sind und der tatsächliche Leistungsverlust, der durch die Patches verursacht wird, wesentlich geringer ist, als zunächst angenommen.

https://www.golem.de/news/meltdown-...weniger-schlimm-als-erwartet-1805-134195.html

Muss erst was schlimmes passieren bevor man reagiert?
Ein Staat (und die Menschen) kann man so innerhalb von Tagen zerstören mit einem guten Angriff.

Aber mir wird bewusst: Ist vielen egal.
Insofern: happy attacks

 

[kybernaut_01]

cloudkram, etc. nutze ich nicht

Du vielleicht nicht, aber sicher Facebook, Amazon oder XYZ (setze hier eine beliebige von dir genutzte Onlineplattform ein). sicher auch die ein oder andere Behörde (über MS Azure), vielleicht noch die Krankenkasse... Ok ich dramatisiere vll. ein Bisschen, aber du verstehts den Punkt??

 

[khz]

die ein oder andere Behörde

Ich denke das ist eher die Ausnahme wenn Behörde/Firma/Forschung/... ohne Cloud ~arbeiten.
Microsoft ist doch fast nur Cloud oder gehen dort hin.
Behörde/Firma/Forschung/.../Privat~anwender/.. ersetzen die eigenen Server durch Clouds bei MS, IBM oder Amazon.

 

[kybernaut_01]

Wobei das mit dem Leistungsverlust ist wohl eher Esoterik bzw. FAKE-NEWS wie die hier aufgestellte belustigende/Verleumdung(?) Russen Theorie.
https://www.golem.de/news/meltdown-...weniger-schlimm-als-erwartet-1805-134195.html

Allerdings sind Linux-Nutzer beim Fix für Spectre V2 / Branch Target Injection auch besser gestellt als Windows-User. „Ihr“ habt ja neben den Microcodes immerhin noch Retpoline als Workaround, was insbesondere auf älteren Prozessoren Abhilfe gegen größere Performance-Einbußen schafft.

 

[studio-kiel]

Liegt wohl an "Windows 10 1803 ohne Microcode-Updates gegen Spectre V2" https://www.heise.de/security/meldu...crocode-Updates-gegen-Spectre-V2-4039062.html?

Jo, das Sicherheits-Update fürs Bios kam direkt danach automatisch beim Lappi.

 

[khz]

Wenn es hilft immer einspielen, der Patch/Code ist sicher, bestimmt! Glaube versetzt Berge.
Dann sind nur noch 866458 - unendlich Lücken (Plattform unabhängig!).

 

[c1151]

@ckoehler: Klar, es hat was von *gähn* und man wird müde von derlei Nachrichten.

Aber selbst wenn es für Hans Porno jetzt nicht der Weltuntergang sein mag, ist es doch generell ein Thema und für Intel schon auch sowas wie ein Skandal, wenn man sich die Millionen an Prozessoren vorstellt die da draußen laufen - manche nicht nur für Pornos und zum Surfen auf Sequencer.de

Klar ist es eine Meldung wert und Magazine leben ja auch gut von Schreckensmeldungen und Windows-Bashing. Aber mal ehrlich, wie oft sollte schon der ganz große IT-Gau kommen, weil ich dies oder das benutze? Und nie ist wirklich irgendwas passiert. Das sagt mir einfach, dass es zwar viele Sicherheitslücken gibt und das unter allen Systemen, aber die treffen mich als Privatperson nie. Das war die letzten 30 Jahre so und ich bin mal so frech und glaube, dass ich auch die nächsten 30 Jahre keinerlei Probleme wegen Sicherheitslücken haben werde.
Früher habe ich auch gleich den Aluhut aufgesetzt und Linux geschrien, hat sich dann doch mit den Jahren geändert.

Die Meldung und Beseitigung von Sicherheitsmängeln ist immer gut, aber man sollte nie in Panik verfallen. Er warten noch weit mehr Lücken als bis jetzt entdeckt wurden.

 

[kybernaut_01]

Panik(mache) ist da auch nicht angebracht.... sind wir uns einig.

 

[studio-kiel]

Wenn es hilft immer einspielen, der Patch/Code ist sicher, bestimmt! Glaube versetzt Berge.
Dann sind nur noch 866458 - unendlich Lücken (Plattform unabhängig!).

nichts ist sicher - wem das nicht klar...aber ich bin gern immer aktuell - und bisher wurde "ich" noch nicht enttäuscht

 

[khz]

fullack und updates eh nur bis zum nächsten update ~sicher. Von Angriffe habe ich auch noch nichts gehört. Kaputte Hardware verkauft zu bekommen, bzw. habe ich sie mir ja ausgesucht, ist ätzend IMHO, aber egal.

 

[c1151]

Wer jetzt seine i7 verschenken möchte, weil er Angst hat...immer her damit

 

[kybernaut_01]

Intel arbeitet ja angeblich intern bereits an Patches. Bin mal echt gespannt wie die dieses Chaos dem Ottonormalverbraucher erklären wollen.

Ich schätze mal, es geht zukünftig alles nur noch über Windows-Patches (inkl. micro code, falls notwenig). BIOS updates sind ja mehr oder weniger gescheitert, da sie nicht die notwendige Reichweite erlangen. Gründe dafür sind die Mainboard-Hersteller selbst, die entweder lahm sind oder das Board bereits abgekündigt haben. Hinzu kommt die Hürde für viele User, mal so eben ihr BIOS upzudaten. Vom selber-patchen nicht zu reden.

 

[haebbmaster]

Bin mal echt gespannt wie die dieses Chaos dem Ottonormalverbraucher auseinanderdröseln wollen.

Der Typ "Ich mache keine Betriebssystemupdates und bin auch noch stolz drauf" wird wohl ein Problem haben, ansonsten kommt es mit den normalen Updates der gängigen Betriebssysteme.