Intel Prozessoren von Sicherheitslücke betroffen

[schlalex]

Habe gerade gelesen, dass wohl sämtliche Intel Prozessoren der letzten 10 Jahre betroffen sein sollen! In Kürze soll es Updates für die verschiedenen Betriebssystem geben - und jetzt kommt die bittere Pille - mit bis zu 30% Leistungseinbußen bei Windows-Systemen ...
Was sagen hiesigen Cracks dazu? Ist da was dran? 1/3 wäre schon verdammt happig...
Schliesslich wählt man die CPUs i.d.R. ja nach Leistung und nicht nach Schönheit aus...

Quelle

[rucivfan]

Das ist zwar ein ernsthaftet Problem, aber wir Privatleute sind davon weniger betroffen. In Spielen hat das fast keine Auswirkung. Bitter ist das für Cloud-Anbieter. Ob AMD jetzt groß Kohle machen kann?

[fuchs87]

Systemaufrufe würden mit dem Update wesentlich mehr Zeit kosten. Die Leistungseinbußen sind deshalb davon abhängig, wie oft solche Aufrufe in der Benutzeranwendung erfolgen.

[Ramkhamhaeng]

Hm, könnte auch AMD und ARM betreffen https://security.googleblog.com/2018...-you-need.html

Am Ende bleiben mal wieder etliche Systeme, das kann auch nur ein Docker-Container sein(?), die mangels Support oder anderen Gründen nicht gepatcht werden.

[fuchs87]

Mittlerweile gibt es dazu mehr Informationen:
https://googleprojectzero.blogspot.d...with-side.html

[SvenBvBFan]

Kein ein technikaffiner das Problem in ein paar Sätzen zusammenfassen?

[rucivfan]

Kein ein technikaffiner das Problem in ein paar Sätzen zusammenfassen?

Welches Problem? Es sind 3 Probleme und eines betrifft hauptsächlich Intel.

[demonaz]

Ich kopiere mal einen Teil aus diesem Artikel: https://www.computerbase.de/2018-01/...erheitsluecke/

Dem aktuellen Vernehmen nach verhindern die Patches das Ausnutzen einer massiven Sicherheitslücke in allen Intel-CPUs, die die Entdecker bei Google auf den Namen Meltdown getauft haben. Offenbar kann ein Prozess eine Intel-CPU durch Ausnutzen eines Hardware-Bugs dazu bringen, Speicherbereiche spekulativ zu laden und den Zugriff darauf dann ohne weitere Prüfung zu erlauben, ohne dass der Prozess die erforderlichen Rechte hat. So kann ein unprivilegierter Prozess auf den Speicher des Kernels zugreifen, in welchem sich sensible Daten befinden können. Besonders prekär ist das für Cloud-Provider wie Amazon und Google, die ein Ausbrechen aus virtuellen Maschinen verhindern wollen.

Sprich: ein Prozess (Programm usw.) könnte Daten auslesen, die nicht für ihn gedacht sind. Beispielsweise Daten anderer virtueller Maschinen oder kryptographisch interessante Daten anderer Prozesse. Weiter unten in dem Artikel stehen die beiden Angriffsszenarien und potentiell betroffene CPUs. Die schwerere der beiden Lücken könnte alle Intel-CPUs seit 1995 betreffen... Ich dachte schon, meine Core2Duo oder der Core2Quad könnten nicht betroffen sein, weil zu alt Ach, von der zweiten Lücke sind u.U. auch andere CPU-Hersteller (AMD, ARM, ...) betroffen.

Wenn ich das richtig verstanden habe, kann Intel selbst das Problem nicht z.B. durch ein Microcode-Update fixen, sondern nur die Betriebssystemhersteller. Und je nach Einsatzszenario könnten da durchaus Performance-Probleme daraus resultieren.

Und die sehr direkten Kommentare von Linus sind immer wieder erfrischend

[demonaz]

Tja, eigentlich hab ich grad Urlaub, aber wenn ich nur dann denke, bei 50 Servern plus deren VMs Updates einzuspielen und Reboots machen zu dürfen... Schöner Mist

[EpicFail]

Also wie wahrscheinlich ist es, dass Intel MS jetzt sagt, dass ein ähnliches 'Update' auch für AMD kommen soll, damit die überhaupt noch konkurrenzfähig bleiben können? Oder könnte man jetzt die neue Hardware auch schon ohne den Fehler bauen? Und würden sich Serverbetreiber überhaupt neue Hardware kaufen? Ich meine, ein wenig Puffer werden die ja sicher haben

[Ramkhamhaeng]

Ich gehe nicht davon aus, dass sie schon neue Prozessoren in der Schublade haben, welche den Fehler vermeiden. Im Link von Fuchs wird es ganz gut erklärt. Habe nicht alles gelesen, aber das Grundprinzip ist wohl immer eine Timing-Attacke, bei der wichtige
Teile, die normalerweise einen Interrupt/eine Speicherzugriffsverletzung verursachen würden, durch die Branch Prediction getarnt sind.

Auf Caches oder spekulative Codeausführung möchte aber sicher niemand verzichten, da die Performanceverbesserungen der letzten ? Jahre doch maßgeblich daher kommen.

[schlalex]

Also wenn ich euch richtig verstehe, erstmal vorsichtige Entwarnung hinsichtlich Leistungseinbußen für 08/15 Privatuser wie mich.
Krass natürlich, wie weit das zuckreicht. 1995, das müssten doch selige Pentium Zeiten gewesen sein .

[Cybah]

Ähm... wie stark bin ich als Privatmensch eigentlich von der Sicherheitslücke betroffen? Wenn gilt: Solange ich mich benehme, werde ich verschont - dann belass ich's wohl erstmal dabei. Bei meiner Mutter hat mein Vater mit Aufspielens des "Patches" wohl irgendwie Windows zerschossen. Wollte vorhin das 64bit Update für Win10 aufspielen (bevor er mich gewarnt hat ), dann kam aber "Das Update ist nicht für Ihr System geeignet". Eine Server-Version habe ich jedenfalls auch nicht.

[justanick]

Die Gefahr ist wohl vorerst abstrakt.

Privatanwendern und Unternehmen werde empfohlen, Sicherheits-Patches für Betriebssysteme und insbesondere Internetbrowser einzuspielen, sobald diese von den Herstellern zur Verfügung gestellt würden, erklärte das BSI. Auch für mobile Geräte wie Smartphones sollten Sicherheitsupdates unmittelbar installiert werden.
[...]
Durch die Schwachstelle könnten alle Daten ausgelesen werden, die gerade im Computer verbreitet werden. "Wir können im Prinzip alles mitlesen, was sie gerade eintippen." Angreifer könnten so auch an Daten vom Onlinebanking oder gespeicherte Passwörter kommen. "Dazu müssen sie allerdings erst auf ihren Computer gelangen", schränkte Schwarz ein. Wer die normalen Sicherheitshinweise befolge und keine unbekannten Anhänge öffne oder auf dubiose Links klicke, für den bestehe keine unmittelbare Gefahr.

http://www.tagesschau.de/ausland/int...uecke-103.html

Per Software-Update lässt sich die Lücke nur zum Teil beseitigen. Die Sicherheitsforscher sehen zwei verschiedene Sicherheits-Szenarien für einen Angriff: "Meltdown" und "Spectre".

Das "Meltdown"-Problem lässt sich per Software-Update lösen, die "Spectre"-Sicherheitslücke dagegen nicht direkt. Dort kann ein Update erst dann helfen, wenn entsprechende Schadprogramme, die diese Lücke nutzen, im PC erkannt wurden.

http://www.tagesschau.de/ausland/prozessoren-101.html

[schlalex]

Apple Systeme scheinen auch betroffen zu sein.

Quelle