Suche

Irseca World
Registrierung Kalender Mitgliederliste Teammitglieder Suche Häufig gestellte Fragen Uploadcenter Zur Startseite
Irseca World » Irseca Lifestyle » Nachrichten aus aller Welt » Sicherheitslücke - Supergau bei Prozessorherstellern » Hallo Gast [Anmelden|Registrieren]
Letzter Beitrag | Erster ungelesener Beitrag Druckvorschau | An Freund senden | Thema zu Favoriten hinzufügen
Neues Thema erstellenAntwort erstellen
Zum Ende der Seite springen Sicherheitslücke - Supergau bei Prozessorherstellern
Autor
Beitrag « Vorheriges Thema | Nächstes Thema »
rooperde rooperde ist männlich
V.I.P.


images/avatars/avatar-2613.gif


Dabei seit: 27.03.2010
User ID: 22843
Beiträge: 3.948
Posts am Tag: 1.3

Level: 50 [?]
Erfahrungspunkte: 11.769.904
Nächster Level: 11.777.899

7.995 Erfahrungspunkt(e) für den nächsten Levelanstieg

Achtung Sicherheitslücke - Supergau bei Prozessorherstellern Auf diesen Beitrag antworten Zitatantwort auf diesen Beitrag erstellen Diesen Beitrag editieren/löschen Diesen Beitrag einem Moderator melden       Zum Ende der Seite springenZum Anfang der Seite springen


Sicherheitsforscher haben kürzlich mehrere schwere Designfehler in zahlreichen Computer-Prozessoren (CPUs) entdeckt, die ein Auslesen von geschützten Inhalten durch normale Programme sogar aus der Ferne ermöglichen. Dadurch ist es theoretisch möglich, dass eine Webseite mittels Javascript auf Passwörter und andere sensible Inhalte des Computers eines Besuchers zugreifen kann, die sich gerade in seinem Arbeitsspeicher befinden.



Besonders schlimm hat es Intel getroffen, da hier gleich zwei verschiedene Hardware-Bugs entdeckt wurden. Der Intel-spezifische Fehler wird als Meltdown (“Kernschmelze”) bezeichnet und befindet sich in Prozessoren der letzten 20 Jahre bis zurück zum Pentium Pro. Der andere Fehler, der teilweise auch AMD und die Hersteller von ARM-CPUs betrifft, wird Spectre (“Gespenst”) genannt. Insbesondere Spectre wird sich nicht vollständig durch Software beheben lassen. Die beiden Namen wurden übrigens wegen der Dramatik der Fehler aus James-Bond-Filmen entnommen.

Betriebssystem-Hersteller arbeiten fieberhaft an einer Lösung

Seit Tagen arbeiten Microsoft und zahlreiche Linux-Entwickler mit Hochdruck an ihren Produkten, um Notfall-Patches zu entwickeln und die Fehler durch neue Software des innersten Bereichs des Betriebssystems – den Kernel – zu beheben. Apple hält sich mit Aussagen etwas bedeckt, doch auch deren CPUs, unter anderem von ARM und Intel, enthalten den Fehler.

Die neue Kernel-Software bringt je nach Prozessor auch erhebliche Geschwindigkeitseinbußen von bis zu 30% mit sich, was insbesondere für Netzwerk- und Datei-intensive Programme gilt, bei denen häufig Funktionen des Betriebssystems aufgerufen werden. Diese sogenannten Kontext-Wechsel zwischen Benutzer-Programmen und Kernel können durch die geflickte Software sehr verlangsamt werden – sehr zum Ärger der Benutzer.

Fehlerhafte Hardware ist verantwortlich

Normalerweise werden Fehler in Computern durch neue Software behoben, doch in diesem Fall ist die Hardware schuld, was eine Reparatur mit Software-Updates sehr erschwert. Daher wäre es wesentlich sinnvoller, den Fehler direkt zu beseitigen, statt an der Software herumzudoktern. Doch leider gibt es noch keine fehlerfreie Hardware, weil die erst entwickelt werden muss. Bis dahin wird man mit geflickten Betriebssystemen vorlieb nehmen müssen, sofern diese überhaupt zur Verfügung gestellt werden. Insbesondere für ältere Geräte mit fester Firmware wird das zum Problem. Betroffen ist der komplette Sektor von Smartphones und Routern, über Unterhaltungselektronik, Industrie-Maschinen und alles was als Internet-of-Things (IoT) bezeichnet wird oder irgendwie am Internet hängt und mit defekten CPUs arbeitet.

Intel-Führung hat bereits ihre Firmenaktien verkauft

Wohl in weiser Voraussicht des kommenden Schadens hat die Führung von Intel bereits Ende letzten Jahres die Aktienanteile an der Firma zu Geld gemacht, um einem drohenden Kursverlust zu entgehen. Der Chef bestreitet natürlich die Vorwürfe. Das ist die hässliche Seite des Problems. Andere Firmen werden möglicherweise auch bald folgen…

Zwischen dem 5. und 10. Januar beabsichtigen Amazon und Microsoft schrittweise ihre großen Cloudserver herunterzufahren, um Notfall-Patches zu installieren, da auch deren riesige Computerfarmen betroffen sind.


06.01.2018 12:41 rooperde ist offline E-Mail an rooperde senden Beiträge von rooperde suchen Zur Startseite Nehme rooperde in deine Freundesliste auf
rooperde rooperde ist männlich
V.I.P.


images/avatars/avatar-2613.gif


Dabei seit: 27.03.2010
User ID: 22843
Beiträge: 3.948
Posts am Tag: 1.3

Level: 50 [?]
Erfahrungspunkte: 11.769.904
Nächster Level: 11.777.899

7.995 Erfahrungspunkt(e) für den nächsten Levelanstieg

Themenstarter Thema begonnen von rooperde
Daumen hoch! Spectre und Meltdown - 90 Prozent der aktuellen Intel-CPUs werden gepatcht Auf diesen Beitrag antworten Zitatantwort auf diesen Beitrag erstellen Diesen Beitrag editieren/löschen Diesen Beitrag einem Moderator melden       Zum Ende der Seite springenZum Anfang der Seite springen


In einer Woche wird Intel den Großteil seiner CPUs der vergangenen fünf Jahre mit einem Update gegen Spectre und Meltdown versehen. Google testet eine eigene Lösung bereits erfolgreich. Die Leistungseinbußen sollen marginal sein.



Intel gibt sich mit Blick auf die Sicherheitslücken Spectre und Meltdown zuversichtlich: Bis zur nächsten Woche sollen etwa 90 Prozent der Prozessoren mit Patches ausgestattet werden, die in den vergangenen fünf Jahren auf den Markt gekommen sind. Die älteste Generation scheint demnach Haswell zu sein, die durch die Bezeichnung 4xxx erkennbar ist. In einem Informationspost spricht das Unternehmen davon, betroffene Systeme gegen beide Angriffe immun zu machen.

Intel schreibt zudem, dass der Einfluss auf die Leistung der aktualisierten Systeme stark von der Rechenlast abhänge. Durchschnittliche Computernutzer sollen kaum einen Unterschied spüren. Im Laufe der Zeit und mit weiteren Updates sollen sich die Leistungseinbußen noch weiter verringern. Einen genauen Wert nannte Intel jedoch nicht.

Google testet Verfahren gegen Branch Target Injection

Einer ähnlichen Meinung ist auch Google, deren Project-Zero-Team die Bugs im Juni 2017 entdeckt und an die Hersteller gemeldet hatte. Das Unternehmen hat nach eigenen Aussagen eine binäre Modifikationstechnik mit dem Namen Retpoline entwickelt, die gegen Branch Target Injection, einem Teil von Spectre, schützen soll. Erste Tests auf den eigenen Testsystemen bestätigen wohl, dass ein solches Update nur minimale Leistungseinbußen mit sich bringe.

Während Retpoline laut Google die spekulative Ausführung von CPUs an sich nicht verhindert, versucht dieser Ansatz, Branch Target Injection zu nutzen, jedoch nicht, um wichtige Daten auszulesen, sondern um eigene Instruktionen zu injizieren, die angreifbare Branches isolieren sollen. Weitere Details zur Funktionsweise stellt Google in seinem Blogpost vor.

Gaming-Leistung unter Linux kaum betroffen

Das Onlinemagazin Phoronix konnte bereits Grafikkarten von Nvidia und AMD testen, nachdem diverse Kernel-Page-Table-Isolation-Patches (KPTI) für Linux veröffentlicht wurden. Diese sollen Spectre und Meltdown verhindern. Sowohl eine AMD Vega 64 mit Linux-Kernel 4.15 als auch die Nvidia-Karten Geforce 1060 und GTX 1080 Ti mit Kernel-Version 4.14.11 funktionieren ohne merkliche Leistungseinbußen. Messbare Unterschiede gab es demnach nur bei starken Input-Output-Lasten mit aktivierter KPTI.

Microsoft weist Nutzer darauf hin, dass die am 3. Januar veröffentlichten Sicherheitsupdates für Windows 10 für einen vollständigen Schutz gegen Spectre und Meltdown nicht ausreichten. Es sollte auch entsprechende Firmware oder Microcode der Hardwarehersteller installiert werden. Im entsprechenden Informationsartikel stellt das Unternehmen ein Powershell-Script vor, mit dem Systeme auf die Sicherheitslücken geprüft werden können. Dieses wird über den Befehl "Install-Module SpeculationControl" installiert.

Nachtrag vom 5. Januar 2018, 15:27 Uhr

In einer separaten Meldung teilt Microsoft mit, dass Surface-Geräte automatisch über Windows Update mit CPU-Microcode und Betriebssystempatches gegen Spectre und Meltdown versorgt werden. Zu den unterstützten Geräten zählen das Surface Pro 3, Pro 4 und das neue Surface Pro Model 1796. Microsoft nennt auch die Surface Books 1 und 2, das Surface Studio und den Surface Laptop.

In Debian-Mailinglisten reden Entwickler von Änderungen im Microcode der CPUs selbst - also dem Instruktionsset, das dem Prozessor Anweisungen gibt. Normalerweise werden diese über neue Bios-Versionen verteilt, ein Vorgang, den wenige Nutzer regelmäßig durchführen. Wie Intel den Patch auf möglichst viele Geräte bekommen will, erläutert das Unternehmen nicht.


06.01.2018 12:47 rooperde ist offline E-Mail an rooperde senden Beiträge von rooperde suchen Zur Startseite Nehme rooperde in deine Freundesliste auf
rooperde rooperde ist männlich
V.I.P.


images/avatars/avatar-2613.gif


Dabei seit: 27.03.2010
User ID: 22843
Beiträge: 3.948
Posts am Tag: 1.3

Level: 50 [?]
Erfahrungspunkte: 11.769.904
Nächster Level: 11.777.899

7.995 Erfahrungspunkt(e) für den nächsten Levelanstieg

Themenstarter Thema begonnen von rooperde
Achtung Patches gestoppt - Intel hat auch Fehler in Meltdown-Updates gebaut Auf diesen Beitrag antworten Zitatantwort auf diesen Beitrag erstellen Diesen Beitrag editieren/löschen Diesen Beitrag einem Moderator melden       Zum Ende der Seite springenZum Anfang der Seite springen


Für Intel hält sich der Ärger mit den jüngst bekannt gewordenen Sicherheitslücken auf überragend hohem Niveau. Statt in ruhigere Fahrwasser zu kommen, in denen man die Probleme endlich gründlich angehen könnte, muss man weiterhin akut aufflammende Brandherde deckeln - jetzt beispielsweise einen Bug in den bereits ausgelieferten Patches.



Wie das Unternehmen nun mitteilte, habe man einige der größeren Kunden und OEM-Partner bitten müssen, die Auslieferung der entsprechenden Updates erst einmal zu verschieben. Die Bugs in den Patches kommen auf mehreren Prozessor-Linien des Herstellers zum Tragen - so beispielsweise in jenen der Broadwell- und Haswell-Generationen.

Wenn auf entsprechend ausgestatteten Rechnern ein Update eingespielt wird, das auf Intels Patches gegen die Schwachstellen Meltdown und Spectre basiert, starten die Systeme immer wieder einmal völlig unvorhersehbar neu. Aufmerksam wurde man darauf erst, als mehrere Kunden sich mit entsprechenden Problemberichten zurückmeldeten. Die fraglichen Patches sind bereits in der vergangenen Woche bereitgestellt worden.

Volle Transparenz?

Und der Fall zeigt auch, dass Intel nur sehr schwerfällig dazulernt, was die Beteiligung der Öffentlichkeit an den Prozessen angeht. Konzernchef Brian Krzanich hatte beim Bekanntwerden der Sicherheitslücken zwar maximale Transparenz zugesichert, auf die sich Navin Shenoy, der Chef der Data Center Group, auch berief, als er über die fehlerhaften Patches informierte. Allerdings veröffentlichte das Unternehmen die offiziellen und recht spärlichen Informationen erst, nachdem das Wall Street Journal die Angelegenheit publik gemacht hatte.

Warnungen vor einer Installation aktueller Patches gab Intel allerdings nur an die Firmenkunden heraus, wo Fachleute auf das aktuelle Problem abgestellt sind. Privatnutzern rät man weiterhin dazu, die Updates zu installieren, die ihr jeweiliger Plattform-Betreiber bereitstellt. Denn die meisten normalen Anwender dürften kaum einschätzen können, ob sie einen problematischen Patch vorliegen haben und ob ihre CPU auch betroffen ist - die fragliche Prüfung muss hier durch die Geräte-Hersteller oder Microsoft beziehungsweise Apple durchgeführt werden.

Es sind auch schon Patches bei den Nutzern angekommen. Diese haben wie zu erwarten Einfluss auf die Performance der Systeme - wenn auch nicht so stark wie anfangs befürchtet.


12.01.2018 08:17 rooperde ist offline E-Mail an rooperde senden Beiträge von rooperde suchen Zur Startseite Nehme rooperde in deine Freundesliste auf
rooperde rooperde ist männlich
V.I.P.


images/avatars/avatar-2613.gif


Dabei seit: 27.03.2010
User ID: 22843
Beiträge: 3.948
Posts am Tag: 1.3

Level: 50 [?]
Erfahrungspunkte: 11.769.904
Nächster Level: 11.777.899

7.995 Erfahrungspunkt(e) für den nächsten Levelanstieg

Themenstarter Thema begonnen von rooperde
Achtung Meltdown & Spectre - Viele Geräte werden nie einen Patch erhalten Auf diesen Beitrag antworten Zitatantwort auf diesen Beitrag erstellen Diesen Beitrag editieren/löschen Diesen Beitrag einem Moderator melden       Zum Ende der Seite springenZum Anfang der Seite springen


In der Debatte um genaue Termine, mögliche Performance-Einbußen und anderes, was die Patches gegen Meltdown und Spectre betrifft, fällt eine Tatsache bisher weitgehend unter den Tisch: Es gibt eine durchaus nennenswerte Menge von aktiv genutzten Geräten, auf denen niemals ein Update ankommen wird, das die Sicherheit verbessert.



Das macht eine aktuelle Untersuchung des Sicherheits-Unternehmens Bridgeway deutlich, das sich die Lage bei den "Enterprise Mobile Devices" angesehen hat - das sind im Wesentlichen Smartphones von Business-Nutzern. Die Firma hat rund hunderttausend dieser Geräte kurzfristig auf ihren derzeitigen Stand analysiert. Heraus kam, dass bereitstehende Patches gegen Meltdown und Spectre von gerade einmal 4 Prozent der IT-Abteilungen in den verschiedenen Firmen auf die Mobilgeräte der Mitarbeiter gespielt wurden.

Hier kann man mit etwas Nachdruck sicherlich dafür sorgen, dass zügig ein besserer Wert erreicht wird. Problematischer ist hingegen die Erkenntnis, dass rund 24 Prozent der Geräte, die sich derzeit im Einsatz befinden, aller Voraussicht nach nie einen entsprechenden Patch bekommen werden. Das liegt zum Teil daran, dass sie zu alt sind, um von ihren Herstellern noch versorgt zu werden. In anderen Fällen handelt es sich um Systeme, um die sich die Anbieter nach dem Verkauf überhaupt nicht mehr kümmern.

Smartphones finden zu wenig Beachtung

Bridgeway-Geschäftsführer Jason Holloway erklärte dies damit, dass die Pflege der mobilen Geräte in den Managements der meisten Unternehmen weiterhin keine besonders wichtige Rolle spielt. Während inzwischen durchaus bei den meisten angekommen ist, dass man sich um PCs und Server kümmern muss, um keine Sicherheits-Probleme zu riskieren, ist das bei Smartphones nicht der Fall.

Diese werden vielmehr weiterhin in erster Linie als Mobiltelefone betrachtet, die eher wenig mit der Firmen-IT zu tun haben. In der Praxis laufen aber letztlich die gleichen firmeninternen Daten über sie, wie es bei den normalen Arbeitsplatz-PCs der Fall ist. Immerhin bearbeiten immer mehr Mitarbeiters ihre E-Mails unterwegs oder kommunizieren in ihren Teams über die Mobilgeräte.


17.01.2018 09:07 rooperde ist offline E-Mail an rooperde senden Beiträge von rooperde suchen Zur Startseite Nehme rooperde in deine Freundesliste auf
Baumstruktur | Brettstruktur
Gehe zu:
Neues Thema erstellenAntwort erstellen
Irseca World » Irseca Lifestyle » Nachrichten aus aller Welt » Sicherheitslücke - Supergau bei Prozessorherstellern

Forensoftware: Burning Board 2.3.6 pl2, entwickelt von WoltLab GmbH
DB: 0.001s | DB-Abfragen: 0 | Gesamt: 0.062s | PHP: 98.39% | SQL: 1.61%
Design und Templateanpassung © Irseca Team, Board eröffnet am 12.05.2002


Du bist Besucher:
Bearsmail-Service - E-Mail Lesebestätigung & Empfangsbestätigung E-Mail mit Rückschein
seit Mai 2002 im IRSECA Board!

sacred-slaves


Dreamworld