Massig Sicherheitslücken in Intel CPU's gefunden.

[Lauflicht]

Ah, cool.
Potenziell alles nicht gut. Vorallem stürzen sich nun alle Hacker drauf. Im Prinzip wird man nie alle Geräte der letzten 20 Jahre absichern können, selbst wenn man das wollte (alte Systeme werden nicht mehr gepflegt). Ziemlicher Ärger.

 

[haebbmaster]

https://www.cnbc.com/2018/01/04/int...lready-knew-about-massive-security-flaws.html

Ich kann mir nicht vorstellen, dass der Aktienverkauf mit der Sicherheitlücke zu tun hat. Schließlich gibt es ja keine Alternative, auf die man man schnell Windows und alle Software portieren und die man massentauglich machen könnte. Und die keine Sicherheitslücken hat.
Die Intel Aktie ist jetzt grade mal auf den Stand von vor dem Weihnachtsgeschäft gefallen.

 

[Cyclotron]

Eben, man weiß es nicht. Das ist nicht befriedigend, aber Schlüsse aus Spekulativem bringen irgendwie auch keinen Erkenntnisgewinn. Mir missfallen alle denkbaren Varianten.

https://www.cnbc.com/2018/01/04/intel-ceo-reportedly-sold-shares-after-the-company-already-knew-about-massive-security-flaws.html

Alle Firmen wurden angeblich im Sommer informiert und dass man es nicht breitgetreten hat, war auch vernünftig (damit man nicht ganz ohne Hose dasteht - immerhin enthalten die Papers quasi eine Bauanleitung).

Dass nun der Mann das - offenbar - für sich nutzen wollte, ist mindestens doof. Denn wie man sieht kommt das ja gleich am Anfang raus. Aber was NSA usw. betrifft - wer weiß... ich weiß es nicht.

 

[HQDNXT34X]

Ich kann mir nicht vorstellen, dass der Aktienverkauf mit der Sicherheitlücke zu tun hat. Schließlich gibt es ja keine Alternative, auf die man man schnell Windows und alle Software portieren und die man massentauglich machen könnte. Und die keine Sicherheitslücken hat.
Die Intel Aktie ist jetzt grade mal auf den Stand von vor dem Weihnachtsgeschäft gefallen.

Zumal ja jetzt gerade das neue große Geschäft zwangsläufig anrollt. Was ist eigentlich mit Geldautomaten?

 

[Cyclotron]

Die dürften auch betroffen sein. Da steckt meist ein PC mit Windows drin, genau wie bei den Fahrkartenautomaten der Bahn.

 

[maak]

die erst recht. die laufen noch auf Windows ME :)

 

[swissdoc]

die erst recht. die laufen noch auf Windows ME

Das ist ja egal, ist ein Hardware/CPU Problem, daher sind auch MacOS und Linux etc. betroffen. Ob Sparc oder HP/UX Kisten das Problem auch haben?

Bin mal gespannt, welche Wellen das bei uns in der IT@work werfen wird.

 

[Cyclotron]

Die Nennung des OS meinte ich auch nur als Hinweis darauf, dass da eben kein "Sonderprozessor" drin steckt, sondern eben potentiell gefährdete Hardware. Den Code muss man da erst mal reinbekommen, aber ich könnte mir da schon Wege vorstellen - und sei es über unterbezahlte Insider.

 

[maak]

Ja doch von wegen Patch (auch wenn der Patch nicht 100% safe ist)

 

[haebbmaster]

Was ist eigentlich mit Geldautomaten?

du musst nur dein Geldkärtchen entsprechend programmieren und zack, spuckt er dir endlos viel Kohle aus

 

[HQDNXT34X]

du musst nur dein Geldkärtchen entsprechend programmieren und zack, spuckt er dir endlos viel Kohle aus

Das würde bei meinem Konto sofort auffallen, jeglicher Betrag größer 100 auf einmal abgehoben...
Die Sparkassenfritzen sind ja nicht blöd...die kennen ihre Leute deren Konten immer die schwarze Null am 30. haben. Ich bekomme nie Anlagegespräche, die gratulieren nicht mal mehr zum Geburtstag.

USB-Anschlüsse wären aber tatsächlich da.

 

[Sogyra]

Die spannende Frage für mich ist im Moment: Wer hat diese Lücke eigentlich gefunden? Weiß das jemand?

U.a. die hier:

https://www.tugraz.at/tu-graz/services/news-stories/tu-graz-news/einzelansicht/article/schwere-sicherheitsluecke-tu-graz-forscher-zentral-beteiligt/

Ja, Grazer Studenten kamen da zufällig drauf. Kam auch in den Hauptnachrichten heute, wird also eine große Geschichte werden.
Da werden wohl viele Köpfe rollen.

 

[Sogyra]

du musst nur dein Geldkärtchen entsprechend programmieren und zack, spuckt er dir endlos viel Kohle aus

Dann programmier sie aber so, das sich die Kamera automatisch abschaltet, denn sonst bekommst du sehr bald uniformierten Besuch ;)

 

[Hoodie]

Meine Musikrechner sind eh nicht mit dem Internet verbunden und haben ein eigenes getrenntes Netzwerk mit eigenen Hub und sind nicht wie andere Rechner mit der Fritzbox verbunden. Sollten die nicht mehr Laufen und die nächsten Rechner nicht mehr ohne Internet, nehme ich alles mit Mehrspur-Recorder auf.

Gruss Tom

 

[HQDNXT34X]

Dann programmier sie aber so, das sich die Kamera automatisch abschaltet, denn sonst bekommst du sehr bald uniformierten Besuch

Man ist ja nicht doof:

 

[Sogyra]

Ok, ich bin nun doch besorgt. Der Info zufolge, ist auch Linux davon betroffen. Allerdings wurde das Problem bereits erkannt und man hat erste Lösungsansätze.

https://www.computerbase.de/2018-01/intel-cpu-pti-sicherheitsluecke/

Für Linux gibt es einen Workaround

Der von den Linux-Entwicklern für diesen Hardware-Bug in Intel-CPUs jetzt eingebaute Workaround namens Kernel Page-Table Isolation (PTI bzw. KPTI) sorgt dafür, dass der Speicherbereich des Kernels nicht mehr in den Speicherbereich der Prozesse gemappt wird. Mit PTI sieht ein Prozess also nur noch seinen eigenen Speicherbereich. Der Speicherbereich des Kernels ist für ihn schlicht unsichtbar, sodass eine offenbar leicht auszuhebelnde Zugriffsprüfung keine Rolle mehr spielt.

...

Auch Microsoft arbeitet an einem Patch, Insider haben ihn schon

Weil die Sicherheitslücke von einem Hardware-Bug in Intel-CPUs ausgelöst wird, sind neben Linux natürlich auch Windows, macOS und andere Betriebssysteme von dem Problem betroffen, wenngleich aufgrund des offenen Entwicklungsmodells die Linux-Workarounds zuerst publik geworden sind. Auch Microsoft arbeitet bereits an einem ähnlichen Isolations-Feature, wie Entwickler Mitte November festgestellt hatten.

 

[Sogyra]

Man ist ja nicht doof:

Hör auf...am Ende glaubt das sogar noch jemand :D

 

[3zspb9wbisüfd]

Von den billigen Kirin-CPU hört man nichts.
Ich geh nur bein Handy ins Internetz.

 

[Otterl]

Was ist mit z. B. Flugverkehr? Boeing & Co. ist ja auch vollgestopft.

Noch ein anderer Gedanke: (für mich als Laie stellt es sich so dar, dass) Ein Hardware-
Problem wird jetzt mit Software-Update gelöst. D. h. für mich: eigentlich "same procedure...":
a) (eine wie auch immer geartete) Sicherheitslücke wird gefunden =>
b) Lücke wird gestopft (meist SW-Update) =>
c) x Wochen später => go to a)

Oder: Jede Lücke/Fehler wird korrigiert und nach angemessenem Delay wird die
Korrektur wieder ausgehebelt. D. h. auch die kommenden den PC langsamer werden
lassenden Updates haben nur eine kurze Verfallszeit.

 

[haebbmaster]

wird jetzt mit Software-Update gelöst

du kannst das natürlich auch mit einem Hardware Update lösen. Einfach warten bis die Prozessoren raus sind, die dieses Problem nicht haben und dann neuen PC, neuen Laptop, neues Handy und neues Tablet kaufen.

 

[Otterl]

Als Privatanwender könnte man ja aus dem Ganzen lernen und Konsequenzen ziehen.
- KEINE neuen Rechner mehr kaufen (nur wenn nicht unumgänglich)
- Verstärkt mit OFF-line Rechner arbeiten und einen WLAN-Rechner zum vergeigen.
- Auf Software verzichten, die ständig Updates braucht. Also der ganze App-Kram
auf Smartphones.
- keine Musiksoftware kaufen, die mich zwingt, genau auf diesem Rechner die
SW zu registrieren o. ä.
- Arbeiten am Rechner wieder zurück an „externe Hardware“ verlegen: statt z. B.
Soft-Synths mehr auf „normale“ HW-Synths setzen.

Problem dürfte die – überwiegend selbst geschaffene – Abhängigkeit von den
Rechnern sein. Man will ja nicht wieder ins „Mittelalter“ zurückfallen (ab wann
war der PC hoftauglich? Gab es ein Leben davor?)

(Vielleicht was für einen Extra-Thread?)

 

[haebbmaster]

@Otterl , sorry, aber das lässt sich nicht durchziehen. Bzw ich suche immer noch einen, der "mitten im Leben" steht und das durchzieht. Meine vielen Termine und Hobbys und Ehrenämter wären ohne IT-Unterstützung, Cloudlösungen und Synchronisation zwischen allen Geräten überhaupt nicht mehr beherrschbar.

Zum Problem an sich: um diese Lücke auszunutzen, muss es der Angreifer ja erstmal schaffen, auf deinem PC eine Software zu installieren, die den Prozessor beobachtet, den Speicherinhalt analysiert und schaut, ob da mal zufällig ein Passwort vorbeikommt.
Wenn er aber schon auf deinem PC ist und Software installieren kann, dann ist eigentlich das Ausnützen dieser speziellen Sicherheitslücke gar nicht mehr nötig. Dann kann er eh alles machen.

Geldautomaten knackt man immer noch am besten mit einer versteckten Kamera und gefaketen Karteneinschüben. Und Passwörter und PINs kriegt man am einfachsten, indem man die Leute danach fragt.

 

[Otterl]

Ahja, „Cloudlösungen vermeiden“ – wenn nicht wirklich notwendig - würde ich auch noch
zu meiner Liste hinzufügen

Im Ernst:
Da ich selbst leicht PC-addicted bin, wäre ein absolutes NO zu Rechnern auch
für mich keine Lösung. Mir ging es eben darum, zu hinterfragen, ob es nicht sogar
bequeme(re) Alternativen gibt (ich komme z. B. mit HW-Synthesizern sehr gut klar),
ohne wieder mit Laute und Menschenschädeln Musik machen zu müssen (obwohl,
da hätte ich auch ne interessante Platte…).

Dass die das Problem irgendwie wieder in den Griff kriegen (siehe den von mir oben
beschriebenen „natürlichen Kreislauf“), ist klar. Aber es wäre auch die Gelegenheit
für den Anwender, sich spätestens jetzt Gedanken zu machen, mit WAS er da täglich
umgeht. Ich kenne mindestens zwei Köchinnen, die ihre Backrezepte NICHT mehr auf
dem Rechner verwalten
Selbst Brian Eno macht sich noch Notizen mit Bleistift und Block, wenn er unterwegs ist.

Zugegebenermaßen gehöre ich auch zu denen, die (bis zu einer bestimmten Summe)
lieber barzahlen statt jede Banane mit Kreditkarte zu bezahlen.

Den richtigen MIX zu finden, dürfte sowieso bei jedem anders aussehen.

 

[micromoog]

Da bin ich ja mal froh, dass einen Motorola 68000 im Musikrechner habe

 

[Cyclotron]

- Arbeiten am Rechner wieder zurück an „externe Hardware“ verlegen: statt z. b.
Soft-Synths mehr auf „normale“ HW-Synths setzen.

Den Ansatz könnte ich mir weder leisten noch wäre meine Arbeitsweise auch nur im Ansatz mit Hardware machbar. Aber abseits von Musik und nerdigem Gebastel bin ich recht analog ausgerichtet - kein Smartphone, keine Onlinekäufe, keine Kartenzahlungen... . So lange es noch geht, wird das auch so bleiben.

Zum Problem an sich: um diese Lücke auszunutzen, muss es der Angreifer ja erstmal schaffen, auf deinem PC eine Software zu installieren, die den Prozessor beobachtet, den Speicherinhalt analysiert und schaut, ob da mal zufällig ein Passwort vorbeikommt.

Da haben wir ja im letzten Frühsommer bei WannaCry gesehen, wie schnell vernetzte Systeme (und nicht nur Surf - PCs) mit Schadsoftware infiziert sind. Und ich kenne genug Leute, deren Passwörter nachweislich abgegriffen und missbraucht wurden, um zumindest nicht unbesorgt zu sein. Wer weiß, was man damit noch so anstellen kann.

 

[Otterl]

Den Ansatz könnte ich mir weder leisten noch wäre meine Arbeitsweise auch nur im Ansatz mit Hardware machbar. Aber abseits von Musik und nerdigem Gebastel bin ich recht analog ausgerichtet - kein Smartphone, keine Onlinekäufe, keine Kartenzahlungen... . So lange es noch geht, wird das auch so bleiben...

Was mich ja im Prinzip bestätigt. Natürlich gibt es Sachzwänge (Nicht für Jeden ist ein guter
Hardwaresynth erschwinglich). Aber Du scheinst ja Deinen "Mix" gefunden zu haben, weil Du
Dir Gedanken gemacht hast, bzw. einige Problematiken kennst.

 

[3zspb9wbisüfd]

wird jetzt mit Software-Update gelöst

du kannst das natürlich auch mit einem Hardware Update lösen. Einfach warten bis die Prozessoren raus sind, die dieses Problem nicht haben und dann neuen PC, neuen Laptop, neues Handy und neues Tablet kaufen.

Wenn ich es richtig verstanden habe, müssten sie die gesamte Architektur der CPUs ändern. Das dürfte 'ne Zeit dauern.

Ich bin gespannt, ob es in den USA Sammelklagen hagelt. Dagegen ist VW-Dieselgate Kindergeburtstag.

 

[3zspb9wbisüfd]

Dagegen ist VW-Dieselgate Kindergeburtstag.

Wie beim Diesel bremst das Update die Leistung aus. Das mag bei einem Bürorechner verschmerzbar sein, aber stellt euch mal eine Renderfarm mit mehreren 100 Rechnern vor. Schätze, auf Intel kommen schwere Zeiten zu.

 

[Cyclotron]

Den Ansatz könnte ich mir weder leisten noch wäre meine Arbeitsweise auch nur im Ansatz mit Hardware machbar. Aber abseits von Musik und nerdigem Gebastel bin ich recht analog ausgerichtet - kein Smartphone, keine Onlinekäufe, keine Kartenzahlungen... . So lange es noch geht, wird das auch so bleiben...

Was mich ja im Prinzip bestätigt. Natürlich gibt es Sachzwänge (Nicht für Jeden ist ein guter
Hardwaresynth erschwinglich). Aber Du scheinst ja Deinen "Mix" gefunden zu haben, weil Du
Dir Gedanken gemacht hast, bzw. einige Problematiken kennst.

Aber damit habe ich das Problem "Computer" ja auch - "Mix" bedeutet ja nicht, dass ich einfach drauf verzichten könnte. Für mich war der PC schon ein deutlicher Zugewinn und ohne den würde vieles wieder sehr zäh.

Was meine persönlichen Belange betrifft, graut mir vor allem vor etwaigen Leistungseinbußen für meine Programmierarbeiten durch die Fixes. Die Projekte kratzen schon jetzt am Rande des hier machbaren. Aber das ist eher ein Privatproblem, da hängt ja kein Geld dran - nur Lebenszeit.

 

[Otterl]

... graut mir vor allem vor etwaigen Leistungseinbußen für meine Programmierarbeiten durch die Fixes. Die Projekte kratzen schon jetzt am Rande des hier machbaren. Aber das ist eher ein Privatproblem, da hängt ja kein Geld dran - nur Lebenszeit.

Klar, der Rechner gehört für mich DAZU (zum Mix).

(Auf z. B. Filmbearbeitung, Trickszenen erstellen/rendern werde ich kaum verzichten können. Aber das geht zum Glück alles OFFline).