Massig Sicherheitslücken in Intel CPU's gefunden.

Was willst du damit genau sagen @Dorimar?

Durch einen Datenüberlauf im Btx-System, das von der Bundespost als sicher bezeichnet worden war, bekam ein Teilnehmer Teile des Hauptspeicherinhalts des betreffenden Serie-1-Zugangsrechners auf sein Endgerät ausgegeben. Bei einer Analyse des Dumps stellte sich heraus, dass sich darin die Zugangskennung eines Benutzerkontos der Hamburger Sparkasse (Haspa) einschließlich des Passworts im Klartext befand.
Zum Vergrößern anklicken....
https://de.wikipedia.org/wiki/Chaos_Computer_Club#Btx-Hack

Es war ja sicher laut Budespost.
Wenn andere Länder/Cracker dieses ausgenutzt hätten wäre das besser gewesen?

Oder gar nicht hinterfragen, da offiziell "von der Bundespost als sicher bezeichnet worden war"?

Übertragen auf Prozessor Bug: Haben sich die Entdecker des Bugs straffällig gemacht?

Wäre eine Nichtaufdeckung des Bugs, da (kriminelle) Hacken! strafbar ist, besser gewesen?
 
Zuletzt bearbeitet:
Dorimar schrieb:
Ja der Zweck heiligt ja bekanntlich die Mittel!
Zum Vergrößern anklicken....

Finde ich nicht. Mit Gas und Lenkung Deines Fahrzeugs würde ich mir den Spaß nicht erlauben, auch wenn CAN zu Unfug einlädt.

Es kann Situationen geben, in denen der Schaden wie hier kalkulier- und überschaubar bleibt. Das wurde ja alles sofort gemeldet und beglichen. Teilweise arbeiten die Firmen heute selber so, um unkonventionell / querdenkend auf Probleme zu stoßen, bevor es andere tun. Gerade weil die offiziellen Wege und das 'Selbstverständnis' der Schwachpunkt einer Infrastruktur sein können.

Aber sorry, ich labere mich heiß - Du wolltest ja gerade Vorschläge machen, wie man als 'Nerd' bei einem einem gottgleichen Vorstand Gehör findet.
 
Bei der Intel Updates geht es doch nicht um die OS-Updates die Windows z.B. rausgehauen hat, sondern um Mikrocode von Intel, oder?

Andere CPU-Hersteller sind deswegen betroffen weil auch sie der Idee gefolgt sind Vorhersagen in der CPU einzubauen. Dagegen wird es laut Golem wohl vielleicht keinen wirklich guten Patch geben können. Falls man die Vorhersage abschafft, sind wir wieder auf dem Leistungsstand der CPUs von Ende der 90er.
https://www.golem.de/news/meltdown-...ssig-wieder-am-ende-der-90er-1801-132224.html

Ich glaube diese Sicherheitslücke wird uns noch viele Jahre verfolgen, egal unter welchem OS.
 
Zuletzt bearbeitet von einem Moderator:
Cyclotron schrieb:
Aber sorry, ich labere mich heiß - Du wolltest ja gerade Vorschläge machen, wie man als 'Nerd' bei einem einem gottgleichen Vorstand Gehör findet.
Zum Vergrößern anklicken....

Ich wollte eigendlich nur kundtun, das ALLE behoerden, Flughaefen, Polizei, Atomkraftwerke etc. Angreifbar sind. Und das das wohl lohnendere Ziele sind als Privatrechner. Wir koennen uns natuerlich noch stundenlang ueber die definition liebe hacker / boese hacker streiten....

cracked Quartex!
 
Dorimar schrieb:
Ich wollte eigendlich nur kundtun, das ALLE behoerden, Flughaefen, Polizei, Atomkraftwerke etc. Angreifbar sind. Und das das wohl lohnendere Ziele sind als Privatrechner.
Zum Vergrößern anklicken....

Da stimme ich Dir uneingeschränkt zu.

Dorimar schrieb:
Wir koennen uns natuerlich noch stundenlang ueber die definition liebe hacker / boese hacker streiten.....mann mann mann
Zum Vergrößern anklicken....

Es sollte jeder an seinen Taten gemessen werden. Ansonsten landen alle in einem Topf. Bankräuber und Bankdirektor sind ja auch nicht zwingend dasselbe, obwohl beide... okay, lassen wir das...
 
Ich habe garkeinen an irgendwas gemessen. Ich habe nur die getaetigte Aussage bekraeftigt das der CCC hacker sind, und das der Zweck die mittel heiligt.
Ich bin nur fuer das verantwortlich was ich schreibe, nicht fuer das was du verstehst.
 
Dorimar schrieb:
Ich wollte eigendlich nur kundtun, das ALLE behoerden, Flughaefen, Polizei, Atomkraftwerke etc. Angreifbar sind. Und das das wohl lohnendere Ziele sind als Privatrechner.
Zum Vergrößern anklicken....
Kam schon vor, die meisten Angriff erfolgen aber breitflächig.
Atomkraftwerke werden nicht durch PCs gesteuert (dazu sind sie zu alt) und sind wohl auch eher nicht am Internet.
 
ckoehler schrieb:
Ich glaube diese Sicherheitslücke wird uns noch viele Jahre verfolgen, egal unter welchem OS.
Zum Vergrößern anklicken....
Ändere "diese Sicherheitslücke" in "diese Sicherheitslücken".
Aufgrund vom entdecken 3 Angriffsszenarien hat man ein(?) $Problem(en) in Prozessor gefunden.
Weder
A) das Problem / die Sicherheitslücken als auch
B) die Angriffsszenarien werden die einzigen Möglichkeiten sein.
:lurk: Willkommen im Krieg-2.0 :lurk:
 
Zuletzt bearbeitet:
blauton schrieb:
Dorimar schrieb:
Ich wollte eigendlich nur kundtun, das ALLE behoerden, Flughaefen, Polizei, Atomkraftwerke etc. Angreifbar sind. Und das das wohl lohnendere Ziele sind als Privatrechner.
Zum Vergrößern anklicken....
Kam schon vor, die meisten Angriff erfolgen aber breitflächig.
Atomkraftwerke werden nicht durch PCs gesteuert (dazu sind sie zu alt) und sind wohl auch eher nicht am Internet.
Zum Vergrößern anklicken....
Die operativen Systeme sind von der Außenwelt abgeriegelt. Über das geschlossene Netz werden Fluginformationen und Radardaten übertragen. Dieses Netz ist streng getrennt vom Netz für die Bürokommunikation, das mit dem Internet verbunden und, wie jedes größere Firmennetz, regelmäßig automatisierten Hackerattacken ausgesetzt ist. Ganz ähnlich sind zum Beispiel auch die Netze in europäischen Atomkraftwerken aufgebaut.
Zum Vergrößern anklicken....
https://www.heise.de/newsticker/mel...en-die-russischen-Hacker-3948553.html?seite=2
Junomoog schrieb:
Es gibt neu die Micro-EMP Attacke, ganz fein über das Stromnetz, da hilft nur Akkubetrieb.
Zum Vergrößern anklicken....
USB
...

@Dorimar Ich frage nicht um dich oder irgendwen_anders zu ärgern/bloßzustellen sondern weil ich dich richtig verstehen will, mit möglichst wenig Fehlinterpretationen.
42
 
Zuletzt bearbeitet:
@khz das ist auch gut so :)

Es ist doch so das wir alle eigentlich schon vorher wussten das man alles irgendwo hacken, cracken und umgehen kann, wenn man das know how, die technischen moeglichkeiten und die Kohle dazu hat.

Trotzdem ist diese Sicherheitsluecke etwas, dessen Tragweite ich nur schwer begreifen kann, da es so ziemlich alle aktuelleren Prozessoren betrifft bis auf eine handvoll Ausnahmen. Die Dinger sind halt ueberall drin, von daher kann ich mir selbst nichtmal im entferntesten ausmalen, was alles moeglich ist. Man kann nur auf die Kreativitaet der Sicherheitsexperten hoffen!
 
Genau, knackbar ist schon immer fast alles gewesen. Egal ob Hardware, Software, OS oder sonst was. Es ist nur immer eine Frage wie viel Aufwand dem Kriminellen der Einbruch wert ist. Was bis jetzt wohl nicht geknackt sind, das sind bestimmte Verschlüsselungen, aber solange die nicht ordentlich implementiert sind, wie bei Heartbleed, ist das natürlich nur ein schwacher Trost. Hier hilft auch OpenSource und Linux nicht weiter. Als User hat man verloren. Ein OS kann ich unter Umständen noch tauschen, aber da es kein 100% sicheres OS gibt, ist das auch wieder nur die halbe Miete. Was ich schwieriger bis gar nicht tauschen kann sind Firmware in Routern, Festplatten etc. und Sachen die mein Provider verbockt.

Das einzige was bleibt ist sich seinen Rechner zu installieren und offline bleiben und auch kein USB-Stick etc anschließen. Aber das würde schon eine Menge Spaß nehmen und daher gehe ich das Risiko ein mit unsicherer Hard- und Software zu leben und an Updates das einzuspielen was rein kommt.
 
Natürlich führen Router Code aus(ist meist sogar ein Linux drauf), genau wie Mikrocontroller in Festplatten etc und das BIOS. Und der ganze Kram ist noch viel verwundbarer als ein WinXP das keine Patches mehr bekommt. Der ganze Käse ist schon gar kein Käse mehr so viele Löcher hat er.
 
@Router Ich ~dachte. :Fehlerhaft:
Für die Router der Deutschen Telekom sind die Spectre und Meltdown-Angriffe in der Praxis nicht relevant. Zum einen nutzen die meisten Modelle Mikroprozessorarchitekturen, die Stand heute nicht verwundbar sind, zum anderen erfordert das Ausnutzen der Lücke in einem verwundbaren Prozessor ja das Ausführen von Schadcode auf dem Gerät. Unsere Router erlauben keine Codeausführung aus unsicheren Quellen. Ein Angriff ist also nicht einfach möglich.
Dennoch prüfen wir gemeinsam mit unseren Herstellern, ob Prozessoren in unseren Routern von der Schwachstelle betroffen sind, und wir werden für betroffene Geräte Updates bereit stellen.
Zum Vergrößern anklicken....
telekom.

OK Mikroprozessorarchitekturen und ~keine_Codeausführung_aus_unsicheren_Quellen wäre richtiger ausgedrückt.
... hmmm ich bin sicherer Code .. .

Atom/Stromspar Computer ja auch nicht betroffen, juhu.
 
Zuletzt bearbeitet:
Sehr diplomatisch die Telekom. Ach ja die Sache mit den nicht ausführbar wenn die Quelle unbekannt ist. Das gibt es auch auf Konsolen, Handys und so weiter und so fort. Selbst wenn die Telekom keine CPU mit Meltdown und Spectre Schwachstellen einsetzt so ist doch jeder Mikrocontroller nicht desto trotz angreifbar. Mikrocontroller sind nichts weiter als kleine Computer mit CPU, RAM, ROM IO und dort wir Sicherheit extrem klein geschrieben. Mag sein dass die Telekom da ein wenig mehr investiert, aber darauf schwören würde ich nicht dass ein Telekom Router sicher ist sobald er online geht.

Das schlimme sind meist auch gar nicht die bekannten Lücken sondern die unbekannten von denen nur wenig Wissen und die für teurer Geld im Darknet etc. verkauft werden. Da ist es egal was für einen Router, OS oder sonst was du nutzt diese Lücken sind offen und lassen die Leute munter rein. Das Wettrennen zwischen Abwehr und Angriff gibt es doch schon immer, egal ob bei Technik, Mechanik oder sonst was. Nichts ist wirklich sicher, nicht deine Haustür oder dein PC mit Linux oder sonst was. Es ist nur immer eine Frage wie interessant man für einen Angreifer ist, genau wie es eine Frage ist wie interessant bin ich z.B. für die NSA? Ich als NAS-Mitarbeiter würde mich zuerst auf Leute stürzen die Linux nutzen und sich von Sozialen Plattformen fernhalten. Das Thema ist aber extrem emotional und man kann da soviel Ansichten vertreten dass am Ende nichts bei raus kommt.

Soll jeder das nutzen was er möchte und wie er es möchte. Wenn es zu wirklichen Schäden kommt werden da euch eure Bekannten schon erzählen. Ich habe unter dem Strich noch nie wirklich ein Problem gehabt und kenne auch in meinem Umfeld keinen dem das Konto ausgeraubt wurde oder sonst was. Und daran halte ich mich. Ich halte mich an dem was mir und meinem Umfeld passiert und nicht was durch die Medien geht.

Zur not leben ich auch offline, geht auch. Für die Industrie und Behörden geht das schon nicht mehr und die sind auch die die Angst haben müssen. Wir als Privatperson eher weniger.
 
ckoehler schrieb:
Zur not leben ich auch offline, geht auch. Für die Industrie und Behörden geht das schon nicht mehr und die sind auch die die Angst haben müssen. Wir als Privatperson eher weniger.
Zum Vergrößern anklicken....

Bin gespannt was gerade bei Industrie und Staat von interessierten Kräften so abgezogen wird.
Erfahren wir sicher in 1-2 Jahren. Ist auch ne gute Entschuldigung um sensible Daten teuer zu verhökern.
 
Ich habe auf meinen Laptop jetzt Probleme mit einem Windows Update gehabt, nachdem ich neu installiert hatte. Auf dem dicken Desktop gab es keine Probleme. Ob das mit einem Patch gegen die CPU Sicherheitslücke zu tun hat ist nur eine Vermutung. Ich für meinen Teil habe auf dem Laptop die Windows Updates komplett deaktiviert, werde sie wieder anschalten wenn dem Thema etwas reifere Patches gegenüber stehen.
 
Nur durch Neu entwickelte Hardware Prozessoren kann man den Bug beheben.
Da kann man etwas länger darauf warten?
 
Crabman schrieb:
Jetzt auch für Sierra und EL Capitan.Schon jemand getestet?Freiwillige vor ;-)

https://www.macrumors.com/2018/01/23/macos-sierra-el-capitan-spectre-meltdown-fixes/
Zum Vergrößern anklicken....


Keine Probleme hier auf den Capitans, weder beim 2012-15er-MBP spürbare Speedeinbrüche noch auf der 2009er-Käsereibe auf der Arbeit. Dort eher das Gegenteil, Live 9 rennt, Live 10 rennt noch viel mehr, Logic X kein Unterschied zu merken. Hab allerdings auch nicht exakt nachgemessen.
Beim MBP peakt die Prozessoranzeige meiner primär live gespielten Sets relativ unverändert bei 35-40% rum (9er, noch kein 10er privat). Dropouts mit den internen Boxen aufm MBP gab's auch schon vorher, über den Klinkenausgang oder Interface absolut problemlos.


ALLERDING: Iris 2 mag das Update nicht, hab ich mir sagen lassen von nem Kollegen. Ich vermute, er hat einfach
 
Unter Windows ist die Situation nun doch etwas verwirrend. Intel hat Probleme mit Neustarts durch die Microcode Patches, Microsoft patched dem Patch. Angeblich überhitzen die CPUs manchmal und es kommt bei 150% der THD dann zum Herunterfahren der CPU. Sehr lecker das alles. Es gibt einen etwas hakeligen Check via Powershell oder Tools, die das direkt anschauen. c't rät zum Check via Powershell:

http://www.itmagazine.ch/Freeware/15741/InSpectre.html
http://www.itmagazine.ch/Freeware/15742/Ashampoo_Spectre_Meltdown_CPU_Checker.html
https://www.heise.de/ct/ausgabe/2018-4-Patch-Chaos-bei-Meltdown-und-Spectre-3954507.html
http://www.pcgameshardware.de/Windo...eaktiviert-Spectre-Schutz-in-Windows-1248957/
 
EDIT: Microcode-Update per BIOS Mod an meinem Ivy Bridge i5-3570K erfolgreich durchgeführt!! :cool:

Die Leute hier mit älteren Mainboards werden vermutlich ja keine BIOS Updates vom Hersteller mehr bekommen. Kürzlich hat Intel aber zahlreiche Microcode-Updates bis hinunter zu Sandy Bridge veröffentlicht (in Form des so genannten Linux Microcode Update Files):
https://downloadcenter.intel.com/download/27591/Linux-Processor-Microcode-Data-File

Da ich Windows User bin, hilft mir die Linux-Lösung unmittelbar nicht weiter. Die Microcode-Updates können aber auf vielen unterschiedlichen Wegen ihrem Einsatzzweck zugeführt werden.

Aus „wissenschaftlichem“ Interesse und reiner Experimentierfreude habe ich mich heute somit daran gemacht, das UEFI BIOS meines älteren ASRock Mainboards mit Intels neuestem Microcode zu patchen.

Ich habe mich dabei ziemlich streng nach folgender Anleitung gerichtet:
https://www.hardwareluxx.de/communi...-bios-ucodes-bootloader-os-patch-1189255.html

Um die Auswirkungen des Microcode-Updates zu überprüfen habe ich zwei Dinge jeweils vor und nach dem Update getestet:

1) Überprüfung des Systems mittels SpecuCheck.exe
2) CPU Benchmark mittels Geekbench 4 (64 Bit)

Die Ergebnisse sind durchaus interessant, wenn auch nicht komplett überraschend.

SpecuCheck (pre-Patch /post-Patch): Siehe angehängte Bilder. Die Mitigations für Branch Target Injection sind offensichtlich nun wirksam und werden dementsprechend angezeigt.

Geekbench-Messung vor dem Patch:
https://browser.geekbench.com/v4/cpu/7515040

Geekbench-Messung nach dem Patch:
https://browser.geekbench.com/v4/cpu/7517537

Die Differenzen sind also 83 Punkte (Single Core) bzw. 425 (Multi Core) - zumindest in diesem Benchmark also lediglich 2-4%. Hätte ehrlich gesagt schlimmeres erwartet, aber es kann natürlich sein, dass die Auswirkungen in bestimmten Szenarien deutlich größer sind.

Fazit: Bisher läuft alles normal und ich spüre keinen Unterscheid zu vorher. Werde das Ganze weiterhin beobachten und hier ggf. berichten :)

VG
kybernaut_01
 

Anhänge

  • SpecuCheck_before_Patch.png
    SpecuCheck_before_Patch.png
    22,8 KB · Aufrufe: 9
  • SpecuCheck_after_Patch.png
    SpecuCheck_after_Patch.png
    20,3 KB · Aufrufe: 10
Zuletzt bearbeitet:
@Linux Der Microcode wird vor dem booten des Kernels geladen.
Das heißt wenn man den aktuellen Microcode über den Paketmanager deiner Wahl installiert hat https://wiki.debian.org/Microcode wird dieser auch automatisch upgedatet.
Da dieser Microcode immer vor dem booten des Kernels geladen wird ist das wie immer wieder aufs neue (flüchtiges) BIOS update.
Somit ist die Hardware sicher/stabil und erst dann wird der Kernel = das Betriebssystem gebootet.
https://www.heise.de/ct/artikel/Die-Neuerungen-von-Linux-4-16-3964466.html
Unter Linux muss man nicht zwingend das BIOS updaten.
IMHO!
Ist diese Aussage wahr?
 
khz schrieb:
Unter Linux muss man nicht zwingend das BIOS updaten.
IMHO!
Ist diese Aussage wahr?
Zum Vergrößern anklicken....
Über diese Frage lässt sich wohl leidlich fachsimpeln. Da mir hier die Detailkenntnisse zu Linux fehlen, nur soviel: Auf Windowsseite hat Microsoft seit kurzem ebenfalls die Möglichkeit geschaffen, Microcodes „per Software“ nachzuladen und veröffentlicht wohl nun Schritt für Schritt die entsprechenden Patches auch für ältere Prozessoren.

Die BIOS-Methode ist zumindest theoretisch die sauberste, da sich Manipulationen in der frühen Bootphase ausschließen lassen. Wahrscheinlich alles eher eine akademische Diskussion (?)
 
Wichtig ist das der Microcode vor dem booten des Kernels (Betriebssystems) geladen wird.
Wie das Mac/Win macht habe ich keine Ahnung. Das sollte ja öffentlich, transparent und verständlich von den 2 Firmen kommuniziert werden zwischen Entwickler und User.
Gefühlte Wahrheiten/Informationen sind eher glückssache, liegt evt. manchen aber mehr.

Da dieser Microcode immer vor dem booten des Kernels geladen wird ist das wie immer wieder aufs neue (flüchtiges) BIOS update. <-- @Linuxuser ist das richtig?
 
Wobei die Diskussion scheinbar nur noch in IT - affinen Kreisen stattfindet. Wenn ich gelegentlich mit fachfremden Anwendern spreche, haben die das schon längst wieder abgehakt. Der PC sieht nicht krank aus, Pornos laufen nach wie vor ruckelfrei... und man habe doch damals das Update eingespielt. Heise o.ä. lesen die nicht, weil sie es gar nicht kennen oder die Informationen nicht einordnen können. Was nicht Aufmacher in Tagesschau oder Bild ist, könne so wichtig nicht sein. Was willste da machen...
 
Du musst dich einloggen oder registrieren, um hier zu antworten.


Neueste Beiträge

News

Zurück
Oben