Fakten GoFetch: nicht patchbare Sicherheitslücke ala Spectre in Apples “M“ Chips.

Das klingt jetzt krasser als es ist, denn wenn jemand lokal auf deiner Kiste Code ausführen kann, hat er wahrscheinlich auch ohne diese Art von Angriff genug Zugriff, um deine Geheimnisse auszulesen und zu exfiltrieren. Es könnte aber sein, dass es bald günstig M1 und M2-Hardware von Crypto Bros zu kaufen gibt, die bei ihren Wallets nichts riskieren wollen. :)
Zum Vergrößern anklicken....

 
DrColossus schrieb:
denn wenn jemand lokal auf deiner Kiste Code ausführen kann, hat er wahrscheinlich auch ohne diese Art von Angriff genug Zugriff
Zum Vergrößern anklicken....
Naja, ob ich auf _der_ Kist drauf bin, oder ob ich einen Schlüssel habe, der auch ganz wo anders verwendet werden kann, ist schon nochmal ein Unterschied.

Das ist letztlich der Unterschied zwischen "Ich klau Dir den Geldbeutel mit Deinem Bargeld" (Nicht schön, aber verschmerzbar) und "Ich klau Dir die Handtasche mit allen Bankkarten und dem Handy auf dem die Zwei-Faktor-Authentifizierungs-SMS ankommt" (Schmerzt notfalls bis ans Lebensende)
 
Zuletzt bearbeitet:
Den Entsperrcode vom Handy müsstest du mir auch noch klauen. Es geht ja nur darum, dass da jetzt beim alltäglichen Gebrauch nix Schlimmes passiert. Natürlich kann das ausgenutzt werden, wenn man sein Gerät entsperrt irgendwo rumliegen lässt – aber da kann ja auch ohne diese Sicherheitslücke schon genug Schabernack angestellt werden, der eher schmerzhaft ist …

Hab ich jedenfalls so verstanden. Ich bin zugegebenermaßen kein Experte.
 
Auf Ars Technica etc klang das so als wenn es reicht, derartig infizierte Apps zu installieren etc. Das ist schon was anderes als, jemand kommt vorbei und grabbelt an meinem Rechner rum. Hoffe, dass ich das falsch verstanden habe.

edit: physical access ist nicht erforderlich, remote access reicht. Also ja, lässt sich also per Installation von irgendwas blöden einfangen.
 
Zuletzt bearbeitet:
verstaerker schrieb:
Ja wie ich dachte für Ottonormaluser völlig uninteressant
Zum Vergrößern anklicken....

Ich habe zuwenig Ahnung um das beurteilen zu können, wäre aktuell aber noch vorsichtiger mit solchen Aussagen. Was ich aber sehr wohl verstanden habe: ein Fix dagegen wird für alle M1+2 User spürbare Leistungseinbußen bringen. Wie viel, wird man dann sehen.

Bei meinem M1 Macbook Air wäre mir das ziemlich egal, das benutze ich kaum. Aber ich suche immer noch nach Infos, ob das auch ipad User betrifft.
 
Crabman schrieb:
ein Fix dagegen wird für alle M1+2 User spürbare Leistungseinbußen bringen
Zum Vergrößern anklicken....
ja für diesen ganz speziellen Anwendungsfall
Kryptographische Berechnung

da wird überall berichtet und wirklich niemand sagt welche konkreten Gefahren es für durchschnittliche User gibt.
Irgendwelche Crypto Keys können nicht mehr sicher berechnet werden.
Bitte mal melden wer das macht!
 
Zuletzt bearbeitet:
Ich hab mir das Vid oben nicht angesehen, aber wenn Crypto-Keys nicht sicher berechnet werden können, ist davon auch https betroffen.
 
DrColossus schrieb:
Den Entsperrcode vom Handy müsstest du mir auch noch klauen.
Zum Vergrößern anklicken....
ist zwar OffTopic, bei meinem iPhone werden die ersten zwei Zeilen eingehender SMS'e auch bei gesperrtem Handy angezeigt.

verstaerker schrieb:
ja für diesen ganz speziellen Anwendungsfall
Kryptographische Berechnung
Zum Vergrößern anklicken....
Mal von den korrekten Aussagen von @dbra abgesehen, geht es den Leuten vermutlich nicht darum, eine konkrete Bedrohung darzustellen, als vielmehr zu zeigen, dass hier das Grundkonzept einer Funktion eine Schwäche enthält.
 
fanwander schrieb:
Mal von den korrekten Aussagen von @dbra abgesehen, geht es den Leuten vermutlich nicht darum, eine konkrete Bedrohung darzustellen, als vielmehr zu zeigen, dass hier das Grundkonzept einer Funktion eine Schwäche enthält.
Zum Vergrößern anklicken....
ich hab schon verstanden worum es den Leuten geht.
Ich würde aber gerne verstehen wieso das gerade so eine Riesen Aufmerksamkeit hat (das es sogar im Sequencer-Forum landet). Ich kann mir unter der Generierung kryptographischer Diffie-Hellman keys halt und deren Anwendungsgebiete nichts vorstellen. Deswegen frage ich.

Das es gefühlt 256 Artikel dazu gibt und in keinem einzigen wurde ein konkretes Bedrohungsszenario erläutert wurde, wundert mich eben.

Als workaround müssen diese Prozesse auf Effizienz-Cores laufen - das dürfte am Ende auch quasi nichts ausmachen.
 
Aber zumindest unter Spectre war es so, dass der gesamte Speicherschutz durch die Lücke ausgehebelt war. Da würde es auch nichts nützen, wenn da was auf nem anderen Kern läuft.
 
verstaerker schrieb:
Bitte mal melden wer das macht!
Zum Vergrößern anklicken....

das macht eigentlich fast jeder... mal.

denn man macht es ja für jede anwendung nur einmal, und das ist dann nicht sehr oft.

wie aus der abstrakten gefahr eine konkrete werden kann ist mir nicht bekannt, weil du dazu ja erst mal eine schadsoftware brauchst, die mit E.T. telefonieren kann (denn die schlüsselgenerierung benötigt grundsätzlich einen man in the middle um unsicher zu werden, andere möglichkeiten dürfte es nicht geben) aber "irgendwas mit krypto" betrifft erst mal ungefähr 50% aller user.
 
Zuletzt bearbeitet:
dbra schrieb:
Aber zumindest unter Spectre war es so, dass der gesamte Speicherschutz durch die Lücke ausgehebelt war. Da würde es auch nichts nützen, wenn da was auf nem anderen Kern läuft.
Zum Vergrößern anklicken....
das lief auch auf damaliger Intel Architektur , da war jeder Core identisch

beim M3 Chip gibt es auch ein Feature das Programmierer DMP für bestimmte Prozesse abschalten können
 
Zuletzt bearbeitet:
Na ja, scheinst ja auch nicht allzu viel Ahnung von Kryptokram und Schutzmechanismen zu haben.

Ob das dann so "ganz einfach" gelöst werden kann...
 
Denke nur, du machst es dir etwas zu einfach, damit alles in Ordnung ist.

Klingt nach sich selbst schön reden.

Vorwurfsvoll hab ich das nicht empfunden.
 
dbra schrieb:
Denke nur, du machst es dir etwas zu einfach, damit alles in Ordnung ist.

Klingt nach sich selbst schön reden.

Vorwurfsvoll hab ich das nicht empfunden.
Zum Vergrößern anklicken....
Wieso mach ich es mir einfach? Ich versuche hier zu erfahren bei welchem Anwendungsfall das eine Rolle spielt. Als Resultat teilst du mir mit das ich keine Ahnugn von Kryptographie habe (völlig korrekt , deswegen frage ich ja).

Wo rede ich etwas schön? Ich habe wiedergegeben was ich nach dem lesen mehrerer Artikel verstanden habe, was die möglichen fixes sein könnten, wenn man DMP nicht komplett abschalten möchte. Was tatsächlich zu generellen Performance-Einbußen führen würde.

Sorry ich verstehe deine pampige Art nicht und hab da auch keine Lust drauf
🤷
 
verstaerker schrieb:
Wer sicherheitsrelevante Kryptographie betreibt (ich hab nicht mal ne Vorstellung was konkret ist) achtet vermutlich auf die Systemsicherheit und installiert keine obskure Software vom Prinz aus Afrika der mir Millionen verspricht.
Oder übersehe ich was?
Zum Vergrößern anklicken....
Dafür gibt es dann Supply-Chain-Attacks. Siehe Solarwinds.
 
ich habe gerade mal nachgechlagen. keine ahnung ob und wie das auch betroffen sein könnte, aber o.g. "Diffie-Hellman" verfahren kann sogar als alternative zu TLS 1.2 für https:// verwendet werden.

man generiert aber auch private keys für viel problematischere dinge wie email, clouds, webapps, wallets, die halbe finanzindustrie nutzt sowas. vereinfacht gesagt schlüsselerzeugungsverfahren, wo ein mensch selbst an einer stelle etwas signieren muss.

sowas wie das hier nutze ich seit 10-12 jahren, der verschlüsselungsstandard ändert sich da alle paar jahre mal wieder. da sind deine daten bombensicher - außer du notierst dein passwort in deiner wohnung oder jemand kommt irgendwie an den schlüssel, z.b. indem er das laptop klaut oder eben schon die generierung mitliest.
 
Zuletzt bearbeitet:
Du musst dich einloggen oder registrieren, um hier zu antworten.


Neueste Beiträge

News

Zurück
Oben