Bilderforum.de

Zurück   Bilderforum.de > DUNKELKAMMER > Offtopic Forum

Offtopic Forum Allgemeine Themen und Diskussionen.

meltdown & spectre - Meinungen / Reaktionen?

Antwort
 
Themen-Optionen Ansicht
Alt 12.01.2018, 15:10   #1
L*A*B
.
 
Benutzerbild von L*A*B
 
Beiträge: 1.313
Standard meltdown & spectre - Meinungen / Reaktionen?

Die Bedrohung durch die Hardware-Fehler "meltdown" und "spectre" macht ausnahmsweise keinen Unterschied zwischen Windows, Mac oder Linux...

"Meltdown" vermischt die Speicher des Computers mit denen von Programmen. "Spectre" vermischt die Speicher zwischen Programmen. Beides bedroht die Sicherheit zum Beispiel von Passwörtern. Zweiterem ist noch schwerer beizukommen als Ersterem. Server trifft es naturgemäß härter als individuelle und private Desktop-Computer.

Das Anliegen dieses Threads ist die Frage, wie ihr mit dieser Bedrohung umgeht.

Ich mache mal den Anfang.
Viel läßt sich eigentlich ( - außer gar nicht mehr ins Netz zu gehen - ) nicht machen:
Updates des Betriebssystems und von Programmen wie vor Allem dem Browser frühzeitig einspielen, immer mal wieder neu booten, bevor man zum Beispiel sensiblere Sachen wie Online-Banking macht und natürlich Skripte zum Beispiel via Noscript nur für handverlesene Seiten erlauben.

Schöne neue Welt...
L*A*B ist offline  
Alt 12.01.2018, 15:10   #1
Anzeige
 
Standard

Hast du schon mal in Fotos nach Rezept nachgelesen?
Eventuell hilft dir das ja bei deinem Problem ;-).
L*A*B ist offline  
Alt 12.01.2018, 17:21   #2
oz75
Moderator

oz75's Ausrüstung
 
Benutzerbild von oz75
 
Beiträge: 6.011
Standard

Tja, sehr schlimm ist das.

Eine gute Zusammenfassung der Sachlage findet sich hier:

https://www.heise.de/newsticker/meld...n-3938146.html

Testprogramme zur Identifikation des Fehlers kriegt man auch im Netz.

Zu meiner persönlichen Erfahrung: Auf meinen Win7-Rechnern spinnt zurzeit Windows-Update und benimmt sich wie ein bockiger Esel.

Sollte bei euch auch das Windows-System bei den Updates bocken, so hift dies hier weiter:

https://www.pcwelt.de/a/reset-window...-agent,3448268

---

Wie auch immer: Immerhin bieten Apple und Microsoft Notpatches an.

Google sicher auch...

ABER: Seit wann scheren sich Smartphone-Hersteller wie Samsung um ihre Kunden? Die werden ihre Kunden mit etwas älteren Telefonen einfach hängenlassen.

Ich sah mich schon wegen anderer Doomsday-Fehler gezwungen, mein Samsung S4 auf Custom-Firmware umzustellen...

https://www.bilderforum.de/t30185-bl...itsluecke.html

Nun ist es wieder soweit...

Anders beim Iphone: So sehr ich Apple kritisch sehe - seine Kunden lässt der Hersteller nicht im Stich.
oz75 ist offline  
Alt 12.01.2018, 18:38   #3
Peter_M
Total verwirrt

Peter_M's Ausrüstung
 
Benutzerbild von Peter_M
 
Beiträge: 2.887
Standard

Hallo,
falls ein BIOS-Update verfügbar ist sollte man das einspielen und dann ist die Sache gegessen. Das OS benötigt dann keinen Patch.
Das habe ich bei meinem PC und meinem Thinkpad gemacht. Diese Updates liegen seit Mitte November vor, der Fehler wurde also sehr zögerlich kommuniziert.

Gut das der Intel CEO zufälligerweise vorher noch große Aktienpakete die er innehatte abgestoßen hat. Alles super.
Peter_M ist offline  
Alt 12.01.2018, 19:35   #4
oz75
Moderator

oz75's Ausrüstung
 
Benutzerbild von oz75
 
Beiträge: 6.011
Standard

Zitat:
Zitat von Peter_M Beitrag anzeigen
Gut das der Intel CEO zufälligerweise vorher noch große Aktienpakete die er innehatte abgestoßen hat. Alles super.
Purer Zufall. Manchmal muss ein CEO auch Glück haben.

Ansonsten: Nicht jedes BIOS ist frisch genug. So meins.

Der Spuk noch ausführlicher...

https://www.golem.de/news/updates-wi...01-132125.html

Gruß,
Oz
oz75 ist offline  
Alt 12.01.2018, 20:12   #5
oz75
Moderator

oz75's Ausrüstung
 
Benutzerbild von oz75
 
Beiträge: 6.011
Standard

Hier kann man nachprüfen, ob das eigene Smartphone-Modell ein Update erhält:

https://www.ricompro.it/check-security-update-brand/

Gruß,
Oz
oz75 ist offline  
Alt 12.01.2018, 20:13   #6
dj69
Hesse!

dj69's Ausrüstung
 
Benutzerbild von dj69
 
Beiträge: 2.183
Standard

Bios frisch upgedatet und Windowsupdate aktiviert.
Updates auf dem neuesten Stand.
Mal sehen wie es weiter geht...
dj69 ist offline  
Alt 12.01.2018, 21:42   #7
Peter_M
Total verwirrt

Peter_M's Ausrüstung
 
Benutzerbild von Peter_M
 
Beiträge: 2.887
Standard

Zitat:
Zitat von oz75 Beitrag anzeigen
Hier kann man nachprüfen, ob das eigene Smartphone-Modell ein Update erhält:

https://www.ricompro.it/check-security-update-brand/

Gruß,
Oz
Na super, ein Grund mehr das Smartphone auszuwechseln, dann wird es ein IPhone (oje) oder ein Nokia. Nokia verspricht lebenslang Update zu liefern. Darauf muss man wirklich achten wenn man nicht jeden dummen Generationswechsel mitmachen will.
Peter_M ist offline  
Alt 12.01.2018, 22:16   #8
softdown1
Foto-Profi

softdown1's Ausrüstung
 
Benutzerbild von softdown1
 
Beiträge: 161
Standard

Moinsen zusammen,

bevor man sich nun sinnlos aus dem Fenster stürzt sollte man erst einmal schauen, worum es genau geht (ein Link zu Heise gab es hier ja schon).

Betroffen sind ja nun fast alle Hersteller (vom Smartfön, über das Tablet bis hin zu Notebooks & PCs). Aaaber: die halbschlechte Nachricht zuerst – der wirklich miese Bug (in diesem Falle Meltdown) betrifft Intel. Dieser Fehler erlaubt es einem nicht privilegiertem Programm auf sämtliche Bereiche des Arbeitsspeichers zuzugreifen (inklusive dem anderer Programme und/oder dem Betriebssystem selber).

Spectre trifft eigtl. alle modernen Prozessoren – außer jenen, die zu „dumm“ sind (was in diesem Fall positiv gemeint ist).
Dieser Fehler lässt nur Zugriffe innerhalb des eigenen Prozesses zu und nicht global auf dem ganzen System. Klingt zunächst entspannend, aber hier im Bilderforum hätte ein Javascript gereicht um an den Login in einem anderen Tab bei der Sparkasse zu kommen.

Wirklich beruhigend ist aber -> beide Angriffsvektoren sind nur lesende. Es ist also kein Wurm, Virus oder ähnliches, der lokal Daten verschlüsselt oder etwas am System ändern kann. Würde (hypothetisch, denn mehr als Machbarkeitsstudien sind es momentan nicht) man angegriffen, so wäre nach einem reboot alles vorbei.
Ferner muss man sich im klaren sein, dass ein Angriff über die Sicherheitslücken die Spectre oder Meltdown beschreiben nicht (ohne eigenes zutun) wie der Schnupfen um’s Eck kommen. Man muss – mehr oder weniger – schon aktiv Blödsinn auf seinem PC anstellen, damit da etwas zum tragen kommt. Einfallstore sind wie immer die üblichen Verdächtigen: dubiose Links in eMails, das betrachten von Fotos die man nicht selber geschossen - hat auf Sammelseiten die Minderjähringen eher nicht zugänglich gemacht werden sollten - und natürlich auch Websites, die nicht legale Kopien zum bearbeiten von eingangs erwähnten genüsslich betrachteten Fotos anbieten.

Noch weiter beruhigend: um die Lücken ausnutzen zu können ist ein sehr genauer Zeitvergleich nötig. Mit sehr genau meine ich in diesem Fall auch wirklich genau. Die typischen Formel 1 Rundendifferenzen sind – mal bildlich gesprochen… ist ja ein Bilderforum – eher den Äonen zuzuordnen.
Die entsprechenden Browserhersteller (Firefox, Chrome, Edge usw.) haben ihren Browsern die Möglichkeit nun genommen das wirklich soooo exakt zu messen, wie es notwendig wäre. Das behebt die Sicherheitslücke nicht wirklich, aber sie lässt sich so nicht mehr wirklich nutzen.

Die Betriebssysteme selber können nun auch nicht mehr machen, außer ähnlich miese „hacks“ zu implementieren. Den Fehler beheben kann man nicht. Einhergehend kostet das ganze natürlich Performance. Da gibt es nun viele Meinungen von 0% Unterscheid bis 30% Unterschied.
Abzeichnen tut sich: je älter das System, desto mieser ist man dran. SSD im System wirkt sich nicht nur messbar negativ aus. Allgemein ist I/O relativ tödlich – das zieht die Performance runter.

Tun kann man nicht wirklich etwas. Patches einspielen und Schwamm drüber. Da der Fehler im engeren Sinne kein Fehler sondern ein Designproblem ist, wird da auch entsprechende Software nicht helfen können.
Also bleibt eigentlich alles beim alten: Finger weg von den krummen und dubiosen Sachen. Frei dem Freudschen Motto: Urlaub in Thailand geht auch ohne Tripper.

Beste Grüße,
softdown

p.s.: aus rein marktwirtschaftlichen Gründen sei mir das hämische Grinsen erlaubt, dass Meltdown nur Intel und nicht AMD trifft. Ich schließe mich ferner mal Linus Torvalds an (https://www.heise.de/newsticker/meld...n-3934829.html) und zitiere wörtlich aus anerkannter Presse „Will Intel für immer und Ewig Scheisse verkaufen?“. Die Aussage war auf Intels Reaktion zu den Lücken bezogen, die Intel seit 06/2017 bekannt sind. Anfang Januar hat Intel dann einen Patch für den Linux Kernel eingereicht, der Intel CPUs gegenüber Meltdown (wovon AMD nicht betroffen ist) wenigstens etwas absichert. Dieser Patch kostet massiv CPU Leistung. Ein Schelm wer böses dabei denkt, denn Intel prüft nicht, ob ein Intel Prozessor im System steckt, sondern verlangsamt auch die von AMD (und anderen Prozessorarchitekturen). *thumbs down*
softdown1 ist offline  
Alt 12.01.2018, 22:49   #9
ekin06
waschechter Hobby-Knipser

ekin06's Ausrüstung
 
Benutzerbild von ekin06
 
Beiträge: 941
Standard

Die Ruhe bewahren und warten bis Updates da sind. Sollten bisher keine Updates erschienen sein -> Ruhe bewarten bis Updates erscheinen.

Sollte man vorhaben einen neuen PC zu kaufen, ist man bei AMD schon mal gut aufgehoben. Viele ARM-Prozessoren, welche z.B. in Smartphone oder Mini-Computern stecken, sind z.B. gar nicht betroffen.

Dieser Typ wusste schon seit 2007, dass Intel "Buggy as hell" ist:
https://marc.info/?l=openbsd-misc&m=118296441702631&w=2
ekin06 ist offline  
Alt 12.01.2018, 22:59   #10
softdown1
Foto-Profi

softdown1's Ausrüstung
 
Benutzerbild von softdown1
 
Beiträge: 161
Standard

Hi Johannes,

https://www.pcwelt.de/a/meltdown-und...-apple,3449295

leider ist eigtl. alles was nach Smartphone und Tablet aussieht betroffen. Das sind auch die Geräte, die mir am meisten Sorgen machen, weil zumindestens im Android Lager für vieles enfach kein Update mehr heraus gegeben wird.

Nicht betroffen sind Embedded Boards wie der Raspi, die Apple Watch (sic! - ausgerechnet die!), AVM Produkte und derlei seltenes Gedöns.

Ansonsten darf man schon Hardware rauskramen, die etwas betagter ist. Alles ab/nach dem Pentium Pro dürfte betroffen sein (mal schauen, wer Pentium Pro noch kennt ).

Grüßle,
softdown
softdown1 ist offline  
Alt 12.01.2018, 23:29   #11
Peter_M
Total verwirrt

Peter_M's Ausrüstung
 
Benutzerbild von Peter_M
 
Beiträge: 2.887
Standard

Zitat:
Zitat von ekin06 Beitrag anzeigen
Die Ruhe bewahren und warten bis Updates da sind. Sollten bisher keine Updates erschienen sein -> Ruhe bewarten bis Updates erscheinen.

Sollte man vorhaben einen neuen PC zu kaufen, ist man bei AMD schon mal gut aufgehoben. Viele ARM-Prozessoren, welche z.B. in Smartphone oder Mini-Computern stecken, sind z.B. gar nicht betroffen.

Dieser Typ wusste schon seit 2007, dass Intel "Buggy as hell" ist:
https://marc.info/?l=openbsd-misc&m=118296441702631&w=2
Die Updates sind schon längst erschienen wenn man darauf warten muss wartet man vergeblich.

Wenn der geneigte Leser nun glaubt das AMD sicherer ist, der möge die Fachpresse lesen. AMD ist heute zurück gerudert und hat eingeräumt das sie genauso betroffen sind.

Ich kaufe mir jetzt noch schnell einen Dieselstinker weil in einer Stunde (Neujahr) 1/4 des jährlichen Feinstaubes durch komplett überflüssige Feuerwerke produziert wird und nur 6% durch Diesel.

Die Infos die wir zu allen Themen bekommen sind miserabel. Ich kaufe mir einen Aluhut, Sammelbestellung?
Peter_M ist offline  
Alt 13.01.2018, 00:00   #12
softdown1
Foto-Profi

softdown1's Ausrüstung
 
Benutzerbild von softdown1
 
Beiträge: 161
Standard

Hi Peter,

ich glaube, du nennst das Kind schon beim Namen:
Zitat:
Zitat von Peter_M Beitrag anzeigen
der möge die Fachpresse lesen.
Die Presse (Heise bis vor ganz wenigen Tagen übrigens inkl.) hat nur so vor Halbwahrheiten gestrotzt. Wen wundert es – gab es doch vor dem 09.01.2018 keine Veröffentlichung. Das hat die Sache bisher aber nicht besser gemacht. Viele Artikel sind falsch, unvollständig, fehlerhaft, missverständlich oder schlicht eine Sache für /dev/null.

AMD hat zurück gerudert – das ist richtig. Hier ging es um eine der möglichen Angriffsvektoren für Spectre (nicht Meltdown).
Das Problem ist momentan, dass die meisten Medien einfach nur die Begriffe in die Welt kegeln ohne zu erwähnen, dass beide (Spectre & Meltdown) auf manigfaltige Art und Weise ausgenutzt werden können.

Welches System verwundbar für welchen Angriff ist lässt sich zum einen aus der Hardware ableiten und zum anderen nur testen. Testen zieht sich hin, weil es schlicht keinen fertigen Angriffscode gibt. Das ganze ist bisher ein bestätigter proof of concept – das funktioniert, wird sicherlich auch mal ausgenutzt, ist bisher aber mehr Idee als praktisch im Umlauf. Es sitzen nun also viele Programmierer da und probieren, wie und ob man die Lücken nutzen kann.

Vereinfach gesagt basieren beide Lücken darauf, dass der Prozessor einen Befehl ausführt und während dem „warten“ auf das Ergebnis schon mal vorsorglich weiter berechnet, was nach seiner Meinung als nächstes kommt.
Sobald der ursprüngliche Befehl fertig ist schaut der Prozessor, ob in seinem „Cache“ das vorausberechnete passt und würde das verwenden (erspart sich also die Arbeit den eigentlichen weiteren Programmcode weiter zu bearbeiten – er hat ja schon richtig in die Zukunft geschaut).
Hat er aber falsch in die Zukunft geschaut, dann hat er halt „Müll“ im Zwischenspeicher liegen. Dieser sollte sofort verworfen und gelöscht werden. Das kostet Zeit. Zusammengerechnet bei der Unmenge an Befehlen kostet das viel Zeit.
Die Hersteller (auch AMD) sparen sich also diese Zeit und lassen den alten Datenkrams einfach im Zwischenspeicher liegen (inkl. Passwörtern und was da so rumlungert).
Von hinten durch die Brust ins Auge schaffen es Meltdown und Spectre durch das sehr genaue abtimen zu raten, ob diese Datenpakete noch im Zwischenspeicher liegen, oder bereits im normalen Arbeitsspeicher. Liegen diese noch im Zwischenspeicher des Prozessors, dann können diese in kleinen Paketen (1.500 bps – also Bytes pro Sekunde ) gedumpt und ausgelesen werden.
Bereits bei einem Arbeitsspeicher von 16GB ist das also keine Aufgabe für „mal eben“ sondern dauert – und zwar mächtig. Und diese Zugriffe sind auch zum Teil Lotto – ob man etwas von Wert erwischt oder nicht steht vorher nicht fest. Man kann sich da zwar annähern und einschränken, aber zum jetztigen Zeitpunkt ist das noch nicht wirklich genau (bzw. performant… mit ausreichend Zeit wird es ganau).

Da möchte ich nun kein Intel Bashing betreiben, aber: AMD hat dieses Loch auf Prozessebene (der Prozess – z.B. Firefox – kann sich selber komplett auslesen, aber nicht, was in Paintshop passiert).
Bei Intel (Meltdown & Spectre) kann Firefox gemütlich auf dem ganzen System lesen. Sogar im System selber. Das reicht soweit, dass ich aus einem Virtuellen Linux den Speicher des Windows Hosts auslesen kann. Und das für ein paar Punkte in irgendeinem Benchmark.

Unter dem Strich aber natürlich: wenn ich weiß, dass ich mit Tempo 250 beim Aufschlag an einem Brückenpfeiler sterbe, dann soll es mir egal sein, ob bei dem Auto nur ein Rad oder gleich drei abgefallen sind. Da tun sich AMD und Intel nichts.

Grüßle,
softdown
softdown1 ist offline  
Alt 13.01.2018, 06:27   #13
oz75
Moderator

oz75's Ausrüstung
 
Benutzerbild von oz75
 
Beiträge: 6.011
Standard

Zitat:
Zitat von Peter_M Beitrag anzeigen
Na super, ein Grund mehr das Smartphone auszuwechseln, dann wird es ein IPhone (oje) oder ein Nokia. Nokia verspricht lebenslang Update zu liefern. Darauf muss man wirklich achten wenn man nicht jeden dummen Generationswechsel mitmachen will.
So ist es. Bei meinem Samsung war nach Android 5 Schluss. Hat ja nur 530€ gekostet das Teil - da kann man schon mal jährlich neu zugreifen - im Namen der "Sicherheit".

Ich hatte es nicht eingesehen und nach KRACK und Blueborne mir LineageOS installiert. Das Telefon läuft damit gut und schneller als je zuvor (Android 7.1.2), jedoch sind automatische Android-Updates damit nicht möglich, da das ROM "unofficial" gelabelt ist. Will ich jetzt die neuen Lücken stopfen, so muss ich das Telefon neu aufsetzen. ^^

Wie auch immer. Diese Custom-ROMs sind die einzige Alternative, der Hersteller-Erpressung zu entkommen. Ich gestehe aber, dass es eher ein "Nerd-Dings" ist - und nicht jedermanns Sache. Es gibt jedoch sehr gute Video-Anleitungen auf YouTube. Verlieren können jene, die von den Herstellern verraten und verkauft werden, eh nichts...

Ich weiß jedenfalls, bei welchem Hersteller ich zukünftig -kein- Telefon mehr kaufen werde.

Die Update-Policy des Herstellers sollte zum ENTSCHEIDENDEN Kaufkriterium werden.

Ansonsten - für alle Snapdragon-Freunde:
https://www.heise.de/newsticker/meld...g-3935270.html

Gruß,
Oz
oz75 ist offline  
Alt 13.01.2018, 09:19   #14
L*A*B
.
 
Benutzerbild von L*A*B
 
Beiträge: 1.313
Standard

@softdown1:
Deine Beiträge (#8 und #12) erlebe ich als das Kompetenteste und zugleich für Laien Verständlichste was ich zum Thema "meltdown und spectre" bisher im Internet lesen konnte. Alleine schon von Daher hat sich für mich diese Thread-Eröffnung gelohnt.
L*A*B ist offline  
Alt 13.01.2018, 20:36   #15
dj69
Hesse!

dj69's Ausrüstung
 
Benutzerbild von dj69
 
Beiträge: 2.183
Standard

Zitat:
Zitat von oz75 Beitrag anzeigen
So ist es. Bei meinem Samsung war nach Android 5 Schluss. Hat ja nur 530€ gekostet das Teil - da kann man schon mal jährlich neu zugreifen - im Namen der "Sicherheit".

....

Ich weiß jedenfalls, bei welchem Hersteller ich zukünftig -kein- Telefon mehr kaufen werde.

Die Update-Policy des Herstellers sollte zum ENTSCHEIDENDEN Kaufkriterium werden.

...
Also wird es dann doch ein I-Phone...
Die geben wenigstens so lange Updates für ihren Kram raus wie die verbaute Hardware es leisten kann...
Immerhin.

EDIT: Die Samsung Politik des maximalen Umsatzes bei minimaler Gegenleistung hat mich bisher immer davon abgehalten ein solches Samsung Gerät zu kaufen. Nutze momentan ein Sony (Xperia Z3+) und die haben mich bisher mit Updates versorgt. Bin mal gespannt wie das weitergeht.
dj69 ist offline  
Alt 13.01.2018, 20:40   #16
dj69
Hesse!

dj69's Ausrüstung
 
Benutzerbild von dj69
 
Beiträge: 2.183
Standard

Zitat:
Zitat von L*A*B Beitrag anzeigen
@softdown1:
Deine Beiträge (#8 und #12) erlebe ich als das Kompetenteste und zugleich für Laien Verständlichste was ich zum Thema "meltdown und spectre" bisher im Internet lesen konnte. Alleine schon von Daher hat sich für mich diese Thread-Eröffnung gelohnt.
Das unterschreibe ich mal so vollumfänglich!
Danke
dj69 ist offline  
Alt 13.01.2018, 21:21   #17
softdown1
Foto-Profi

softdown1's Ausrüstung
 
Benutzerbild von softdown1
 
Beiträge: 161
Standard

Freut mich, wenn es ein wenig über die aktuellen Lücken aufgeklärt (und hoffentlich auch beruhigt) hat.

Wie erwähnt sehe ich das momentan noch entspannt, weil das Szenario zu komplex ist, um es großflächig auszunutzen.

Für die neugierigen wie es im Detail funktioniert:

Ein Programm/Script reserviert sich normalen Arbeitsspeicher im PC (nehmen wir mal an, es wäre ein kleines Javascript hier im Bilderforum). Soweit kein Problem und ganz normaler Arbeitsablauf, wenn nicht der Arbeitsspeicher bereits durch etwas anderes belegt wäre (nehmen wir mal Photoshop an, in dem ihr gerade ein Bild bearbeitet).
Das fällt dem Prozessor natürlich auf und er würde das auch unterbinden und mit einem Fehler abbrechen. Dank der „ich schau in die Zukunft“ Funktion wird der Bereich des Arbeitsspeichers der angefordert wurde aber schon mal in den Cache des Prozessors geladen um dort schon mal weiter ausgeführt zu werden.
Das kleine Script vom Bilderforum weiß natürlich, dass ein Fehler folgen wird und provoziert selber einen Fehler, womit das eigene tun und handeln abgebrochen ist, bevor der Prozessor zur Tat schreiten kann.

Hier liegt der erste Fehler – der Cache müsste umgehend gelöscht werden, denn das Zeugs hat dort nichts verloren (das kostet aber Zeit).

Nun kommt die Sache mit dem sehr genauen Zeitvergleich (aka Timer). Nach dem „verfrachten“ in den Cache prüft das kleine Script nun, ob das erfolgreich in de Cache geladen wurde (seeeeehr schnelle Reaktionszeit und daher muss die Messung sehr genau sein) oder im normalen Arbeitsspeicher liegt (sauschnell, aber im Vergleich zum Prozessorcache eher lahm).

Liegt es im Cache schlägt nun der nächste blöde Fehler zu: das Script greift auf den Bereich zu und schnappt sich dort ein paar Fragmente (mehr sind es nicht – je nach Version sind es die nur erwähnten 1.500 Bytes). Der Prozessor weiß natürlich darum, dass unser Bilderforum Script nicht auf den Arbeitsspeicher von Photoshop zugreifen darf und produziert deswegen eine Exception (quasi eine Fehlermeldung) um das ganze zu verhindern und beenden.
Doof nur -> das generieren dieser Fehlermeldung nimmt den normalen Weg einer Befehlsausführung und dauert. Diese Zeit, die es braucht nutzen Spectre und Meltdown um ihre Bröckchen zu sammeln.

In der Praxis sieht es aber so aus: man weiß vorher nicht, in welchem Teil des Arbeitsspeichers was zu finden ist. Ob nur alter Datenmüll, ein langweiliges Bild oder das geheime Passwort für die Bank.
Man hangelt sich also durch den Datenmüll und sucht nach Fragmenten die ein bekanntes Muster aufweisen. Dadurch sieht man schon mal grob um was es sich handelt, was man da gefunden hat.

Gehen wir davon aus, unser Script aus dem Bilderforum hat nach dutzenden Stunden des sinnlosen Herumwühlens ein .GIF gefunden und möchte das nun komplett auslesen – bei Meltdown unter Intel im bekanntesten Verfahren braucht es bei 10MegaByte etwa 113 Minuten.

Soweit dazu, wie es in etwa komplett funktioniert. Warum sind Prozessoren unterschiedlich betroffen und warum sind die Hersteller direkt so schnell felsenfest davon überzeugt? Ganz einfach: im besten Fall gibt es keinen Cache oder Funktionsvorausberechnung (dann ist alles egal) oder ein Prozessor hat für jeden logischen Kern einen eigenen Cache (jeder Kern kann nur auf seinen Cache zugreifen). Sicherlich gibt es noch weitere Kriterien, aber ich bin kein Sicherheitsforscher und habe da nun auch nicht weiter nachgelesen *g*.
Mit einer solchen kleinen Strichliste hangeln sich die Hersteller durch und wissen daher direkt, ob nicht verwundbar, a bisserl, a bisserl viel oder könnte aber müssen wir selber testen.

Das ist zwar nun auch noch keine Bilderbucherklärung, aber genug um grob die Gefahr abzuschätzen.

Grüßle,
softdown

p.s.: für Masochisten gibt es auf Github Beispielcode wie das ganze in der Programmiersprache C aussieht. Ich gestehe, dass man vermutlich sehr krank sein muss, um auf so etwas abgedrehtes zu kommen .
softdown1 ist offline  
Alt 13.01.2018, 21:41   #18
L*A*B
.
 
Benutzerbild von L*A*B
 
Beiträge: 1.313
Standard

Nochmal ein herzliches
Zitat:
...der Cache müsste umgehend gelöscht werden, denn das Zeugs hat dort nichts verloren...
Und am Besten gleich in das bereits erwähnte /dev/null
L*A*B ist offline  
Alt 14.01.2018, 08:51   #19
oz75
Moderator

oz75's Ausrüstung
 
Benutzerbild von oz75
 
Beiträge: 6.011
Standard

Zitat:
Zitat von dj69 Beitrag anzeigen
Also wird es dann doch ein I-Phone...
Die geben wenigstens so lange Updates für ihren Kram raus wie die verbaute Hardware es leisten kann...
Immerhin.

EDIT: Die Samsung Politik des maximalen Umsatzes bei minimaler Gegenleistung hat mich bisher immer davon abgehalten ein solches Samsung Gerät zu kaufen. Nutze momentan ein Sony (Xperia Z3+) und die haben mich bisher mit Updates versorgt. Bin mal gespannt wie das weitergeht.
Wenn man vom Hersteller gut versorgt werden möchte, ist es dann Apple.

Ich habe dienstlich so ein Gerät. Die Versorgung mit Updates ist schlichtweg perfekt.

Ob jetzt die aktuellen Sicherheitprobleme, oder jene, die zukünftig bekannt werden: Android-Geräte sind auf kontinuierliche Updates angewiesen. Ist dies nicht gegeben, sind es Wegwerftelefone.

Mit ein wenig Eigeninitiative kann man der Firmenpolitik mancher Hersteller einen Strich durch die Rechnung machen - und nachhaltig handeln.
Warum soll man ein voll funktionsfähiges Telefon wegwerfen?

Unter https://lineageos.org/

kann man nachsehen, ob das eigene Telefon mit deren "offiziellen ROMs" unterstützt wird. (siehe downloads).
Dann braucht man sich nur -einmal- mit der Neuinstallation seines Telefons beschäftigen. Danach werden alle Updates, teils tagfrisch nachgeschoben.

Schneller und flüssiger in der Bedienung werden die Telefone hierdurch auch, da solche Distributionen Bloatware-frei sind.

@softdown:

Gruß,
Oz
oz75 ist offline  
Alt 14.01.2018, 17:36   #20
Klaus-R
Moderator

Klaus-R's Ausrüstung
 
Benutzerbild von Klaus-R
 
Beiträge: 17.820
Standard

Hallo zusammen,

was ich (leider!) nicht verstanden habe ist, warum solche Angriffe für den Virenscanner nicht greifbar sind??

Es handelt sich doch um eingeschleuste Software, die die Hardwarelücken nutzen will. Software muss doch aber auslesbar und greifbar sein, wenn sie in den Rechner eindringt?!
Was unterscheidet diesbezügliche Schadware von solcher, an die ein Antivirenprogramm sozusagen drankommt??

Grüße

Klaus
Klaus-R ist offline  
Alt 14.01.2018, 18:00   #21
L*A*B
.
 
Benutzerbild von L*A*B
 
Beiträge: 1.313
Standard

@Klaus-R:
Der große Unterschied zu Viren-, Trojaner- etc. Bedrohungen ist der, dass es sich um einen Hardwarefehler handelt, also hausgemacht und mit Software kaum zu fixen ist. Die Virensoftware ist für diesen Bug sozusagen blind. Ich wollte mir zu Jahresende 2018 einen neuen Computer kaufen und denke jetzt ernsthaft daran, lieber noch länger damit zu warten, bis eine neue Chip-Generation ohne diesen Fehler produziert wird.
Bis dahin muß man sich jetzt nicht jeden Tag ängstigen, aber sehr genau überlegen, was man tut - siehe die Ratschläge oben.
L*A*B ist offline  
Alt 14.01.2018, 18:27   #22
softdown1
Foto-Profi

softdown1's Ausrüstung
 
Benutzerbild von softdown1
 
Beiträge: 161
Standard

Hi Klaus,

Virenscanner haben es wohl deswegen nicht besonders einfach, weil der Ablauf selber ganz normal aussieht. Arbeitsspeicher reservieren, beschreiben und wieder lesen ist so ziemlich das ureigenste Arbeitsprinzip und kann systembedingt nicht als gefährlich eingestuft werden.

Die beste Heuristik im Virenscanner hilft nichts, wenn das Problem im CPU Design selber liegt (man kann übertrieben sagen, dass dieses Problem kein Problem ist, sondern eine Funktion die bisher nicht so recht bekannt war).

Sicherlich werden (bald?) im Umlauf befindliche Viren und Würmer die auf Spectre / Meltdown fußen von einem Virenscanner erkannt werden, da sie ja normale Programme sind.

Die Spectre / Meltdown bugs sind aber quasi so simpel, dass man zum ausnutzen kein Programm benötigt. Du surfst meinetwegen n-tv.de an und irgendeines der Werbebanner liefert dir ein wenig Javascript mit, was dann schon reicht. Die paar Zeilen stupides Javascript kann der Virenscanner halt nicht von gewünschtem Code unterscheiden. (1)

Aus genau diesem Grund tun sich nun die Hersteller mit Patches schwer, weil die Funktionen ja richtig sind und von normalem Code praktisch nicht zu unterscheiden.
Daher ist die Sache auch so delikat - an dem im Prozessor verarbeitetem Silizium lässt sich nichts ändern, Mikrokernel updates (also quasi Updates für den Prozessor, bei dem man nachträglich ein paar Funktionen umbiegen kann) können in diesem Fall das Problem nicht beheben. Und Software hat von außen einfach nicht den „richtigen Blick“ auf die Sache – Windows hat z.B. keine Ahnung, was der Prozessor intern so gerade alles treibt und kann daher auch nicht wirklich eingreifen oder abschätzen, was da momentan abläuft (das können Virenscanner natürlich noch viel weniger was denen die Aufgabe auch nicht einfacher macht *g*).

Grüßle,
softdown

(1) Bevor jemand Panik bekommt – geläufige Webbrowser sind gepatcht und nach aktuellem Stand funktioniert der Witz mit ein paar Zeilen Javascript nicht *momentan – wir wollens ja spannend halten – ein wenig Nervenkitzel muss sein*
softdown1 ist offline  
Alt 14.01.2018, 18:39   #23
Klaus-R
Moderator

Klaus-R's Ausrüstung
 
Benutzerbild von Klaus-R
 
Beiträge: 17.820
Blinzeln

Danke soweit!

Noch eine (vielleicht für alle?) wichtige Frage:

Sind die genannten Lücken im Prozessor-Design praktisch aller Rechner eher geeignet für gezielte Angriffe auf "definierte" Opfer oder eher eine Gefahr für Massenangriffe auf Privatpersonen ... also ohne ein gezieltes Interesse an BESTIMMTEN dort vermuteten Daten??

Anders gefragt: Sind hier überhaupt quasi 08/15 User gefährdet oder doch eher mal Firmen, Banken usw??

Grüße

Klaus
Klaus-R ist offline  
Alt 14.01.2018, 19:17   #24
L*A*B
.
 
Benutzerbild von L*A*B
 
Beiträge: 1.313
Standard

Privatpersonen haben einen Desktop-PC.
Firmen haben meist einen Server.

Gefährdet sind beide, Server sind aber vulnerabler, weil das Datenaufkommen viel höher ist und sie für Massendatenaustausch gemacht sind.
Zudem sind Server meist rund um die Uhr angeschaltet, der Speicher also immer aktiv, während Desktop-PC`s in der Regel runtergefahren werden und die Arbeitsspeicherdaten dann gelöscht werden. Meinen Browser lasse ich zusätzlich den Verlauf und die Chronik beim Runterfahren löschen, damit kein Cache auf die Festplatte geschrieben wird.

Nochmal zu Deiner Ausgangsfrage, Klaus, obwohl softdown1 sie bereits exzellent beantwortet hat.
Es ist bei Hardware ähnlich wie bei der grundlegenden Firewall-Regel: Von Außen darf zwar nichts rein, von Innen aber Alles raus.
Und der Virenscanner kann ja nicht den vermeintlichen Handlungswillen des Nutzers sperren.
Entgültig geschützt ist eigentlich nur ein PC, der keinen Netzwerkzugang hat - außer dem Zugriff von Einbrechern...
L*A*B ist offline  
Alt 14.01.2018, 20:07   #25
softdown1
Foto-Profi

softdown1's Ausrüstung
 
Benutzerbild von softdown1
 
Beiträge: 161
Standard

Hi Klaus,

L*A*B sagte es ja bereits, dass gezielte Angriffe auf Mr. Irgendwer wohl nicht die Regel werden.
Massenhaft allenfalls zum abgreifen von Kreditkartennummern oder ähnlichem (also wie bereits heute auch schon). Aber auch da trifft es wieder die, die in Teilen des Netzes rumlurchen, wo einem eh keiner mehr helfen kann. Und sind wir mal ehrlich - wer bei den Mails laufend die "Rechnung.exe" öffnet, den schockt auch kein Spectre und Meltdown .

Mit runtergelassener Hose hat es nun aber faktisch alle großen Webhoster und/oder Betreiber von virtuellen Servern erwischt.
Ich miete mir für 5euro Webspace bzw. eine vServer Instanz und ein paar Speicherbereiche neben mir lümmeln so viele Kreditkartendaten, Passwörter, Personenbezogene Daten.....

Persönlich tippe ich also darauf: der Privatsektor wird weitesgehend von denen bedient, die auch heute schon Viren- und Wurmzeugs verteilen. Warum mit Performancekrücken wie Spectre und Meltdown herumwerkeln, wenn eine gute Malware mir doch auch alles offen legt ohne die Nachteile der neuen Lücken zu haben.
Bei AmazonWebServices (AWS – also deren Hostingprodukte) oder bei Facebook mal ein paar Tage im Arbeitsspeicher rumschnüffeln dürfte aber der feuchte Traum aller Hacker sein. Diese neuen Prozessorfeatures werden also wohl dort zum Horror, wo extrem kritische Daten in großer Menge vorhanden sind (wie L*A*B bereits sagte). Wobei Facebook da noch halbwegs auf der sicheren Seite ist – man muss immer im Hinterkopf behalten, dass man ja „Zugang“ zum Ziel braucht. Bei AWS kann ich mich einmieten, aber bei Facebook komme ich mit Katzenbildchen schauen nicht wirklich weiter .

Grüßle,
softdown
softdown1 ist offline  
Alt 14.01.2018, 20:33   #26
softdown1
Foto-Profi

softdown1's Ausrüstung
 
Benutzerbild von softdown1
 
Beiträge: 161
Standard

Hi L*A*B,

Zitat:
Zitat von L*A*B Beitrag anzeigen
Ich wollte mir zu Jahresende 2018 einen neuen Computer kaufen und denke jetzt ernsthaft daran, lieber noch länger damit zu warten, bis eine neue Chip-Generation ohne diesen Fehler produziert wird
ich bin ungerne der Spielverderber, aber das Warten ist wohl überflüssig. AMD hat mit Ryzen und Threadripper gerade geliefert und kann/wird das Prozessordesign die nächsten Jahre nicht ändern. Für 2018 hat Intel gerade einmal „Ice Lake“ auf der release Liste und das wird die 9. Core Generation.

Ein komplett neues Design zu entwickeln, welches diese Bugs nicht hat wird Jahre dauern. Da haben weder AMD noch Intel noch ARM etwas in der Schublade. Der AMD Threadripper (also das aktuellste, was AMD gerade hat) wurde seit 2014 entwickelt und hat es vor einigen Monaten in die Regale der Händler geschafft. Und das war keine komplett neue Entwicklung, sondern fußte quasi auf den Erfahrungen der davor liegenden Bulldozer Generation.

Alle starten jetzt also bei null bzw. dem Erfahrungsstand von ca. dem Jahr 1997 oder knapp danach (das sind so die CPU Generationen, die von Spectre und Meltdown nicht betroffen sind – also einem guten alten Pentium 233 ).

Vor 2020 wird uns also mit hoher Wahrscheinlichkeit kein neuer Superdupersicherheitsprozessor ereilen.

Beste Grüße,
softdown

p.s.: aber ab Mitte des Jahres dürfte ein guter Zeitpunkt für ein neues System sein. Durch AMD kam ein wenig Bewegung in den Markt, der sich sehr erfreulich auswirkt.
softdown1 ist offline  
Alt 17.01.2018, 11:28   #27
L*A*B
.
 
Benutzerbild von L*A*B
 
Beiträge: 1.313
Standard

Hier eine gute Nachricht zum Thema: https://www.heise.de/ct/artikel/Die-...5-3900646.html
L*A*B ist offline  
Alt 17.01.2018, 23:08   #28
skynyrd
Foto - Padawan

skynyrd's Ausrüstung
 
Benutzerbild von skynyrd
 
Beiträge: 5.320
Standard

Ja, das mit den neuen "ausgebesserten" CPUs wird mindestens 2 Jahre dauern, ich rechne mit rund 3 Jahren. Komplett neue Chips zu kreieren ist ein tierischer Aufwand ... Die Ausführungen von softdown sind ja tiptop, da kann ich nur zustimmen.
Wer noch CPUs einsetzt, die von den Problemen nicht betroffen sind, werkelt noch mit Windows95 oder älter rum und der sollte sich DRINGENDST vom Internet fernhalten ... da wären alle anderen möglichen Bedrohungen VIIIIIIIEL schlimmer als meltdown und spectre.

Das blöde an der momentanen Situation; wir können nix dafür, haben zu wenig Geld aufm Konto um für die "bösen Buben" auch nur ansatzweise spannend zu sein, aber die Gefahr besteht nunmal und wir verlieren garantiert Leistung. Der Leistungsverlust für den Normal-User wird, egal wie neu die Hardware ist, grösser sein, als Gefahrenpotential für Normal-User.
skynyrd ist offline  
Antwort

Themen-Optionen
Ansicht


Ähnliche Themen
Thema Autor Forum Antworten Letzter Beitrag
Meinungen zum Tamron SP AF 17-50mm f/2,8 XR DI II LD Asph. superbobbelsche76 Canon Objektive 11 29.10.2012 20:07
Ich bin neu und brauche Meinungen JorgeMeyer Objekte 4 05.04.2012 22:53
Zeiss Ikon,Bilora,Dancora Meinungen/Einschätzungen Anduril Analoge Fotografie Forum 4 08.02.2012 21:50
Produktbilder Meinungen Anduril Fotografie Tipps & Tricks 37 26.09.2011 16:34
Aufnahmen und Meinungen und Tipps zur Panasonic LX3 sigmacrazy Kompaktkameras Forum 19 27.04.2010 12:58


Alle Zeitangaben in WEZ +1. Es ist jetzt 18:37 Uhr.


vBulletin® 2000-2010, Jelsoft Enterprises Ltd.

SEO by vBSEO 3.6.0 ©2011, Crawlability, Inc.