Spectre: Intel zieht BIOS-Updates zurück, Torvalds giftet erneut [Update 2]
Das Problem für Intel mit den Sicherheitslücken Meltdown und Spectre ist um ein weiteres Kapitel reicher, bei dem Intel erneut nicht gut aussieht. Die Microcode-BIOS-Updates, die Intel schon für die Mainboard-Partner bereitgestellt hat, sollen nicht weiter verwendet werden, weil darin ein Fehler gefunden wurde, der für Reboots sorgt. Bei Linux machen die Intel-Patches Linus Torvalds erneut wütend.
Update 2: Mittlerweile warnen auch Komplett-PC-Anbieter wie Dell oder Acer, die in der ersten Welle ausgelieferten Spectre-Updates zu installieren.
Dell schreibt: "Intel hat neue Anleitungen zu "Neustartproblemen und unvorhersehbarem Systemverhalten" mit dem Mikrocode, der in den BIOS-Updates für Spectre enthalten ist (Variante 2), CVE-2017-5715, veröffentlicht. Dell weist darauf hin, dass derzeit keine Kunden das BIOS-Update für die Sicherheitsanfälligkeit von Spectre (Variante 2) bereitstellen sollten. Wir haben die betroffenen BIOS-Updates von unseren Support-Seiten entfernt und arbeiten mit Intel an einem neuen BIOS-Update, das einen neuen Mikrocode von Intel enthalten wird.
Wenn Sie das BIOS-Update bereits bereitgestellt haben, können Sie, um unvorhersehbares Systemverhalten zu vermeiden, zu einer früheren BIOS-Version zurückkehren. "
Bei Acer heißt es: "Wir testen derzeit BIOS/UEFI-Updates mit Prozessor-Mikrocode-Patches, die helfen die Schwachstellen zu entschärfen. Wir werden diese Seite laufend aktualisieren, sobald neue Updates verfügbar sind. Wir empfehlen Ihnen deshalb, diese Webseite regelmäßig auf Aktualisierungen zu überprüfen.
Hinweis: Derzeit empfehlen wir nicht, Ihr BIOS zu aktualisieren, wenn Ihr System über eine Core i-CPU der 4. (Haswell) oder 5. (Broadwell) Generation verfügt, da dies zu Systeminstabilität führen kann."
Update 1: Gestern berichteten wir, dass Intel davor warnt, die in der ersten Welle zur Verfügung gestellten BIOS-Updates gegen Spectre zu installieren, da sie für ungewollte Reboot-Probleme sorgen könnten. Noch ist nicht bekannt, wann die Mainboard-Partner überarbeitete BIOS-Updates zur Verfügung stellen. Gegenüber PCGH äußerten sich die Partner aber unisono, dass "weitere Updates in Kürze erscheinen". Bis dahin ist es interessant zu prüfen, ob die bereitgestellten BIOS-Updates weiter verfügbar sind oder zurückgezogen wurden, wie es eigentlich logisch erscheint.
Bei Asrock finden sich die bisher veröffentlichten Spectre-Updates tatsächlich nicht mehr - in der BIOS-Liste sind die Updates nicht mehr zu sehen. Bei EVGA hingegen sind die bisher veröffentlichten Spectre-Patches weiterhin verfügbar. Bei Gigabyte gibt es unter anderem für Z370-Boards Patches vom 22.1., die den CPU-Microcode auf den Stand vor dem Spectre-Update aktualisieren - es ist davon auszugehen, dass es sich um die Spectre-Updates der ersten Welle handelt. Auch bei Asus finden wir auf den Produktseiten noch Downloads der offenbar originalen Spectre-Updates von Anfang Januar (exemplarisch) - Asus betont aber, dass sie diese nicht vom Reboot-Problem betroffen seien. Trotzdem arbeite man weiter an Updates, die dann bereits die neue Version des Microcode-Updates beinhalten werden. Bei MSI wurden die bereits veröffentlichten Updates für Z370-Boards zurückgezogen.
Intel hat in einer Mitteilung alle Partner und auch Endkunden dazu aufgerufen, die bislang bereitgestellten Microcode-Updates für Mainboards nicht mehr zu installieren, da sie für Probleme sorgen können. Die Ursache, die bei Haswell- und Broadwell-Prozessoren zu Neustarts führen kann, sei gefunden und neue Microcode-Updates würden schon getestet und dann bereitgestellt. Daher sollten die zuvor veröffentlichten BIOS-Updates nun doch nicht mehr verwendet werden. Der Fehler tritt im Patch gegen Spectre 2 auf.
Auffällig ist, dass Intel in der Mitteilung nur die Probleme mit Haswell und Broadwell anspricht, obwohl seit einigen Tagen auch bekannt ist, dass andere Prozessoren mit den Microcode-Updates ebenfalls Probleme haben. Bisher hatte Intel trotzdem zur Installation geraten und macht nun also einen Schritt zurück.
Die Art und Weise, wie Intel vor allem mit der Sicherheitslücke Spectre 2 umgeht, hat auch erneut für harsche Aussagen von Linux -Schöpfer Linus Torvalds gesorgt. Bei LKML.org ist ein Beitrag von Torvalds zu lesen, indem er Intel vorwirft, gar nicht an einer richtigen Lösung interessiert zu sein. Die gelieferten Patches würden zeigen, dass Intel absichtlich einen "hässlichen Hack" anbietet, der so viel Leistung koste, dass ihn niemand grundsätzlich aktivieren möchte, denn das würde sonst schlecht bei CPU-Benchmarks aussehen.
Eventuell würde Intel so handeln, weil irgendwo ein Anwalt eine Klage vermeiden wollte, aber das dürfe kein Grund gegen gute Patches sein. "So wie es ist, sind die Patches kompletter, völliger Müll. Sie machen buchstäblich geisteskranke Dinge. Sie machen Dinge, die sinnlos sind. Das macht alle deine Argumente fragwürdig und verdächtig. Die Patches machen Dinge, die nicht vernünftig sind. WAS ZUR HÖLLE GEHT DA VOR?", so Torvalds zu einem Entwickler. "Wir brauchen etwas Besseres als diesen Müll."
Also bitte, es war mehr als genug Zeit sich Lösungen zu überlegen, bzw. eine Strategie wie man damit umgeht. Denn alle Betroffenen wussten DAS es öffentlich gemacht wird.
Zu behaupten es wäre jahrelang nix passiert...
Ich habs in einem anderen Thread schon geschrieben. Ist eine Weile her, da hat sich ein Admin bei Firefox im Forum beschwert weil nach einem FF Update die Website des von Ihm betreuten Unternehmens als unsicher geflaggt wurde.
Seine Argumentation: "Ich verwende die gleichen Protokolle seit Jahren, nie ist was passiert!" Stunde später war die Firma gehackt, im gleichen Thread wurde genüsslich aufgelistet welche, seit Jahren bekannten Sicherheitslücken alle dort existiert haben.
Warum ist nix passiert? Niemand wusste dass es diese Firma gibt bzw. es hat einfach niemanden gegeben der dort angegriffen hat. Sowas ist Security-by-Augen-verschliessen-weil-was-ich-nicht-sehen-kann-sieht-mich-auch-nicht.
Dass Medien hier berichten und dadurch ein anderer spin entsteht, irgendwo normal. Auf der anderen Seite, garnicht schlecht weil so auch der letzte Otto Normal User mitbekommen haben müsste dass Sicherheit von IT Systemen auch jeden verdammten Rechner zu hause betrifft.
Hoffentlich positiver Nebeneffekt: User die sich nie Gedanken darüber gemacht haben befassen sich endlich mal damit.
da wird einen geholfen
(lacht)
Also bitte, es war mehr als genug Zeit sich Lösungen zu überlegen, bzw. eine Strategie wie man damit umgeht. Denn alle Betroffenen wussten DAS es öffentlich gemacht wird.
Zu behaupten es wäre jahrelang nix passiert...
Ich habs in einem anderen Thread schon geschrieben. Ist eine Weile her, da hat sich ein Admin bei Firefox im Forum beschwert weil nach einem FF Update die Website des von Ihm betreuten Unternehmens als unsicher geflaggt wurde.
Seine Argumentation: "Ich verwende die gleichen Protokolle seit Jahren, nie ist was passiert!" Stunde später war die Firma gehackt, im gleichen Thread wurde genüsslich aufgelistet welche, seit Jahren bekannten Sicherheitslücken alle dort existiert haben.
Warum ist nix passiert? Niemand wusste dass es diese Firma gibt bzw. es hat einfach niemanden gegeben der dort angegriffen hat. Sowas ist Security-by-Augen-verschliessen-weil-was-ich-nicht-sehen-kann-sieht-mich-auch-nicht.
Dass Medien hier berichten und dadurch ein anderer spin entsteht, irgendwo normal. Auf der anderen Seite, garnicht schlecht weil so auch der letzte Otto Normal User mitbekommen haben müsste dass Sicherheit von IT Systemen auch jeden verdammten Rechner zu hause betrifft.
Hoffentlich positiver Nebeneffekt: User die sich nie Gedanken darüber gemacht haben befassen sich endlich mal damit.
Ganz ehrlich, ich glaube das Riskio ist deutlich höher, dass mir jemand durch einen ganz normalen Virus meine Bankdaten klaut, als, dass Meltdown oder Spectre dafür genutzt wird, was ja scheinbar nicht einfach ist.
Die geben den jeweiligen Firmen in der Regel doch genug Zeit um einen Fix zu liefern.
Ohne eine Deadline würde doch keine Firma irgendwas patchen. Nur durch den medialen Druck bewegt sich da was.