Spectre: AMD kündigt Microcode-Updates an, zunächst für Ryzen (Threadripper) & Epyc
AMD bereitet zurzeit Microcode-Updates vor, um eine Anfälligkeit für die Sicherheitslücke Spectre zu schließen. Dem Wortlaut nach zu urteilen, wird der Microcode mittels Patches über die Betriebssysteme, beispielsweise Windows-Updates, aktualisiert und nicht per BIOS. AMD möchte zunächst Ryzen und Epyc versorgen, ältere Prozessoren folgen.
Intel hat bereits erste Microcode-Updates zur Verfügung gestellt, auf deren Basis die Mainboard-Hersteller aktualisierte BIOS-Versionen entwickeln. Asus und MSI haben mit der Verteilung begonnen, die anderen Hersteller dürften bald folgen. Unklar war bislang, wie genau AMD die Situation handhaben wird. Für die erste Google-Project-Zero-Variante (GPZ 1, Spectre) alias Bounds Check Bypass gibt es Updates über die Betriebssysteme - AMD plant übrigens, dass Microsoft die Verteilung der Windows-Updates für ältere Opteron-, Athlon- und Turion-Systeme bald wieder aufnimmt, nachdem ein Fehler zu Problemen führte.
In einem neuen Blog-Eintrag geht der Chiphersteller nun auf die zweite GPZ-Sicherheitslücke, die ebenfalls unter die Kategorie Spectre fällt, ein. Die Branch Target Injection, also ein Angriff über die Sprungvorhersage, soll durch eine Kombination aus Sicherheits-Updates auf Betriebssystemebene und aktualisiertem Microcode verhindert werden. AMD geht weiterhin davon aus, dass ein Ausnutzen der Lücke auf den hauseigenen Prozessoren aufgrund von architektonischen Unterschieden zu Intel schwierig sei, weshalb die Updates optional verteilt würden.
Dem Wortklang zufolge wird AMD die Microcode-Updates nicht über neue BIOS-Versionen der Mainboard-Hersteller, sondern über OS-Patches bereitstellen. Die meisten Spieler müssten demnach auf Windows-Updates warten. Wortwörtlich heißt es: "AMD wird den Kunden und Partnern diese Woche optionale Microcode-Updates für Ryzen- und Epyc-Prozessoren zur Verfügung stellen. Wir erwarten, die Updates für unsere vorherigen Generationen in den kommenden Wochen bereitstellen zu können. Diese Software-Updates werden über Systemanbieter und Betriebssystementwickler angeboten [...]". In der Vergangenheit hatte Intel ebenfalls schon Microcode-Updates über Windows-Updates verteilt. Über die genaue Funktionsweise der Patches spricht AMD nicht. Für Meltdown seien die CPUs wie zuvor kommuniziert nicht anfällig.
2. Ja, das wäre ärgerlich, aber auch nicht so tragisch, da wäre ein Diebstahl der Geldbörse in der Stadt ärgerlicher
3. Nein, nur Onlinebanking mit TAN Generator, Da kann niemand etwas mit Daten anfangen.
2. Auch für diese Accounts wird ein Passwort benötigt
3. Und schon wieder wird ein Passwort benötigt
Es können also Prinzipiell alle Passwörter ausgelesen werden und da der Mensch ein Gewohnheitstier ist werden meist gleiche/ähnliche Passwörter verwendet.
Natürlich ist das aktuell wohl noch nicht allzu gefährlich aber trotzdem sind geringe 1-3% Leistungseinbusen definitiv die bessere Option.
Ah, dir fällt also nun auch der semantische Unterschied zwischen "nahe Null" und "schwierig" wie heise auf.
Die Detailfragen kann leider niemand so genau beantworten, wie du es gerne hättest, denn genau diese Details werden nicht offen kommuniziert. Ob "ein Intel gepatcht unsicherer ist als ein AMD", weiß niemand. De facto sieht AMD Möglichkeiten, hält sie selbst für schwierig zu realisieren, aber eben nicht mehr für unmöglich.
Bisher sind das alles isolierte Aussagen von Herstellern. Die Öffentlichkeit weiß gerade mal seit kurzer Zeit von den Angriffen. "Was machbar ist", wird sich zeigen.
Wenn du meinst, die Abwägung zwischen "Sicherheitslücke patchen" oder "ignorieren" führt letztendlich nur zur Konklusion "Computer aus", dann praktiziere das halt.
Die Meisten wollen auf ihren PC wohl eher nicht verzichten und wissen: 100% Sicherheit gibt es nicht. Aber ein "so sicher wie möglich" sollte angestrebt werden.
Zweifelsohne muss ein Angreifer bei AMD anders vorgehen als bei Intel und es kommt am Ende darauf an, was dieser letztendlich erreichen möchte (er einen gezielten Client angreifen will oder ungerichtet attackiert, wobei im letzten Fall wohl die kreative Energie auf Intel-Prozessoren verwendet wird, weil die höhere Verbreitung mehr Profit verspricht).
Aber aus dem Schneider ist AMD damit eben noch nicht.
Selbst ein "gepatchter" Intel ist, zumindest mit variation des Angriffsvektor, immer noch unsicherer als ein AMD.
So why not?
Wirst du zum Zocken ja bestimmt Steam, Origin oder irgendeine andere Plattform nutzen, die Zugangsdaten hat. Von den ganzen Logindaten wie z.B. zu diesem Forum und anderen Dingen a la Facebook oder Reddit oder sonstwo ganz zu schweigen.
Führst du wirklich keine sicherheitssensitiven Aktionen wie Onlineshopping oder -bezahldienste auf dem Rechner aus? Schwer zu glauben.
2. Ja, das wäre ärgerlich, aber auch nicht so tragisch, da wäre ein Diebstahl der Geldbörse in der Stadt ärgerlicher
3. Nein, nur Onlinebanking mit TAN Generator, Da kann niemand etwas mit Daten anfangen.
Du bekommst es nicht mit, wenn man deine Daten ausliest.
Wirst du zum Zocken ja bestimmt Steam, Origin oder irgendeine andere Plattform nutzen, die Zugangsdaten hat. Von den ganzen Logindaten wie z.B. zu diesem Forum und anderen Dingen a la Facebook oder Reddit oder sonstwo ganz zu schweigen.
Führst du wirklich keine sicherheitssensitiven Aktionen wie Onlineshopping oder -bezahldienste auf dem Rechner aus? Schwer zu glauben.