Meltdown & Spectre: Intel bringt 2018 Core-CPUs mit Hardware-Sicherung
Intel hat in einem Blog-Beitrag einen Einblick in die Situation rund um die Sicherheitslücken Meltdown und Spectre gegeben. Für alle Prozessoren der letzten fünf Jahre sollen inzwischen Microcode-Updates zur Verfügung stehen. Interessant ist die Angabe zu Änderungen auf Hardware-Ebene: Noch 2018 sollen neue, sichere Desktop-CPUs erscheinen. Womöglich ist Cascade Lake-X gemeint.
Im Falle von AMD ist bereits bekannt, dass die Mikroarchitektur Zen 2 Änderungen erhalten wird, um entsprechende Prozessoren auf Hardware-Ebene gegen Spectre-Angriffe abzusichern. Voraussichtlich im ersten Halbjahr 2019 werden die Ryzen-3000-Modelle im 7-nm-Prozess erscheinen. Intel legte den Fokus beim Thema Sicherheit bislang auf Microcode-Updates (teilweise über Windows Update), um die hauseigenen Core-CPUs gegen die Spectre-Variante 2 (Branch Target Injection) und Meltdown (Rogue Data Cache Load) abzusichern. Spectre 1 (Bounds Check Bypass) soll über Software-Updates, beispielsweise über Windows, verhindert werden.
In einem Blog-Beitrag hat Intel nun erstmals die Zukunft umrissen. Für den Desktop-Bereich sollen noch im zweiten Halbjahr 2018 neue CPUs erscheinen, die auf Hardware-Ebene gegen Spectre 2 und Meltdown abgesichert seien. Dazu setze der Chiphersteller auf "Partitionierungen als zusätzliche 'Sicherheitswälle'" im Adressraum, sodass Programme nicht auf Daten zugreifen können, auf die sie nicht zugreifen können sollen. Um Spectre 1 sollen sich auch zukünftig Software-Patches kümmern.
Um welche CPUs es sich handelt, verrät der Chiphersteller nicht. Es ist lediglich die Rede von Core-Modellen der achten Generation (Core i 8000). Im gleichen Satz spricht Intel auf Seiten der Server-Produkte von Cascade Lake-SP, der Hardware-Sicherungen gegen Spectre 2 und Meltdown enthalten soll. Die Vermutung liegt nahe, dass mit der achten Core-Generation Cascade Lake-X, dem Desktop-Ableger von Cascade Lake-SP, für den Sockel 2066 gemeint sein könnte. Dessen Veröffentlichung wird im kommenden Spätsommer erwartet und würde somit terminlich passen. Alternativ gibt es Spekulationen über einen neuen Achtkern-Die innerhalb der Coffee-Lake-S-Familie, um den es in der Gerüchteküche jedoch verdächtig ruhig geworden ist. Cannon Lake - in welcher Form auch immer er letztendlich erscheinen wird - ist hingegen längst fertiggestellt und verzögert sich offenbar nur wegen der schlecht laufenden 10-nm-Fertigung, wohingegen Ice Lake als zweite 10-nm-Generation eher zur neunten Core-Gen gehören dürfte.
Zu Kabini: AMD hält sich leider _sehr_ zurück mit Details zur Angreifbarkeit der eigenen CPUs. Ich gehe allerdings davon aus, dass man sehr laut ein klares "100 Prozent sicher" gebrüllt hätte, wären die kleinen Architekturen nicht ebenfalls in der Lage, die bedenklichen Instruktionen spekulativ auszuführen. Wenn du den Aufwand mit schreibgeschützten Datenträgern respektive Reboots in Betracht ziehst, solltest du aber auch so relativ sicher sein. Meltdown und Spectre können keine Schreibzugriffe durchführen. Ihre Gefahr besteht darin, dass sie unter Missachtung sämtlicher, selbst hardware-basierter Sicherheitsbarrieren alles mithören können, was vom gleichen Prozessorkern berechnet wird, wie der Programmcode des Angreifers. Wenn man nicht permanent infiziert wurde (dann hat man wesentlich größere Probleme), muss der Angreifer aber nach jedem Neustart erst einmal seinen Code auf deinem System zum laufen zu bringen. Ein System, dass keine mit dem Internet verbundenen Tools mit Plug-In-Unterstützung ausführt und dessen Browser seit dem letzten Reboot keinen Zugriff auf potentiell infizierte Seiten mit Javascript (oder gar Java oder Flash) hatte, sollte der Theorie nach ebenfalls sicher sein. Also Autostart bereinigen, Rebooten, Online-Banking machen – fertig.
(Soweit jedenfalls meine Einschätzung. Garantieren kann ich natürlich nicht, dass ein Mainboard-Redakteur mit Interesse an CPU-Architekturen ein Sicherheitsdetail übersieht.)
Das merkt man, daß dich das bereits beschäftigt hat, finde ich auch sehr interressant.
Ja, das mit Brain 1.0 ist schon wieder interressant, danke für den Tipp. Meine Güte, dazu gab es 7 Milliarden Downloads.
Ich habe heute mein Netbook auf Win10Pro umgestelt und eine ältere 250 Gbyte SSD eingebaut und während der Inst. von Win. auch einen Bericht eines IT-Experten gelesen, leider von der Konkurenz PC-Welt 2018/02 zum Thema, Hauptaugenmerk Verschlüsselung/Truecrypt/Veracrypt auch in Verbindung Quantencomputer, recht Wissenswertes gelesen, 50% des Ganzen beruht wohl auf "der" richtigen Verschlüsselung.
Diese 3 Interviews sind interressant.Sorry PCGH.
Nein, nartürlich gibt es keine Garantie und stimmt, auch Java hatte ich vergessen aber das wäre das geringere Problem. Ok., keine Plug-In!
Ein Betriebssystem das schreibgeschützt ist wäre ja im Prinzip wie ein dicker Eprom nur mit der Schwachstelle Ram in das sich freilich Angreifer austoben können aber wie gesagt,
ein anderen Weg sehe ich hier auch nicht. Eigentlich in dieser Richtung alles nichts neues, Bootsysteme auf CD oder DVD haben wir schon vor über 10 Jahren erstellt.
Nächstes Wochenende werde ich einige nützliche Freeware Tools, aus eurer PCGH- Sonderausgabe 02/2015 zum Thema Windows 10 (DVD), und stelle mir ein zugeschnittenes System zusammen.
Evt. werde ich auch mit einem kleinen Win-Me ein paar Versuche starten. Alles nur eine Anpassung der Software auf einem externen und schreibgeschützten Datenträger, muss halt viel nachlesen aber macht auch Spass
Ich brauche ja nicht viel, eine Bootpartition, eine graphische Oberfläche, ein Netzwerk und einen Browser.
Edit:
Auch ein Mainboard-Readakteur ist nur ein Mensch, Nein, es gibt niemals eine Garantie für Nichts.
Eine Meinung aus der Fachwelt ist sehr wichtig, man hat nicht ansatzweise das Wissen oder kann an alles denken, das ist nicht möglich.
Als Normalanwender ist das schon sehr wichtig andere Aussagen, Meinungen zu bekommen, ob der Weg vollkommen daneben ist oder in eine Richtung geht, die sich evt. lohnt hier einiges an Zeit zu investieren
Wir sind nun mal alle abhängig von praxisnahen und auch fundiertem Wissen.
Gruss
wolflux
Edit:
GData Total-Security hat nun auch im seinem Startfenster für Meltdown und Spectre ein Prüfprogramm.
Coole Sache, auch wenn wir schneller waren.
Sorry mal wieder Dpost, mein Smartphone zickt langsamer bei 2G.
Ich finde solche extrem hardware-nahen Dinge immer äußerst spannend, deswegen habe ich mich auch privat einige Stunden mit Spectre und Meltdown beschäftigt. Zu normalen Viren kann ich dagegen eher wenig sagen – außer das man meiner Erfahrung nach mit Brain 1.0 und einer funktionierenden Firewall sehr viele Probleme umgehen kann.
Zu Kabini: AMD hält sich leider _sehr_ zurück mit Details zur Angreifbarkeit der eigenen CPUs. Ich gehe allerdings davon aus, dass man sehr laut ein klares "100 Prozent sicher" gebrüllt hätte, wären die kleinen Architekturen nicht ebenfalls in der Lage, die bedenklichen Instruktionen spekulativ auszuführen. Wenn du den Aufwand mit schreibgeschützten Datenträgern respektive Reboots in Betracht ziehst, solltest du aber auch so relativ sicher sein. Meltdown und Spectre können keine Schreibzugriffe durchführen. Ihre Gefahr besteht darin, dass sie unter Missachtung sämtlicher, selbst hardware-basierter Sicherheitsbarrieren alles mithören können, was vom gleichen Prozessorkern berechnet wird, wie der Programmcode des Angreifers. Wenn man nicht permanent infiziert wurde (dann hat man wesentlich größere Probleme), muss der Angreifer aber nach jedem Neustart erst einmal seinen Code auf deinem System zum laufen zu bringen. Ein System, dass keine mit dem Internet verbundenen Tools mit Plug-In-Unterstützung ausführt und dessen Browser seit dem letzten Reboot keinen Zugriff auf potentiell infizierte Seiten mit Javascript (oder gar Java oder Flash) hatte, sollte der Theorie nach ebenfalls sicher sein. Also Autostart bereinigen, Rebooten, Online-Banking machen – fertig.
(Soweit jedenfalls meine Einschätzung. Garantieren kann ich natürlich nicht, dass ein Mainboard-Redakteur mit Interesse an CPU-Architekturen ein Sicherheitsdetail übersieht.)
Ich bin mehr für das Praktische, Kleine und Handliche.
Ich fühle mich zwar nicht verfolgt
Ich werde mir 10.5" Asus N570 kaufen. Kostet weniger als 100.00€ und auch hier habe ich irgendwo DDR3 Speicher herumliegen.
Nochmal viiiielen Dank für diesen Tipp.
Gruss
Edit:
Ich habe nochmals im Netz nachgesehen, da ich ein Amd Netbook habe mit einem A4-5000, also Kabini und der wird unter den Mobile nirgendwo als Spectre gefährdet gelistet.
Durch seine Architektur müsste er aber dabei sein.
Eigentlich könnte man ja einen Boot-Datenträger schreibgeschützt fixen damit sich so niemals ein Angreifer verewigen kann.
Eine hohe Verschlüsselung müßte auch mehr Absicherung hergeben.
Die Schwachstelle wäre bis zum nächsten Bootvorgang der Ram.
Malware wird eh im Ram entpackt und agiert von dort und erschreckend ist, das es fast zu 100% eh nicht von den Antiv. Programmen erkannt wird.
Wenn man sieht bzw. Vergleiche anstellt, wie Antivirenprogramme funktionieren, zweifele ich an deren Daseinsberechtigung.
Ein anderer Gedanke ist, jede Hardware wiird in Win. mit Software eingebunden, könnte man hier nicht auch eingreifen in dem man bestimmte Funktionen der CPU disabled?
Warum gibt es Antiv.programme die nichts kosten, diemüssen auch gewartet werden, umsonst?
Sind diese genauso gut und ich sage, umsonst ist nichts.
Es scheint ein Kampf gegen Windmühlen zu sein. Ist der Einsatz von Antivirensoftware uberhaupt sinnvoll? | ZDNet.de
Ich weiß es ist alt, aber ehrlichere Aussagen sind schwer zu finden.
Man findet Berge von Informationen im www ohne einen vernünftigen Wissensstand zu bekommen.
Ich resigniere so allmählich, klar, mein Problem obwohl ich sicher nicht alleine da stehe
aber evt. schreibt ihr mal darüber falls das Thema Systemsicherheit nicht zu heiß ist.
Gruss
wolflux
Wenn es dir nur um die Sicherheit geht und du sowieso kein ganzes System rumliegen hast, solltest du gezielt besagte alte Atoms kaufen, erkennbar an der Hyper-Threading-Unterstützung. (M)ein Netbook mit Pineview-Atom N570 (2× 1,67 GHz) ist beispielsweise noch schnell genug für die meisten Webseiten und würde Sockel-370-Celerons locker, vermutlich auch die meisten Pentium 4s in die Tasche stecken. Die Cedarview-Nachfolger sind DDR3-1066 und bis zu 2× 1,87 GHz noch ein Bisschen flotter unterwegs und nutzen ebenfalls noch die In-Order-Bonnell-Architektur ohne speculative Execution. (Der Server-Ableger Briarton im Atom S1289 bietet sogar 2 GHz, reichliche PCI-E für einen vollerwertigen Rechner und vor allem DDR3-1333. Damit dürfte er die derzeit beste x86-CPU mit 100 prozentigem Spectre-Schutz sein und möglicherweise auch die meisten Spectre-sicheren ARM-Designs in die Tasche stecken.)