News OpenBSD: Deaktiviertes Hyper-Threading zum Schutz gegen Spectre

[Sebbi]

hmmm wie schnell war der Angriff gleich nochmal .... glaube 1 Byte / Stunde konnte gesichert ausgespäht werden ... WOW .... nun werden gleich ganze Datenbanken ausgespäht dadurch.

Aber im Ernst, den Privatnutzer wird das ganze kaum treffen, schon alleine wenn man Scripte von Werbung blockt, die die Lücke auanutzen ist man relativ sicher (90% der exploits auf Webseiten kommen ja über infizierte und schlecht gewartete / gesicherte Werbesdienst .... aka Adblock ist Notwehr!)

Ansonsten gillt wie immer, keine gleichen Passwörter für alles usw.

 

[psyabit]

Ist zwar bisschen Off Topic aber bezüglich Sicherheit OS Konzepte gefält mir QubesOS extrem gut. Einfach ausgedrückt kann mit XEN Hardware Virtualisierungen für jegliche Bedürfnisse ein eigenes "OS" von einem Template erstellt werden. Standard gibts Fedora und Debian als Templates. Vielleicht interessiert es ja wen

 

[Kristatos]

Hyperthreading abschalten, wird ja immer besser. Gleich 30% Leistungsverlust auf einmal + die 10% von den Meltdown/Spectre Patches.

 

[Lord_X]

@Kristatos
So ein Quatsch! 1) Als ob OpenBSD jemand gutes Multi-Threading gehabt hätte. 2) Du weisst wo OpenBSD vornehmlich eingesetzt wird? Bitte sag jetzt nicht auf dem Desktop oder als Web/DB- Server.

 

[Hill Ridge]

Die Leute haben Prozessoren gekauft, die eine bestimmte Leistung hatten

Falsch!
Zugesichert wird eine Taktrate, die ist auch nach den Patches nicht geringer.
Zugesichert wurde eine bestimmte Größe an Cache, auch der wird nicht geringer.

 

[Mickey Cohen]

Stimmt, im BIOS lässt sich das ja nicht OS-unabhängig abschalten...
Lediglich die Aktivierung im laufenen Betrieb geht halt nicht. Aber was genau das nun mit Windows zu tun hat?

man hat von notebooks und fertig-pc's gehört, dass deren biosse/uefis diese einstellungsmöglichkeit manchmal garnicht anbieten...

 

[Numrollen]

Wie viele braucht es denn? Lass das doch mal bei so einem shared Hoster auf ein paar Maschinen erfolgreich sein, wie viele Websites und Shops reißt es da wohl über den Jordan?

Wenn du was mit mehreren virtuellen Maschinen betreust hast du jetzt zumindest die Wahl zwischen Gerichtsverfahren und weniger Performance, so schnell könntest du gar nicht gucken wie ich das anschalte.

"anschalten"? Man ist so oder so gezwungen dazu das zu übernehmen was HP/DELL und co. einem an Firmware für die Server gibts, da is nix mit Registryrumpfuschen. Mir ging es auch nicht darum mich dagegen zu wehren. Es hat einfach einen faden Beigeschmack. Bisher keine Ausnutzung und trotzdem geht weltwelt paar Millionen an Ghz verloren deswegen, es wird immer schlimmer laut den Berichten und gefühlt ist trotz mehrere Biosupdates, die Zeit kosten, sicherlich nicht alles behoben. Für große Hoster/Blah sind das ja Summen auf denen sie sitzen bleiben.

Ergänzung (20. Juni 2018)

Falsch!
Zugesichert wird eine Taktrate, die ist auch nach den Patches nicht geringer.
Zugesichert wurde eine bestimmte Größe an Cache, auch der wird nicht geringer.

Quatsch. "Zugesichert". Die haben CPUs verkauft und größere Kunden messen anhand deren Leistung Ihren Bedarf oder andersrum: Weger der Lücke reichen die Ressourcen nicht mehr aus und es muss für die gleiche Leistung wieder Geld ausgegeben werden. Sowas geht eben nicht.

 

[Hill Ridge]

Quatsch. "Zugesichert".

Du irrst dich!

Weger der Lücke reichen die Ressourcen nicht mehr aus und es muss für die gleiche Leistung wieder Geld ausgegeben werden.

Dein Pech!

Sowas geht eben nicht.

Wenn du das so siehst, kannst du gerne Klage einreichen.

Was du GLAUBST ist vollkommen egal, darum geht es hier einfach nicht...

 

[q3fuba]

Wenn du das so siehst, kannst du gerne Klage einreichen.

Wenn jeder mal so Klug wäre sich zu wehren anstatt einfach immer wieder auf die Fresse zu bekommen und dann noch "Danke" zu sagen, wär das schon mal ein Anfang
Aber dazu ist der Durchschnitts IQ noch zu niedrig, leider

 

[Hill Ridge]

Die meisten sind ja nichtmal klug genug, sich soetwas zu merken:\

Aktuell schimpfen viele über Intel, aber ein Großteil dieser Leute, wird beim nächsten System wieder zu einer CPU/APU von Intel greifen!

 

[corvus]

Korrekt, nicht jedes Bios/UEFI bietet dafür eine Option!

Ich hab noch keins gesehen. Aber juckt Privatnutzer eh nicht.
Und wen juckt openbsd. Das ist nichtmal im Linuxbereich ne Hausnummer. Die Nutzerprozentzahl ist sicher krass groß.

 

[Oberst08]

Bisher keine Ausnutzung und trotzdem geht weltwelt paar Millionen an Ghz verloren deswegen, es wird immer schlimmer laut den Berichten und gefühlt ist trotz mehrere Biosupdates, die Zeit kosten, sicherlich nicht alles behoben.

Woher will man denn wissen, ob die Lücken bisher jemals ausgenutzt wurden? Das lässt sich nicht nachvollziehen. Nur der Angreifer weiß doch, wie er die Daten bekommen hat. Der, dem die daten abhanden gekommen sind, merkt doch normalerweise gar nicht, dass er angegriffen wurde. Daher macht es schon Sinn, sich zu schützen. Was halt auch Sinn machen würde, wäre Lehren aus dem Ganzen zu ziehen und vielleicht das nächste Mal sicehrere Rechner zu kaufen, die nicht so anfällig sind... Gibt ja sehr gute Alternativen. Nur leider passiert das halt überhaupt nicht...

 

[joshy337]

Mensch, so ein Hype um Spectre und Meltdown..
Warum deaktiveren die den Cache bzw. das Spekulative Hinricht..-
-ähm- "Speculative Execution"-Zeugs nicht gleich ganz ?
Dann währe endlich Ruh' mit dem Theater.
80386/486SX liefen ja auch ohne und waren nicht anfällig für diese "Sicherheitslücken".
Wer umbedingt Performance will, muss halt auch bereit sein, Opfer zu bringen.

Edit: Mit "deaktiveren" meine ich das als standardmäßige Einstellung im BIOS/UEFI.
Nicht, dass man die Funktionen aus den CPUs streicht. Ich bin zwar gerne mal retro, aber so extrem nun auch nicht.
Obwohl, vielleicht findet man ja irgendwann eine brauchbare Alternative zu Caching und Out-of-Order.
Mit neuen SRAM-Speichertechniken oder optischen Leiterbahnen, welche weniger als Nadelöhr wirken.

 

[mambokurt]

hmmm wie schnell war der Angriff gleich nochmal .... glaube 1 Byte / Stunde konnte gesichert ausgespäht werden ... WOW .... nun werden gleich ganze Datenbanken ausgespäht dadurch.

Aber im Ernst, den Privatnutzer wird das ganze kaum treffen, schon alleine wenn man Scripte von Werbung blockt, die die Lücke auanutzen ist man relativ sicher (90% der exploits auf Webseiten kommen ja über infizierte und schlecht gewartete / gesicherte Werbesdienst .... aka Adblock ist Notwehr!)

Ansonsten gillt wie immer, keine gleichen Passwörter für alles usw.

Na sicher. Ein Telefonkabel konnte auch nur 56k und dann kam Dsl und dann Vectoring

Bsd sind eigentlich traditionelle Server Betriebssysteme, denen gehts nicht um deine Dose zu Hause sondern die sichern Serverfarmen.

 

[Numrollen]

Woher will man denn wissen, ob die Lücken bisher jemals ausgenutzt wurden? Das lässt sich nicht nachvollziehen. Nur der Angreifer weiß doch, wie er die Daten bekommen hat. Der, dem die daten abhanden gekommen sind, merkt doch normalerweise gar nicht, dass er angegriffen wurde. Daher macht es schon Sinn, sich zu schützen. Was halt auch Sinn machen würde, wäre Lehren aus dem Ganzen zu ziehen und vielleicht das nächste Mal sicehrere Rechner zu kaufen, die nicht so anfällig sind... Gibt ja sehr gute Alternativen. Nur leider passiert das halt überhaupt nicht...

Ja das sind bestimmt dolle Firmen die nie rausbekommen das sie angegriffen wurden. Ja aufgrund der Kosten gibt es sicherlich Firmen die an der sicherheit sparen aber generell sollte man nicht davon ausgehen das jede Firma sowas nicht erkennt.

 

[cc0dykid]

Hier stand Blödsinn.

Ergänzung (21. Juni 2018)

In DE sind bestimmte z.B. Krankenhäuser ab einer bestimmten Größe verpflichtet solche Vorfälle zu melden

Richtig. Sie müssen Vorfälle melden. Aber wenn sie nicht wissen, dass sie gerade über Spectre/Meltdown angegriffen werden, dann können sie es auch nicht melden.
Eventuell bemerken Firmen das erst Jahre später. Das ist so kritisch momentan an Spectre/Meltdown.

 

[Numrollen]

Wer spricht den dich an? Ich sagte "ICH" mecker. Wie beziehst du das auf dich?

Und ja, wenn es trotz medialer Peitsche zu keinen Vorfällen kommt dann ist das eben als doch nicht so kritisch zu beurteilen. Oder woran machst du kritische Lücken fest? Es gibt nichts sicheres und sicherlich so viele Lücken als das man sowas am besten alles einfach abschaltet?

 

[cc0dykid]

Ihr 2 scheint ja nicht in einem Bereich zu arbeiten den sowas betrifft und philosophiert bissl über die Thematik, habt aber keine Ahnung was das beinhaltet dieses Thema für Firmen.

Och, komm jetzt nicht damit an. Ich bin SysAdmin in einem Institut und ich glaube, ich weiß, wovon ich rede.
Wir haben die Patches auf einigen Servern aufgespielt, auf andere Server nicht. Hier muss jeder Abwägen, wo Sicherheit über Leistungs-Prozente geht.
Warum diskutieren wir überhaupt, ob eine Lücke kritisch ist oder nicht? Du musst die Patches nicht installieren und auch Hyperthreading kannst du auch nach belieben aktivieren/deaktivieren. Das finde ich gut. Man muss gar nichts installieren.
Darum verstehe ich nicht, warum du meckerst. Oder willst du es lieber haben, wenn dazu gar keine Patches kommen?

Ergänzung (21. Juni 2018)

Wer spricht den dich an? Ich sagte "ICH" mecker. Wie beziehst du das auf dich?

Hätte schwören können, da stand "ihr"

 

[andy_m4]

Bsd sind eigentlich traditionelle Server Betriebssysteme, denen gehts nicht um deine Dose zu Hause sondern die sichern Serverfarmen.

Ähm jaein. Zumindest OpenBSD sieht schon explizit auch ein Desktop-Einsatz vor. So ist zum Beispiel standardmäßig ein X-Server mit dabei (bei FreeBSD und NetBSD nicht).

Ergänzung (21. Juni 2018)

Ich hab noch keins gesehen. Aber juckt Privatnutzer eh nicht.
Und wen juckt openbsd. Das ist nichtmal im Linuxbereich ne Hausnummer.

Exakt. Weil OpenBSD mit Linux auch so gar nix am Hut hat.

 

[mkdr]

Moment mal, soll das jetzt heißen, dass da was auf uns zurollt? Vielleicht eine Empfehlung HT in allen OS abzuschalten, auch Windows?