News Spectre V4 & (Meltdown) V3a: Details und Patches zu neuen CPU-Sicherheitslücken

[BenGun_]

Gibt ja etwas positives...wenn es weiter so geht mit den Sicherheitslücken und den einhergehenden Patches inklusive Verlangsamung der CPUs muss ich am Ende des Jahres in der DosBox die CPU nicht mehr künstlich drosseln....

 

[Killer1980]

Nicht das ryzen 2 nächstes Jahr Intel bei der Leistung (vor allem in Spielen) die Intel CPUs noch überholt durch den spectre Kram. Dann fliegen die Köpfe in Intel Management. Könnte natürlich nochmal schlimmer werden wenn die cloaud Anbieter auf ryzen wechseln. Die können nicht lange wegschauen und auf schnelle Updates hoffen.
Bin gespannt was die Zukunft bringt.

 

[Hill Ridge]

Nicht das ryzen 2 nächstes Jahr Intel bei der Leistung (vor allem in Spielen) die Intel CPUs noch überholt

Du meinst sicher Zen2?
Weil einen Ryzen 2 gibt es eigentlich ja nicht.

Wenn es so weiter geht, überholt auch Zen1 noch Skylake:O

 

[Hotstepper]

Meltdown funktioniert auf AMD µArches nicht, weil sie sich bei AMD offensichtlich an die Regeln des gesunden Menschenverstandes gehalten haben und keine speculative execution über privilege domains hinweg erlauben (Userspace-Kernelspace). Warum Intel und ARM hier deart fahrlaessig handeln ist wohl deren Geheimnis.

AMD processors are not subject to the types of attacks that the kernel page table isolation feature protects against. The AMD microarchitecture does not allow memory references, including speculative references, that access higher privileged data when running in a lesser privileged mode when that access would result in a page fault.

Das bringt natürlich etwas Geschwindigkeit, widerspricht aber eigentlich den Vorgaben des gesunden Menschenverstandes was Sicherheit angeht.

 

[Hill Ridge]

Spectre4 hat AMD bestätigt.

Hab ich mitbekommen, meine Frage bleibt aber trotzdem bestehen!

 

[inge70]

@motul300,

tja und du machst ja auch mit

Es kommt aber nicht drauf an, wer nun mehr oder weniger hat, sondern dass im Endeffekt alle irgendwo betroffen sind. Daher macht eben das Intel/AMD gehetze wenig Sinn. Dadurch wirds auch nicht besser.

 

[mcdexter]

Sind im Worst Case Szenario, nach dem allen Patches von Intel installiert worden sind die Prozesoren um 18 % langsamer?

 

[Wadenbeisser]

AMD hat doch ebenfalls Out-of-order execution und Branch Prediction, warum sind sie (nicht immer) betroffen?

Beide nutzen sehr unterschiedliche Architekturen und vielleicht kommt es weniger auf die Funktion an sich als vielmehr auf deren Implentierung an. Wie hieß nochmal der kleine Zusatzcache der am der Core Architektur in die Pipeline kam und bei AMD erst ab der Zen Architektur an einer anderen Stelle eingeführt wurde? Aufgrund der zeitlichen Einordnung würde es mich nicht wundern wenn er der Dreh- und Angelpunkt von mehreren dieser Sicherheitslücken ist.

Dennoch würde ich nicht von einer generellen Warnung vor deren Produkten, vor allem im Desktop Umfeld, sprechen weil es einfach maßlos übertrieben wäre. Wirklich problematisch sind sie eher für das im Server Umfeld und das nicht zuletzt aufgrund der Verbreitung ihrer Produkte. Der Marktführer hat für Angreifer eben immer die größte Zielscheibe auf seiner Brust.

Was mir beispielsweise im zuge der Storage Tests von Intels Meltdown/Spectre Patches auffiel ist das man dabei ca. auf den Durchsatz von AMDs Prozessoren fiel.

 

[inge70]

Hab ich mitbekommen, meine Frage bleibt aber trotzdem bestehen!

und ich habe Sie, genau wie der Artikel, anich beantwortet.

Spectre (Meltdown) v3a. NEIN
Spectre v4: AMD hat die Lücke bestätigt, hat somit auch diese Lücke und ist demnach nicht nur "theoretisch" betroffen.

 

[Herdware]

Nicht das ryzen 2 nächstes Jahr Intel bei der Leistung (vor allem in Spielen) die Intel CPUs noch überholt durch den spectre Kram....

Ich glaube, Spiele sind da weniger die große Sorge. Wo Intel die Sicherheitslücken und Performanceverluste durch Patches richtig weh tun, sind professionelle Anwendungen.
Wenn z.B. eine zig Millionen teure Serverfarm von Google, Facebook oder Amazon plötzlich bis zu 20% weniger leistet, oder alternativ jedem Hacker offen steht, finden die das sicher alles andere als lustig.

Auch wenn Intel hier viel stärker betroffen ist, als AMD und ARM, sollte man als "Fan" anderer Hersteller besser nicht schadenfroh mit Steinen werfen.

Dass auch AMD und ARM betroffen sind, zeigt, dass hier von allen Herstellern eine potentielle Angriffsmethode nicht wirklich erkannt und berücksichtigt wurde. Bei manchen haut es schlimmer rein, bei manchen weniger schlimm, aber wenn jemand das Problem schon vor Jahren auf dem Schirm gehabt hätte, hätte er es ja ganz verhindert. Hier haben also alle im Dunkeln getappt.

Dass es Intel härter trifft, liegt wahrscheinlich eher nicht an genereller Unfähigkeit oder krimineller Schlampigkeit. Jeder hat immer wieder dicke Bugs in seinen CPUs (vom Pentium-Divisionsfehler bis zum Phenom-TLB-Bug), genau wie es keine fehlerfreie Software gibt. Die Dinger sind einfach zu komplex, um alles komplett zu überblicken.

Deshalb sollte man eher darauf schauen, wie die Hersteller damit umgehen, wenn solche Bugs bekannt werden. Da gibt es genug berechtigte Kritik an Intel, die Meltdown und Spectre gerne herunter spielen wollen.

 

[Hill Ridge]

und ich habe Sie, genau wie der Artikel, anich beantwortet.

Nein, deine Antwort beantwortet die Frage nicht.

Bei Spectre V2 ist AMD auch nur theoretisch betroffen, rein praktiv ist der Exploit aber nicht nutzbar!

 

[motul300]

@motul300,

tja und du machst ja auch mit

Es kommt aber nicht drauf an, wer nun mehr oder weniger hat, sondern dass im Endeffekt alle irgendwo betroffen sind. Daher macht eben das Intel/AMD gehetze wenig Sinn. Dadurch wirds auch nicht besser.

Natürlich hat jede halbwegs kompliziterte CPU irgendwelche Lücken und man wird keine absolute Sicherheit haben. Deshalb ist es auch keine neue Erkenntnis dass "im Endeffekt alle irgendwo betroffen sind". Aber es macht einen gewaltigen Unterschied wie stark man davon betroffen ist. Intel nimmt ja soziemlich jede Lücke mit die es gibt.

Dass es Intel härter trifft, liegt wahrscheinlich eher nicht an genereller Unfähigkeit oder krimineller Schlampigkeit.

Ich gebe dir recht die Leute bei Intel wissen ganz sicher was sie tun da sitzen die cleversten Typen rum. Aber das Aufwand eingespart wird wenn man gewisse Dinge seltener überprüft und damit mehr Leistung zur Verfügung hat sollte auch jeden klar sein. Intel hat das ganz bewusst so gemacht auf kosten der Sicherheit.

Gut möglich dass es bei AMD auch so in einem deutlich geringerem Maß abläuft und das kann man auch nicht gut heißen aber ohne CPU gehts halt auch nicht. Wenn ich die Wahl habe entscheide ich mich halt für das geringere Übel.

 

[Wadenbeisser]

steht doch im Artikel. Bei Spectre3 bleibt AMD außen vor und Spectre4 hat AMD bestätigt.

Demnach betrifft es auch AMD, zumindes Spectre v4.

Und gleich gehts wieder in einen Endlos-Thread, wie schlecht Intel doch ist und wie toll AMD.

Im übrigen, das sind keine Lücken sondern Feature

Ergänzung (22. Mai 2018)

Die Frage war aber nicht ob die Möglichkeit vorhanden ist sondern wie es um die Warscheinlichkeit der Nutzung steht.
Siehe die erste Bug Runde wo bei der einen Spectre Variante die Nutzung bei den Intel Chips erheblich leichter war.

Getreu dem Motto "Wozu den Elefanten durchs Mauseloch zerren wenn der durch das Scheunentor spazieren kann?"

 

[inge70]

@Whiskey Lake,

dann würde ich diese Frage mal direkt an AMD oder die Finder der Lücke richten Denke nicht, dass hier einer näheres dazu weiß.

Aber es macht einen gewaltigen Unterschied wie stark man davon betroffen ist. Intel nimmt ja soziemlich jede Lücke mit die es gibt.

Ok, dem muss ich zustimmen.

 

[Cool Master]

Ich habe den Überblick verloren.

Nicht nur du, nicht nur du....

 

[Hotstepper]

Nein, deine Antwort beantwortet die Frage nicht.

Bei Spectre V2 ist AMD auch nur theoretisch betroffen, rein praktiv ist der Exploit aber nicht nutzbar!

Warum Meltdownartige Attacken auf AMD nicht funktionieren hab ich oben bereits geschrieben. Warum Spectre V2 Attacken so schwer auf AMD sind obwohl sie zumindest theoretisch wie bei allen Systemen mit spekulativer Ausführung grundsätzlich funktionieren ist schwer zu beantworten. Ich hab dazu noch keinerlei Aufsätze gelesen. Das kann mit der Unterschiedlichen Cache Hierarchie zusammenhängen, oder aber auch mit einer sich anders verhaltenden Sprungvorhersage.

Klar ist: Bei Meltdown haben sie einfach besser gearbeitet, bei Spectre wohl eher etwas mehr Glück gehabt.

 

[Baalthorun]

Aber es macht einen gewaltigen Unterschied wie stark man davon betroffen ist. Intel nimmt ja soziemlich jede Lücke mit die es gibt.

Könnte auch einfach an der Verbreitung von Intel und ARM CPUs liegen. Selbe Situation wie z.B. bei Linux und der Anzahl an Viren etc.

Wir wollen besser nicht wissen wieviele unbekannte Lücken, bei allen Herstellern, noch offen klaffen, die aber noch niemand entdeckt hat. Und wenn ich danach suchen würde, würde ich mich auch eher auf Intel als auf AMD konzentrieren. Nur aufgrund des Marktanteiles.

Umso bemerkenswerter wie wehement Intel dennoch alles runterspielt.

 

[Wadenbeisser]

Dass es Intel härter trifft, liegt wahrscheinlich eher nicht an genereller Unfähigkeit oder krimineller Schlampigkeit. Jeder hat immer wieder dicke Bugs in seinen CPUs (vom Pentium-Divisionsfehler bis zum Phenom-TLB-Bug), genau wie es keine fehlerfreie Software gibt. Die Dinger sind einfach zu komplex, um alles komplett zu überblicken.

Ehrlich gesagt sehe ich hier keine Vergleichbarkeit da es sich bei den beiden Fehlern um Bugs und keine Sicherheitslücken handelte. Der eine führte zu Rechenfehlern, der andere konnte zum Systemabsturz führen.
Des weiteren wurden sie am Anfang der Produktlaufzeit erkannt und hatten damit noch keine allso weite Verbreitung. Die Meltdown/Spectre Geschichte zieht sich aber über ganze Produktgenerationen hinweg und hat damit eine maximale Marktdurchdringung. Die Geschichte hier ist ein komplett anderes Kaliber

 

[andi_sco]

„Auch wenn Intel hier viel stärker betroffen ist, als AMD und ARM, sollte man als "Fan" anderer Hersteller besser nicht schadenfroh mit Steinen werfen.“

Genau 👍🏼

 

[MK one]

steht doch im Artikel. Bei Spectre (Meltdown) v3a bleibt AMD außen vor und Spectre v4 hat AMD bestätigt.

Demnach betrifft es auch AMD, zumindes Spectre v4.

Ergänzung (22. Mai 2018)

Bei Spectre V1 und jetzt V4 , die einander sehr ähneln ( Beide Seitenkanal ) ist das Einfallstor der Browser und / oder das OS , wie sehr sie sich ähneln sieht man auch daran das die Maßnahmen die gegen V 1 wirksam sind , auch bei V4 wirken .. , so wirklich neu ist V4 also nicht , halt nur ne neue Variante von V1 , die man mit Browser und OS Patches so verkomplizieren kann , das ein ausnutzen unwahrscheinlich ist .
Die im C T Artikel genannte schwerwiegenste Lücke stinkt quasi nach Meltdown bzw einer Variante davon , AMD würde dann davon nicht betroffen sein .