Onderzoekers vinden nieuwe Spectre- en Meltdown-achtige cpu-kwetsbaarheid

Onderzoekers van Bitdefender hebben een nieuwe kwetsbaarheid gevonden in cpu's waarbij het speculative memory kan worden afgeluisterd. Er is inmiddels een patch beschikbaar voor de kwetsbaarheid, die veel wegheeft van eerdere cpu-lekken als Spectre, Meltdown en Zombieload.

Details over het onderzoek werden dinsdag gepresenteerd tijdens de securityconferentie Black Hat, die deze week plaatsvindt in Las Vegas. De kwetsbaarheid zit in speculative execution, een optimalisatiemethode waarbij een cpu bepaalde taken of berekeningen probeert te voorspellen om de processor sneller te maken. Als zo’n voorspelling uitkomt, kan de berekening eerder worden uitgevoerd doordat de data dan al eerder werd geladen. Als de voorspelling niet klopt, wordt die weggegooid. De onderzoekers hebben een manier gevonden om een side channel-aanval uit te voeren waardoor de geheugenisolatie kan worden omzeild. Op die manier kan een aanvaller gevoelige informatie uit het kernelgeheugen aflezen.

De kwetsbaarheid is gebaseerd op eerdere cpu-kwetsbaarheden Spectre en Meltdown. Ook daarbij werd speculative execution gebruikt om kernelgeheugen af te luisteren. Opvallend is dat de kwetsbaarheid volgens de onderzoekers bestaande beveiligingsmaatregelen omzeilt die zijn ingesteld naar aanleiding van die lekken. Wel moeten aanvallers geavanceerde malware gebruiken of al actief zijn op het systeem om het lek echt uit te buiten.

De kwetsbaarheid komt voor in de Swapgs-instructie op 64bit-cpu's. Bitdefender zegt dat het de kwetsbaarheid alleen heeft getest op systemen van Intel van ná 2012, maar verschillende bedrijven zeggen dat de kwetsbaarheid ook te vinden is in andere en oudere cpu's. AMD zegt dat het zelf niet getroffen is. Bitdefender werkte voor het onderzoek wel samen met Microsoft en met de industrie. Microsoft heeft inmiddels een patch uitgebracht, net als Red Hat en Google.

Reacties (92)

[bwolke]

De genoemde patch is voor Windows op dinsdag 9 juli uitgebracht: https://portal.msrc.micro...ce/advisory/CVE-2019-1125

[JerX]

Beetje jammer dat het artikel niet direct linkt naar het artikel van BitDefender. Deze kan je hier vinden:
https://www.bitdefender.com/business/swapgs-attack.html

Als je meer informatie wilt vinden over deze vulnerability, zoek dan op "swapgs". Want dat is de nieuwe naam voor deze vulnerability en niet Spectre of Meltdown.

[Reactie gewijzigd door JerX op 23 juli 2024 11:04]

[Apoca]

https://www.phoronix.com/...apgs-spectre-impact&num=1

At least as it stands now it seems to be largely a 1% or less performance hit (with select exceptions at ~5%), so not nearly as bad as the other Spectre/Meltdown/Foreshadow/Zombieload mitigations, but this is on top of all that we've seen since January 2018.

[Cerberus_tm]

Toch ben ik wel blij dat ik voor AMD heb gekozen. Bij al dit soort berichten telkens rustgevend om te lezen dat AMD (hoogst waarschijnlijk) niet getroffen is.

[darkempire]

Ben er wel klaar mee om Intel processor te kopen,
Je betaal groff geld voor goede core i7 of hoger waar je wel prestatie in wil gaan zien, met al dat lekke
Gaat het niet meer lukken, dus denk dat AMD hier wil betere keuze gaat worden.

Dit is gewoon slechte zaak.

[turbojet80s]

Draai jij op jouw i7 vm's die het geheugen van jouw andere vm's niet in mogen zien?

[useruser]

Draai jij op jouw i7 vm's die het geheugen van jouw andere vm's niet in mogen zien?

Als je denkt dat dit het enige probleem is, dan heb je het niet goed begrepen.

Dit betekent dat websites, maar ook iedere andere software bij stukken geheugen kan dat ze niet mogen inzien. Zoals bijvoorbeeld bij je passwords. Leuk als je in Windows LSASS process dingen kan uitlezen, of linux credentials op een server. Helemaal tof als je een VPS huurt en zo andere klanten van die provider kan leegtrekken. Terminal servers bij een bedrijf? Ook fair game. Mogelijkheden zijn eindeloos.

Dit is niet alleen voor een i7 processor het geval, zoals op de site van bitdefender zelf:
All Intel CPUs that support SWAPGS and WRGSBASE instructions are affected. This means basically anything from Intel Ivy Bridge (introduced 2012) to the latest processor series on the market.

[Reactie gewijzigd door useruser op 23 juli 2024 11:04]

[Trommelrem]

In Real-mode is dat heel normaal dat je al het geheugen kunt uitlezen. Met loadall kun je zelfs boven de 1 MB lezen

[Vuurvoske]

Hoewel de reactie van darkempire kort door de bocht is. Vind ik jouw reactie ook niet echt hoogstaand. Je koopt een bepaald product met de verwachting dat deze aan de veiligheidsstandaarden voldoet. Het is helder dat vooral Intel te lijden heeft onder deze aanvallen en niet AMD.

Ook al zet je het product misschien niet in op het vlak waardoor jij risico loopt, dat wil niet zeggen dat je genoegen moet nemen met deze lekken.

[Reactie gewijzigd door Vuurvoske op 23 juli 2024 11:04]

[ATS]

Welnee. Je hebt jarenlang alleen gekeken naar de de performance benchmarks, en je hebt je nooit afgevraagd hoe Intel & co. het voor elkaar kregen om toch steeds iets meer performance uit dat silicium te persen, laat staan welke gevolgen dat zou kunnen hebben. En met jou vrijwel iedereen, inclusief ondergetekende. Een CPU is eigenlijk pas recent als serieuze aanvalsvector herkend.

[Crazy Harry]

Jarenlang gekeken naar performance en prijs omdat ik er vanuit moet kunnen gaan dat veiligheid geen onderdeel is waarop ik zou moeten vergelijken. Ik moet er vanuit kunnen gaan dat de veiligheid aandacht krijgt en dat die op orde is.
De verantwoordelijkheid daarvoor zou niet bij de consument moeten liggen. Helaas blijkt de werkelijkheid anders en moeten we dus veiligheid wel degelijk een onderdeel maken waarop we moeten vergelijken.

Aan tweakers dus de taak om filters op te nemen in de pricewatch waarbij we kunnen filteren op welke CVE-nummers we wel acceptabel vinden en welke niet...

[MykelSilver]

Ergens van uitgaan is TMOAF (The mother of all fuckups). Je kunt NERGENS vanuit gaan. Nergens.

[Vuurvoske]

Oke ik ben het met je eens. Maar ik vind niet dat omdat jij thuis een servertje draait. Je genoegen zou moeten nemen met minder. Het is niet alsof dit thuis een toelaatbaar risico zou moeten zijn. Voor dit soort lekken zou elke processor imho beveiligd moeten zijn.

ps. ik moest een beetje grinneken om je formulering, goed gedaan.

[SpiceWorm]

Tsja het kan je dan toch ook tegenvallen van Intel? Het is niet dat je dat als consument / prosumer en zelfs profi gebruiker dat je had kunnen vermoeden dat hier veiligheidsfouten in zitten omdat ze zo snel waren? Ik vind het wel wat ver gaan om de verantwoordelijkheid bij de eindgebruiker te leggen.

[turbojet80s]

Wil jij ons inzicht geven in de veiligheids standaarden die je bedoeld?

Begrijp me niet verkeerd, ik zie die lekken ook liever niet, maar ze worden nu eenmaal pas ontdekt nadat het product verkocht is.

Dat gebeurd bij Intel, maar evengoed bij AMD: https://www.cvedetails.co...t/vendor_id-7043/AMD.html

Om dan geïrriteerd te zijn met een i7 die bij 99÷ van het gebruik geen last heeft van deze lekken is niet zo reëel.

[Vuurvoske]

De standaard is in dit geval: een cpu zou het niet mogen toelaten data uit het geheugen oid inzichtelijk te maken voor iemand die daar geen recht op heeft.

[Reactie gewijzigd door Vuurvoske op 23 juli 2024 11:04]

[Superstoned]

Tja dat doet ie ook niet, lees eens wat meer over hoe cpus en deze aanvallen werken. Het is heus niet zo logisch - de onderzoekers gebruiken allerhande vreemde effecten en complexe statistieken om zaken uit te lezen die ze niet mogen uitlezen. Natuurlijk is het niet goed en AMD heeft duidelijk beter nagedacht over veiligheid maar het is wel een complex probleem en ik denk niet dat het redelijk is om Intel van nalatigheid te beschuldigen.

[Xerxes249]

Met een beetje pech is dit een manier voor crappy websites om de browser sandbox te bypassen dus ja dit is eigenlijk voor iedereen problematisch

[turbojet80s]

Dan gebruik je een erg verouderde browser. Zelfs IE11 is gepatched tegen dit soort lekken: https://www.google.nl/amp...-spectre-attacks.amp.html

[Loggedinasroot]

Opvallend is dat de kwetsbaarheid volgens de onderzoekers bestaande beveiligingsmaatregelen omzeilt die zijn ingesteld naar aanleiding van die lekken.

[Dennism]

o.a. Microsoft heeft dit lek 9 july al gepatched. Als je dus een up-to-date systeem hebt ben je hier tegen gewoon beschermd, ook als je IE11 gebruikt.
Zie ook:
https://portal.msrc.micro...ce/advisory/CVE-2019-1125

Er is ook geen microcode nodig voor dit issue.

[SuperDre]

Wel moeten aanvallers geavanceerde malware gebruiken of al actief zijn op het systeem om het lek echt uit te buiten.

[lenwar]

Het gaat hier om stukken geheugen die je anders niet had mogen zien. Ofwel, elke gebruiker op een systeem, zou in theorie, onder de juiste omstandigheden, stukken geheugen van een andere gebruiker en andere processen kunnen inzien. Dus ook binnen hetzelfde OS.

[turbojet80s]

Ja precies, maar gemiddeld genomen, hoeveel gebruikers zijn er actief op een i7? Meestal zit er maar één achter.

[lenwar]

Op een privédesktop doorgaans niet meer dan één inderdaad. Maar let op het stukje 'en andere processen' in m'n post. Het stukje malware kan dus (in theorie, onder de juiste omstandigheden, blablabla) je ingevoerde wachtwoorden volgen, meelezen met e-mails, je geöpende passwordmanager uitlezen, etc. etc. etc.

[SuperDre]

Wat natuurlijk wel is, dan moet je wel op het goede moment op de goede plek kijken. Het is niet alsof het complete geheugen op deze manier zo doorgespit kan worden. Alleen delen van geheugen die daar voorbij komen..

[Mathijs]

Tja, daar zijn dan weer veel makkelijkere manieren voor dan het misbruiken van dit lek.
Ik vind dit lek zelf meer academisch dan een groot risico. Zeker voor thuisgebruikers is misbruik hiervan zeer onwaarschijnlijk. Er moet min of meer al toegang tot je systeem zijn en als dat er toch al is, zijn er tal van manieren die veel makkelijker uit te voeren zijn om bovenstaande zaken te bereiken.
Dit is vooral gevaarlijk voor gevirtualiseerde omgevingen en bij grote bedrijven waar wat te halen valt en dus de beloning de moeite waard is. Ik wil het dus niet baggetaliseren, maar voor thuisgebruikers is dit vrijwel geen issue.

[koppie]

@turbojet80s Nou, privé klopt dat, maar door de enorme vlucht naar de 'cloud' waar alles gevirtualiseerd draait, hebben we hier toch wel een enorm probleem! Alles wordt over meerdere omgevingen verdeeld, dus je kan zomaar een hele lading andere activiteiten op dezelfde processor draaien.

[Yalopa]

Mischien niet op een desktop maar op een server wil je dit echt niet..

[Gustaaf437]

Dat AMD hier niet getroffen is wil niet direct zeggen dat er in AMD-processoren geen andere problemen zitten. Op het gebied van speculatieve executie is Intel wel ronduit onvoorzichtig geweest. Sinds enkele jaren wordt er behoorlijk wat onderzoek gedaan naar deze gaten, maar ze kunnen een behoorlijke tijd blijven zitten zonder dat iemand ze ziet. Voor een OS is dat niet anders, kijk maar naar Windows XP. Je zou denken dat ze na 20 jaar alles wel gevonden hebben, maar daar worden ook nog steeds fouten in gevonden ook al is het systeem al met pensioen.

[SunnieNL]

Verschil is wel dat de laatste cpu’s van amd totaal opnieuw ontworpen zijn terwijl Intel al jaren voortborduurt op oude technieken.

[gjmi]

Dat wil niet zeggen dat AMD geen problemen heeft. Misschien duurt het een aantal jaren voordat het ontdekt word. Net zoals bij Intel.

[ATS]

Nieuw ontwerp = nieuwe problemen. Een oud ontwerp leer je op een gegeven moment zo goed kennen dat je de valkuilen wel kent. Het is dus zeker niet perse een nadeel om voort te bouwen op wat je hebt en kent.

[Fredi]

Volgens mij weet Intel allang dat hun cpu's lekken bevatten door die speculative execution techniek maar kunnen ze niet zonder omdat AMD dan eensklaps de prestatie kroon zou hebben.

Wat ik me afvraag heeft hun nieuwe 9de generatie cpu's deze kwetsbaarheden ook want ik dacht dit hardwarematig was opgelost?

[erwinwernars]

en voortborduren op oude technieken is niks mis mee zolang je het onderste nog niet uit de kan hebt gehaald.

[debroervanhenk]

Het onderste is bij Intel al een tijdje uit de kan. Maar je zou juist bij zo’n oud platform verwachten dat alle problemen wel een keertje bekend zijn.

In dat opzicht verwacht je meer fouten in AMDs nieuwe architectuur. Misschien worden die minder gevonden omdat AMD een kleiner marktaandeel heeft en dus minder wordt onderzocht.

[Dennism]

Eigenlijk is dat niet direct vreemd, onderzoek naar dit soort zaken lijkt pas de laatste jaren echt van de grond te komen, daarvoor was er wel wat, maar vooral theoretisch onderzoek.

Intel zit nu aan het eind van de cyclus van hun Core architectuur. Die grotendeels ontworpen is begin / midden vorig decennium, een Tweaker die destijds volgens mij voor Oracle werkte aan de Sparc cpu's heeft hier al een uitgelegd dat dot soort zaken destijds eigenlijk niet direct voor mogelijk gehouden werden, juist daardoor zie je eigenlijk designs waarvan de basis is gelegd in de periode sneller vatbaar zijn dan ontwerpen, zoals bijvoorbeeld AMD's Zen, die meer recent ontworpen zijn. Bij Zen is meer nagedacht over dit soort zaken. Dit betekend natuurlijk niet dat Zen wel veilig is, het is lastig te voorspellen of daar al dan niet zaken ontdekt gaan worden de komende jaren die nu nog niet voor mogelijk worden gehouden bij het ontwerpen van cpu's.

We zullen hopelijk gaan zien bij Intel wanneer zij weer met een volledig nieuw ontwerp gaan komen dat de huidige inzichten ook centraal staan in het ontwerp, net zoals bij AMD's Zen design.

[Zeerob]

Ik heb helemaal geen broers!

[Fredi]

[Vuurvoske]

In dit geval dus wel. De oorzaak van spectre en meltdown is namelijk dat het gebaseerd op oudere architecturen (pentium). Waar de documentatie zelfs van verdwenen was. Er is dus telkens code ingezet, waarvan helemaal niet duidelijk was hoe die in elkaar zat. Zelfs de werknemers die daar destijds aan gewerkt hebben zijn niet meer werkzaam bij intel.

Dus makkelijk om zo te redeneren, maar de praktijk is denk ik toch anders.

[Pep7777]

Iets genuanceerder mag wat mij betreft wel. We wilden allemaal ook heel snelle processoren en daar zijn veel slimmigheden voor ingebouwd. Zoals cachen van data op de CPU (doen alle chip fabrikanten). Veel van deze lekken maken daar "slim" gebruik van. Als ik het goed begrijp en kort door de bocht samengevat : Door heel veel data te lezen komen ze erachter dat in hun code bepaalde data sneller binnen is dan gemiddeld, dan moet die data al in de cache zitten en weet je iets over de data.

Meeste van de fixes kosten uiteindelijk ook weer performance, voor bestaande CPU's ligt de keuze bij de gebruiker. Voor de toekomst zijn er misschien veilige maar langzamere versies van CPU's te krijgen. En heb je nog steeds een keuze.

[DePruus]

De leverancier heeft gewoon zijn werk niet goed gedaan door dit soort lekken toe te laten. Slecht dus. En om de consument nu de oorzaak van het probleem te noemen gaat veel en veel te ver. Dit is de hand overspelen in de race om sneller. Schande Intel, schande!

[Gekke Jantje]

AMD net zo, zit ook vol lekken.

[Trommelrem]

Alleen zijn ze nog niet bekend geworden. Voorlopig is AMD wel veilig, maar in feite weten we niet hoe veilig AMD is.

[Pep7777]

Even snel nagekeken maar Iedere processor met optimalisatie logica is potentieel kwetsbaar voor spectre.
Als een processor bij een "If (als)" komt gaat hij vast code uitvoeren die bijv. bij true hoort terwijl data nog uit het geheugen geladen wordt. Blijkt even later dat het ook echt true (waar) dan heeft de processor een stukje vooruit gewerkt en is sneller, anders wordt alsnog de false (onwaar) code tak uitgevoerd. En dan nog caches die verschil weer kleiner maken. Moeizaam process maar je kan op die manier (heel langzaam) iets over geheugen in ander processen te weten komen.


https://en.wikipedia.org/..._(security_vulnerability)

- In an update nine days later, AMD said that "GPZ Variant 2…is applicable to AMD processors" and defined upcoming steps to mitigate the threat.

- Researchers have indicated that the Spectre vulnerability can possibly affect some Intel, AMD, and ARM processors.[63][64][65][66] Specifically, processors with speculative execution are affected with these vulnerabilities.

[jabwd]

Meanwhile om de hype train van 0days en het schrijven erover heen wordt iedereen gewoon gepwnd met een office macro of een phishing emailtje.

[WhatsappHack]

Klopt, en ransomware. Het is vele malen makkelijker om dat te doen dan de moeite te nemen een behoorlijk complexe aanval uit te voeren op de hardware. Besides, blijkbaar ben je dan toch al binnen.

[William/Ax3]

Dan mag je ook wel stoppen met gebruiken van Windows daar worden maandelijks lekken in gevonden zo'n beetje.
Het is ook enig sinds wel logisch als 9/10 onderzoekers zich focussen op intel cpu's dan worden er daar simpelweg ook meer lekken in gevonden. Niks is 100% veilig dat is een utopia. Ga dan maar terug naar brieven schrijven en blijf weg van alle elektronica zou ik zeggen

[djkooij]

Zelfs die handgeschreven brief aan bol.com kan onderschept worden, het lakzegel nagemaak, de brief keurig in jou handschrift overschrijven en versturen. Levert bol de dure wasmachine (je had voor mij een te lichte) af bij een correct adres, want opslagbox, huis dochter nog niet opgeleverd is ons cadeau maar helaas gaat de rekening wel naar jouw adres.
Ach... van alle tijden die boeverij 😉

[lenwar]

Dan mag je ook wel stoppen met gebruiken van Windows daar worden maandelijks lekken in gevonden zo'n beetje.

(Vrijwel) elk besturingssysteem bedoel je. Red Hat levert (vrijwel) dagelijks beveiligspatches. Google idem dito voor o.a. Android.

[sprankel]

https://source.android.com/security/bulletin/2019-08-01.html
De updates voor Android van de laatste maand, buiten een beperkt aantal Android One toestellen zullen de meeste Android's deze updates niet eens krijgen.

https://support.apple.com/en-us/HT210346
Laatste security updates voor IOS

https://support.apple.com/en-us/HT210348
laatse security updates voor macOS

https://access.redhat.com/security/security-updates/#/
laatse security updates voor Linux Red Hat

Waarom zou je dan juist stoppen met Windows te gebruiken?

[William/Ax3]

Bedoelde niet perse Windows alleen hoor. Bedoel meer te zeggen dat er overal wel lekken in zitten mits je maar goed genoeg/lang genoeg gaat zoeken.

Wel mooie lijstjes om in de gaten te houden trouwens thnx!

[CH4OS]

Met de komst van Ryzen 3 is ook het gat met de prijs gedicht, dus daarvoor hoef je het in elk geval ook niet meer te doen.

[lenwar]

Dat het een slechte zaak is, heb je helemaal gelijk in. Maar we hebben het hier over een lokaal uit te buiten kwetsbaarheid (iemand moet dus al toegang tot je systeem hebben). Zolang jij dus netjes je anti-malware software bijhoudt en je OS blijft patchen zal het in de praktijk loslopen.

[Gekke Jantje]

De prestaties zijn nog steeds het zelfde voor de gewone pc gebruiker die games speelt en wat aan foto en videobewerken doet.

[fastbikkel]

Ik heb een intel CPU die risico loopt, maar ik voel me nog steeds veilig.
Er spelen meerdere factoren mee die je zelf ook in de hand hebt.

[Deslug]

laten we hopen dat de nieuwe patch geen performance hit heeft.

[clueless12]

Ik zou ook willen dat Spectre en Meltdown een optionele patch kregen. Helaas kan ik dat niet uit zetten. Thuis op mijn laptop kan mij die bug weinig schelen. Zelfs op veel servers zal het niet echt een issue zijn.

Een linux kernel vlag zou leuk zijn. Ik zie PR_SPEC_DISABLE_NOEXEC maar die is via menuconfig niet te vinden.

[Dennism]

Ik weet niet wat je exact draait, maar op oudere linux kernels zou je dit moeten kunnen gebruiken:
noibrs noibpb nopti nospectre_v2 nospectre_v1 l1tf=off nospec_store_bypass_disable no_stf_barrier mds=off mitigations=off
Op nieuwere kernels (5.2 en hoger) zou enkel mitigations=Off moeten volstaan geloof ik.

Voor Windows: https://support.microsoft...nnel-vulnerabilities-prot

Ik zou zelf uiteraard het volledig uitzetten van deze zaken niet aanraden.

[Reactie gewijzigd door Dennism op 23 juli 2024 11:04]

[micla]

Kijk even hier.

Daarmee kun je de patch aan en uitzetten. Ik heb diverse games waarbij ik deze uit moet zetten anders heb ik framedrops..

[Gekke Jantje]

Vreemd, Spectre en Meltdown staan los van berekeningen voor gaming volgens Phoronix. Ik zelf ervaar overigens ook niet mee rof minder framedrops zonder de patches werkende.

[micla]

Die bewering van Phoronix ken ik niet, zou daar wel meer over willen lezen. Wat ik tot nu toe tegen ben gekomen is dat bij oudere processoren het toch wel een significant verschil kan maken. Waarschijnlijk afhankelijk van de gebruikte processor. Ik heb zelf een 5930K met @4,87Ghz OC, en op de een of andere manier heeft deze processor in sommige applicaties/games last van die update(s). Nu ben ik enorme Frame Per Second guy, en draai derhalve alles op zijn optimale kunnen ( Liever lagere reso en hogere refreshes, meer CPU gebonden ), dus valt mij elke stottering/drop mij al snel op. Wellicht dat dat meespeeld..

[darkempire]

Die kan je wel uit zetten

https://www.grc.com/inspectre.htm


Edit: iemand was eerde xD

[Reactie gewijzigd door darkempire op 23 juli 2024 11:04]

[N8w8]

PR_SPEC_DISABLE_NOEXEC is geen kernel-brede optie, maar een kernel functie die "altijd" beschikbaar is.
En die functie houdt in dat je (of mss eerder developers) per proces beter kan regelen of de bescherming aan/uit moet. Zie hier.

[Reactie gewijzigd door N8w8 op 23 juli 2024 11:04]

[clueless12]

thanks

[Dutch_CroniC]

Je hoeft m natuurlijk niet te installeren.

[Verwijderd]

In het bericht van Bitdefender wordt ook genoemd dat er maar één effectieve manier om dergelijke "speculative execution side-channel attacks" te voorkomen: het uitschakelen van hyperthreading.

Voor echt kritische systemen is er dus een workaround, zij het met hogere kosten en energieverbruik om het snelheidsverlies te compenseren

edit: speculative execution toegevoegd

[Reactie gewijzigd door Verwijderd op 23 juli 2024 11:04]

[begintmeta]

In het bericht van Bitdefender wordt ook genoemd dat er maar één effectieve manier om side-channel attacks te voorkomen: het uitschakelen van hyperthreading.

en 'side channel attacks' in algemeenheid worden daarmee ook niet voorkomen.

[Verwijderd]

Ja, te algemeen. "speculative execution" toegevoegd.

Ik zag het woord "hyperthreading" niet staan in bovenstaande artikel, terwijl dat volgens Bitdefender (en volgens mij ook bij de andere recente issues rondom speculative execution) de enige "definitieve" remedie is. Of je processor vervangen uiteraard

[Erdinger]

Zo blijkt maar weer; security is een door mensen bedacht concept en daardoor inherent imperfect. De vraag is alleen na hoe lang dit (nogmaals in dit geval) wordt aangetoond.

De hamvraag; zullen de OS-patches tot een noemenswaardige decrease in performance leiden?

Wel weer een goed argument om in de toekomst weer eens je cpu te upgraden zo

[er0mess]

Zo blijkt maar weer; security is een door mensen bedacht concept en daardoor inherent imperfect. De vraag is alleen na hoe lang dit (nogmaals in dit geval) wordt aangetoond.

Wel weer een goed argument om in de toekomst weer eens je cpu te upgraden zo

Die zoals je zelf zegt ook inherent inperfect is... Dus eerder een goede reden om te (blijven) patchen en tech(nieuws)sites als T.net in de gaten te houden

[Wildfire]

AMD CPU's hebben net zo goed beveiligingsproblemen... we moeten nou niet doen alsof AMD CPU's superveilig zijn en dat er daar niets aan de hand is -- ook daar zijn issues.

*Elke* CPU heeft beveiligingsproblemen, ongeacht het merk.

[edeboeck]

AMD CPU's hebben net zo goed beveiligingsproblemen... we moeten nou niet doen alsof AMD CPU's superveilig zijn en dat er daar niets aan de hand is -- ook daar zijn issues.

*Elke* CPU heeft beveiligingsproblemen, ongeacht het merk.

Ongetwijfeld zitten er ook in AMD-processoren kwetsbaarheden (voor het gemak focus ik me even enkel op de 2 grote spelers, terwijl de Exynos-soc in Samsung Galaxy S7 ook kwetsbaar was). Neemt niet weg dat Spectre, Meltdown en nu deze kwetsbaarheid op dit moment van Intel een iets minder fijne keuze maken, tenzij je de performance hit (die afhankelijk van je gebruiksscenario van ruwweg enkele procenten tot meer dan een kwart oploopt). We hebben er enkele maanden geleden een gesprek over gehad met onze prof van Security (in IT , wel degelijk )... omdat Intel zo heeft ingezet op Speculative Execution, en door hun Tic-Tac-Toc release strategie (als ik me niet vergis, is er intussen toch die derde "slag", daar waar het vroeger tic-toc was), kunnen zij niet anders dan op dit moment CPU's uitbrengen die inherent kwetsbaar zijn. Ik neem aan dat er intussen al een behoorlijk team weer aan de tekentafel zit, maar tegen dat dat werk klaar is, zijn we wel minimaal een jaar of meer verder...
In de tussentijd blijft het behelpen met patches die performance (kunnen) vreten...

Dus: we moeten inderdaad niet doen of er met AMD-processoren niets aan de hand is, maar nu ook weer niet alsof die even erg lek zijn als Intels op dit moment.

[Deadso]

Dit lek, Spectre, Meltdown, zitten allen in de Speculative Execution kant. Dus mijn inziens 1 en hetzelfde lek, die blijkbaar met de vorige patches nog niet is opgelost. En dat terwijl ik er in eerste instantie bij Spectre/Meltdown vanuit ging dat ze Speculative Execution uit zouden schakelen en vandaar de performance hit, blijkbaar is dat niet het geval en hebben ze de deur dus wijdt open laten staan voor nieuwe lekken o.b.v. Speculative Execution. IMHO is het dus wachten tot de volgende loophole gevonden wordt tot Intel zijn shit oplost/uit zet.

[Tokkes]

Je inspiratie uit de eerste minuut ofzo van dit gehaald?

[eric.1]

Dus: we moeten inderdaad niet doen of er met AMD-processoren niets aan de hand is, maar nu ook weer niet alsof die even erg lek zijn als Intels op dit moment

Met de focus op "op dit moment", tenminste, het is nog niet bekend.

Dat is puur een kwestie van "wat niet weet wat niet deert", we hebben geen idee of er nog een Spectre-like kwetsbaarheid in AMD CPUs zit. Zal mij niet verbazen als dat over een jaar of wat wel aan het licht komt.

Tegen die tijd heeft Intel, door de huidige focus, al weer een flinke stap gemaakt.

[Zingo]

Het klopt natuurlijk dat ook AMD cpus problemen hebben. Echter als ik terugkijk naar het afgelopen jaar en de hoeveelheid problemen welke langs zijn gekomen kan ik mij niet aan de indruk onttrekken dat Intel het zich er wel heel eenvoudig vanaf heeft gemaakt. Ongetwijfeld dat er nog een paar leaks komen waar AMD bij betrokken is, maar gezien de hoeveelheid gaten welke Intel heeft laten vallen vraag ik me sterk af of de performance van Intel ook niet een deel komt vanwege lakse omgang met beveiliging.

[equit1986]

ook is de impact van Intel vs AMD totaal anders. Intel zit zo'n beetje in alle systemen van de afgelopen 15 jaar. AMD is na jaren pas net weer terug. De installbase is compleet niet te vergelijken en dus de impact ook niet.

Misschien dat dit ook de reden is dat er meer wordt gefocused op Intel ipv AMD.

[naaitsab]

Zal ook een van de redenen zijn waarom men nu vooral bezig is met Intel CPU's onder de loep te nemen. 1 club heeft een lek gevonden en meer clubs haken daarop in omdat Intel zo'n grote en bekende speler is. Een onderzoek naar een lek in een VIA CPU zal weinig mensen boeien.

Als er in verhouding weinig te halen valt door een beperkt marktaandeel zal men minder tijd steken in het "kraken" van iets of publiceren van onderzoek. Beetje het oude verhaal van 'voor Mac's zijn geen virussen'. Ben benieuwd hoe lang het duurt voor de eerste lek bij AMD naar voren komt nu hun marktaandeel weer groeit. Altijd wel interessant leeswerk.

Zoals elke IT'er weet als een derde toegang heeft tot je systeem zelf, iets wat hiervoor nodig is dan ben je gewoon gezien als het een kundige hacker betreft. Wel of geen CPU lek. Dat is bij nagenoeg al deze lekken zo, iets wat best wel duidelijker vermeld mag worden, zelfs een a-technische site als de NOS haalt dat duidelijk aan.

[Gekke Jantje]

Bij AMD zijn er al meerdere lekken naar voren gekomen Ryzenfall bijvoorbeeld. En ook met performance verlies op Linux.

[jbhc]

Er zijn nou eenmaal heel veel meer Intel dan AMD CPU's. Het is dus ook niet zo gek dat er veel meer van dit soort problemen gevonden worden bij Intel. Dat is ook waar ik me op zou concentreren als onderzoeker / hacker.

[Reactie gewijzigd door jbhc op 23 juli 2024 11:04]

[ChAiNsAwII]

Dat t om Intel cpu's gaat mag ook gewoon in de titel staan...

[Wevenhuis]

Ik hoop niet dat de pcs hierdoor weer meer trager wordt. Dan worden computers wel erg duur als ze telkens gepatcht worden en kopers dwingt een duurdere processor te kopen om dezelfde prestaties te hebben dan voor de patch.

[TheDeeGee]

Van een 4770K naar een 950 in 2 jaar tijd...