Onderzoekers kunnen sleutels uit Trusted Platform Module in Intel-chips aflezen

Beveiligingsonderzoekers hebben opnieuw een groot lek gevonden dat in de meeste chips van Intel zit. Het gaat nu niet om een lek in speculative execution, maar in de Trusted Platform Module in de cpu's.

De kwetsbaarheid zit in de TPM, een chip waarop gevoelige informatie wordt verwerkt, zoals het tijdelijk opslaan van beveiligingssleutels. Zo'n TPM was vroeger nog een fysieke extra chip. Hoewel dat nog steeds af en toe voorkomt, maken de meeste fabrikanten inmiddels gebruik van een aparte microcontroller in de chip. De onderzoekers ontdekten het lek ook in dergelijke firmware based fTPM's. Daarin zit een 'timing-lek', waarbij de timestamp van de nonce kan worden afgeluisterd. Op die manier konden de onderzoekers een privésleutel van 256bit onderscheppen.

Opvallend is dat deze kwetsbaarheid in tegenstelling tot veel recente cpu-kwetsbaarheden praktisch in te zetten is, zeggen de onderzoekers. "Afhankelijk van het toegangsniveau op de machine kan een aanvaller in vier tot twintig minuten een sleutel uit de fTPM achterhalen", schrijven ze. Ook is het lek vanaf een afstand te misbruiken. De onderzoekers beschrijven hoe ze in vijf uur de authenticatiesleutel van een vpn-server wisten te onderscheppen. Daarvoor moesten ze zo'n 45.000 handshakes uitvoeren en daarvan de resultaten vergelijken.

Het lek werd ontdekt door beveiligingsonderzoekers van het Worcester Polytechnic Institute en de Universiteit van Californië in Amerika, en van de Universiteit van Lübeck. Het lek zit in het bijzonder in Intel-chips van na 2013 die beginnen bij de Haswell-generatie. Daarnaast is de ST33 TPM-chip van STMicroelectronics kwetsbaar. Die laatste wordt voornamelijk gebruikt in cloudservers. De lekken staan bekend als CVE-2019-11090 voor Intel-chips en CVE-2019-19863 voor de STMicroelectronics-chip, maar de ontdekkers noemen die ook wel TPM-Fail.

Zowel Intel als STMicroelectronics hebben inmiddels patches uitgebracht. Dat deden ze nadat de onderzoekers hen op het lek hadden gewezen. De laatste tijd verschijnen er meer lekken in Intel-cpu's. Eerder dit jaar bleek al dat vrijwel alle chips van het bedrijf kwetsbaar waren voor een side-channelaanval en deze week werd duidelijk dat dat lek nog steeds niet volledig is opgelost. In dit specifieke geval is het wel gemakkelijker om de kwetsbaarheid te patchen. Bij de eerdere speculative execution-kwetsbaarheden moest dat met een microcode-update, maar in dit geval gaat het om een relatief eenvoudige firmware-update.

Reacties (37)

[Eagle Creek]

Bewijst maar weer waarom je defense in depth nodig hebt.. Heb je data die écht beschermd moet worden, vertrouw dan niet uitsluitend op één beveiligingsmaatregel. In dit geval aan TPM-gerelateerd; bijvoorbeeld eenvoudigbeschermde diskencryptie. Een TPM wordt als heel krachtig gezien maar als je daar volledig van afhankelijk bent én er komt een kwetsbaarheid boven water, ga je nat.

Hetzelfde zie je bijvoorbeeld door de toegang tot al je geheimen/systemen te unlocken met zaken als TouchID / Face ID (of niet-Apple varianten). Zet je daar bijvoorbeeld je ook passwordvault onder die bescherming en zet je daar al je passwords in (met daarin weer toegang tot e-mail, recoverymogelijkheden, etc) laat je het principe van scheiding los. Advies: denk aan dataclassificatie in het klein. Moet ik met dezelfde beveiliging (password, chip, biometrie, etc.) toegang krijgen tot al mijn te beschermen data (shopping websites, e-mail, bankgegevens, BSN, DigID) of werp je wat extra drempels op om je data goed te beschermen. "Don't bet on a single horse"..

Wat mij ook op valt is wat je meer en meer ziet is dat aanvallen ook geavanceerder worden. Als 1% van de populatie sterke beveiliging gebruikt (TPM, 2Fa, etc.) is het veel interessanter 99% te targetten. Neemt het gebruik van die sterke maatregelen significant toe (diskencryptie mbv TPM standaard uitrol, 2FA verplicht op alle grote systemen), dan zie je ook dat een verhoogde interesse komt om kwetsbaarheden in deze systemen te vinden. En dan blijkt opeens dat de sterk geachte systemen ook niet 200% vertrouwd hadden mogen worden.

Dit vond ook nog een aardige achtergrond read:
https://www.zdnet.com/art...desktops-laptops-servers/

Benoemt ook twee verschillende TPM-kwetsbaarheden:
Onderscheid

However, as the hardware ecosystem evolved with modern smartphones and "smart" embedded devices, there was no room for a separate TPM chipset on all devices, and a 100% software-based solution was developed in the form of firmware-based TPMs -- also known as fTPMs.

Intel:

The first vulnerability is CVE-2019-11090 and impacts Intel's Platform Trust Technology (PTT).

STMicroelectronics:

The second is CVE-2019-16863 and impacts the ST33 TPM chip made by STMicroelectronics.

This chip is incredibly popular and is used on a wide array of devices ranging from networking equipment to cloud servers, being one of the few chips that received a CommonCriteria (CC) EAL 4+ classification -- which implies it comes with built-in protection against side-channel attacks like the ones discovered by the research team.

Staat deels ook al genoemd in het artikel maar vond het goed leesbaar.

[Reactie gewijzigd door Eagle Creek op 23 juli 2024 02:38]

[grasmanek94]

En daarom gebruik ik gewoon een extra lang en complex wachtwoord voor mijn disk encryptie. Computer vraagt het netjes tijdens startup, je went eraan. Klein beetje tijd die je inlevert voor meer veiligheid.

TPMs vertrouwde ik sowieso al nooit (in de context van geen lekken bevatten). Ik herriner mij ook nog erg goed het verhaal van TPM's... https://en.wikipedia.org/...ey_generation_controversy

[Reactie gewijzigd door grasmanek94 op 23 juli 2024 02:38]

[Verwijderd]

Dat extra lang wachtwoord kan in theorie ook gewoon afgeluisterd worden. Immers moet er een validatie plaatsvinden vanaf het moment dat je het wachtwoord intikt en deze vergelijkt met wat of hoe je deze opgeslagen hebt.

Het is gewoon een hardware CPU bug met exploit mogelijkheden. Dit is 'bestwel' serieus en laat zien dat CPU's niet zo veilig zijn als dat altijd werd gedacht.

[Elefant]

De Amerikanen hebben er voor gezorgd dat het onmogelijk is om gegevens veilig te houden door niet alleen op applicatieniveau, maar ook op OS-niveau, firmware niveau, apparatuur niveau (routers etc) en zelfs chip-niveau achterdeurtjes in te bouwen. Op alle niveaus zijn er achterdeuren.

Daarmee is het beveiligen van informatie vooral een rituele dans geworden. Er is alleen maar een relatieve veiligheid mogelijk in dat je de minder begaafde inbrekers en het grootschalig rondzwervende malware wat tegen kan houden. Tegen een gerichte aanval door een professional ben je machteloos.

De mensheid wordt bewust uitgekleed om zo een elite weer de grote macht terug te geven.

Als je daar iets tegen wil doen moet je niet in de eerste plaats denken aan technologische oplossingen omdat juist technologische oplossingen erg kennis en kapitaal intensief zijn en de machthebbers bevoordelen. In de wapenrace verlies je het altijd als gewoon individu of organisatie.

Hoe dan wel? Nou, door het fundament aan te pakken. Overheersing rust op centralisatie van macht. Centralisatie van macht kan alleen door standaardisatie. Vandaar dat overheersing van volkeren steeds samengaat met vergaande standaardisatie. Zelfde rekeneenheden, munt, wetten, regels, morele wetten (religie) enz. Alleen door alles gelijk te schakelen kan je centraal alles regeren. Vandaar ook dat de EU helemaal draait om harmonisatie, zo veel mogelijk de verschillen tussen landen, volkeren, bedrijven afbreken.

Wil je het juist moelijk maken om overheerst te worden dan moet je niet streven naar unificatie en standaardisatie, maar decentralisatie en diversificatie. Een van de redenen dat Linux veiliger is dan Windows is dat Linux zo een diverse landschap is. Het is een stuk kleiner doelwit dan Windows of Android, maar ook nog eens heel versnipperd. Dat betekent dat een aanvaller veel minder rendement heeft van zijn middelen en dat maakt het een stuk onaantrekkelijker.

Hoe meer wij centraliseren en standaardiseren hoe kwetsbaarder wij worden. De corporaties lopen alleen maar steeds grotere monoculturen te scheppen. Daarmee scheppen ze enorme grote en aantrekkelijke doelwitten. Zoiets als Facebook zal altijd misbruikt worden, niet in de laatste plaats door zijn eigenaren en grote belangen.

Ons wordt een unificatie opgedrongen. De zogenaamd "multiculturele" samenleving is dan ook geen schepping van variatie, maar proberen wereldwijd een unicultuur te scheppen waarin alles door elkaar heen gehusseld is en de verschillen oppervlakkig zijn geworden. Na de mixing pot van de Verenigde Staten van Amerika, ook maar een mixing pot van de Verenigde Staten van Europa. Alleen de volkeren die zich willen opwerpen als heersers (Israel, Saoedi Arabie) streven nadrukkelijk het handhaven van de eigen cultuur na. In het westen doen de machthebbers dat door al duizenden jaren door in eigen kring te trouwen en afstand te houden van het volk. In alle gevallen gaat het er om om macht en rijkdom in eigen kring te houden.

Hoe kan je de centrale onderwerping tegen gaan die nu globaal wordt uitgerold, waarbij het gewone volk volledig transparant wordt gemaakt, maar de elite zich juist steeds meer afschermt? Het antwoord is diversiteit! Weg van de globale standaarden die iedereen nu als zaligmakend ziet. Zaligmakend voor wie? Ja voor corporaties, de machtsapparaten van het grootkapitaal.

Wil je nog enige "eigenheid" kunnen handhaven dan moet je juist een veelheid van unieke standaarden, manieren van werken, apparaten gaan omarmen. Dingen bewust loskoppelen. Dat maakt de uitwisseling inefficient en duur en een mensenzaak. Maar levert daardoor volop lolale werkgelegenheid op. Zowel werkgelegenheid door verminderde competitie als om beperkte interfaces te ontwikkelen. Inefficientie is gewoon meer geld naar de factor arbeid. Laat dat nu net het inkomen van de gewone man zijn. Is het jullie opgevallen dat je in een stad twintig kleine concurrenten kan hebben maar op de wereldmarkt al gauw nog maar twee supergrote?

Laten we daarom streven om centrale systemen te dumpen en over te stappen op decentrale systemen die het niet mogelijk maken om ze centraal te besturen. Als ze niet centraal te besturen zijn is het ook moeilijk om er centraal op in te breken en zo hopen slachtoffers te maken.

De Natuur houdt van diversiteit! Daarom zal een ziekte nooit meerdere diersoorten uitroeien. Daarom zal een bananenschimmel niet alle bananen uitroeien zolang we maar de diversiteit tussen bananen in stand houden. De diversiteit is de bescherming!

De mens houdt van nature ook van diversiteit, daarom hebben zich zo veel verschillende culturen ontwikkeld. De hang naar centralisme en uniformiteit komt enkel uit de koker van machthebbers die alsmaar grotere systemen ontwikkelen om nog meer macht uit te oefenen. De natte droom van deze zieke geesten is wereldheersschappij. Daartoe onderwerpt men niet alleen de mens aan centrale systemen, maar heeft men ook ideologieen geschapen om het denken van de mensen gelijk te richten. Om van vrije mensen een kudde schapen te maken, zodat de schapen de dezelfde kant op lopen als de herders de juiste dingen roepen.

Het is echt triest hoe klakkeloos bijvoorbeeld het idee wordt omarmd dat stikstof een probleem zou zijn, terwijl het door de wetgever zelf geschapen is door de norm te laag te leggen. Waar is de vrije pers gebleven? Hoe schaapachtig is onze bevolking geworden door onderwijs waarin men politiek correct denken krijgt ingegoten waarvan men niet meer kan afwijken zonder tot zwart schaap te worden.

De vraag is. Willen wij vrije mensen zijn? Of willen ons wederom tot schapen laten maken? Schapen die nu mondiaal anoniem gestuurd kunnen worden door naamloze belanghebbenden die zich op de achtergrond houden en verschuilen achter hun systemen. Die van boven de grote kapitaalstromen sturen en zich verder weinig bekommeren wat de gevolgen op "ground level" zijn

Dat is geen technische vraag maar een extenstiele vraag.

Is dit de toekomst die jullie wensen? Allemaal braaf uit de Google en Netflix ruif eten? Werken in stressbanen voor corporaties die de productie gemonoliseerd hebben? Je afreageren in consumptieverslavingen? Helemaal ingeregen worden in allerlei regeltjes die je opgelegd krijgt van een overheid, waarvan de politici de grote belangen dienen om zelf hoger op de bureaucratische apenrots te kunnen klimmen. Die de soevereiniteit uitverkopen door verdragen te tekenen die boven de eigen wetten, zelfs de grondwet worden gesteld en ondemocratisch tot stand komen?

Wat is dit voor bestaan? De moderne mens is een veredelde melkkoe geworden, die mee helpt zichzelf overbodig te maken door zijn bestaan te verengen tot die van productie-eenheid die afgelost kan worden door goedkopere kunstmatige productie-eenheden. Ja zegt de optimist. Het valt echt wel mee, zo snel is de mens nog niet helemaal te vervangen (Nadruk op nog niet en helemaal).

Wij moeten eens ophouden te streven naar efficiente systemen en gaan streven naar menselijke systemen. Menselijk systemen zijn systemen die de menselijke maat hebben, niet een globale maatvoering. Alleen op micro-niveau kunnen wij onze menselijkheid gestalte geven, en niet als radertjes in een grote machine, wat ze ons nu aan het aanpraten zijn.

Dan verdwijnen vanzelf ook al deze problemen van onveiligheid, want die zijn gewoon eigen aan de megalomane schaal die machthebbers nastreven. De vraag is of the westerse mens nog genoeg individualiteit (niet individualisme = egocentrisme) heeft om zijn mens-zijn te beschermen.

Vraag je maar eens af: Hoe dien ik de mensheid het best? Centralisatie of decentralisatie? Standaardisatie of individualisering? Kaalkappen of verrijken met diversiteit?

[Reactie gewijzigd door Elefant op 23 juli 2024 02:38]

[kimborntobewild]

Security through obscurity (diversiteit) werkt (ook) niet, hoor . Al sinds 1851 debunked.
https://en.wikipedia.org/wiki/Security_through_obscurity
Als men wil dat alles veiliger wordt, moet men van de grond af aan overal Open Source invoeren: vanaf CPU-level t/m je eind-software. Het is heel simpel: als iets Open Source is, kom je er simpelweg niet mee weg als je er een achterdeurtje of grove security-fout in hebt zitten: immers, iedereen kan meelezen.
Open Source is zeker geen garantie dat de software veilig is; maar het is wel een voorwaarde!

Het is echt triest hoe klakkeloos bijvoorbeeld het idee wordt omarmd dat stikstof een probleem zou zijn, terwijl het door de wetgever zelf geschapen is door de norm te laag te leggen

We kunnen natuurlijk ook net als de Japanners doen: als na een kernramp in grote gebieden de straling hoger is geworden, dan simpelweg de 'gevaar-limiet' opeens verhogen...
Het probleem is de overbevolking. Zelfs als je opeens 10x minder rotzooi in de oceanen gooit bijvoorbeeld (wat gewoon niet zal gebeuren met milieu-terroristen zoals Trump aan de macht), wordt er nog steeds elke dag 2,7 miljoen kilo plastic in de oceanen gedumpt. Met (teveel) stikstof en andere schadelijke stoffen is het niet anders: met véél mensen, houdt je áltijd véél afval en gif; tenzij je 100% recycling van alle afvalstoffen verplicht stelt.

[Reactie gewijzigd door kimborntobewild op 23 juli 2024 02:38]

[cricque]

Of je hebt alleen een USB toetsenbord en USB is niet geladen voor je TPM module ... Dan kan je alsnog zien dat je een "oud" ps2 toetsenbord hebt. Weet niet als het nu zo is, maar heb het ooit voorgehad een aantal jaren terug.

[Verwijderd]

Is er al een variant op Wirths law maar dan voor veiligheid? Hij zei bloat neemt sneller toe dan Moore rekenkracht toevoegt. Ik heb het idee dat we nu een tijd betreden waarbij kwetsbaarheden steeds sneller en meer misbruikt worden van beveiliging beter wordt.

[DarkJack]

Realiteit is echter wel dat PTT veeeeel minder gebruikt wordt dan de meeste mensen denken. Meeste vendors, zeker voor business systemen, gebruiken dTPMs van bijvoorbeeld Infineon of Nuovoton, en op consumer systtemen is PTT niet eens enabled. De totale impact is minder groot dan het artikel doet uitschijnen, maar dat wil niet zeggen dat er 0 impact is, verre van.

[dasiro]

de kans dat bedrijven die iets of wat met hun cybersecurity bezig zijn zich beperken tot een single point of failure is nihil te noemen. Tegenwoordig kom je daar altijd minstens firewalls, vlans, virusscanners en mailfilters tegen, aangevuld met 2FA, TPM, offsite/offline backups, storage-device restrictions in combinatie met DLP en dergelijke meer tegen. Quasi alles is zonder dat users er iets van merken, behalve 2FA en het feit dat ze hun usb-stickje niet kunnen inpluggen.

[beau-key]

"TPM-Fail" and "Researchers Discover TPM-Fail Vulnerabilities Affecting Billions of Devices" is a click-bait title and actually not true.

Only a subset of all (billions) TPMs have a problem. Intel is using a firmware (!) based TPM and the ST Micro has a physical TPM chip. The problem here is the implementation of an algorithm (Elliptic Curve signatures).

The problem in Intel's fTPM is solved by a firmware update. Problem detected, vendor fixed, firmware released, firmware implemented. Get over it. This happens every day everywhere! Check the number of security updates on your smartphone.

The ST Micro (physical) TPM chip problem is bad, because you cannot replace TPM chip. The only mitigation is to not use Elliptic Curve with this TPM.

However, this shows another fundamental TPM problem: the use of cryptographic algorithms that might (will?) show fulnerabilities over time. E.g. the TPM1.2 is using SHA1, which is consiedered less secure today. Bad algorithms can be replaced by fTPM implementations (see the Intel example) and/or the TPM should be used more for establishing trust of the device ID and build on that trust the secure solution, not necessary with algorithms from the TPM.

(Mijn eerder commetaar op dit artikel: https://thehackernews.com...ryption-keys-hacking.html)

[Reactie gewijzigd door beau-key op 23 juli 2024 02:38]

[Blokker_1999]

Altijd netjes wanneer je zo aan bronvermelding doet...

Je vergeet wel even dat de kwetsbaarheid 6 jaar lang bestaan heeft in vele CPUs van de grootste processorfabrikant ter wereld en dat het misbruiken ervan relatief eenvoudig was. En dan kom je bij het klassieke verhaal: we zullen nooit weten of er actief misbruik van is gemaakt, nog zullen we weten hoeveel devices nooit de nodige updates zullen krijgen.

[beau-key]

"Altijd netjes wanneer je zo aan bronvermelding doet..." => Fixed.

"Je vergeet wel even dat de kwetsbaarheid 6 jaar lang bestaan heeft in vele CPUs van de grootste processorfabrikant ter wereld en dat het misbruiken ervan relatief eenvoudig was" => correct, maar hoeveel kwetsbaarheden zitten er nog verder in Intel chips en wanneer weten we dat?

Punt is dat je niet je beveiliging op een enkele factor in moet zetten. Liever twee zwakke factoren in MFA dan een heel sterk wachtwoord. Het probleem is niet de kwetsbaarheid (die zullen er altijd zijn/komen), maar je hoe de kwetsbaarheid gaat mitigeren.

[Blokker_1999]

maar hoeveel kwetsbaarheden zitten er nog verder in Intel chips en wanneer weten we dat?

Niet, maar dat maakt van de titel natuurlijk nog geen click-bait. De titel is correct op elk systeem dat de update nog niet heeft doorgevoerd. En ik ben er vrij zeker van dat het om meer dan een handvol systemen gaat. Hoe vaak doe jij firmware updates van de chips op je computer? Ik ken niet veel mensen die het doen onder het motto: if it ain't broken, don't fix it. Want een firmware flash die misgaat durft wel eens ergere gevolgen te hebben dan een update van je OS die misloopt.

TPM is inderdaad maar 1 factor, maar ik ga niet akkoord met de stelling dat je liever 2 zwakke factoren hebt met MFA dan 1 sterke factor. Want als je zwakke factoren hebt zijn ze eenvoudiger aan te vallen. En als 1 dan zeer eenvoudig omvalt kom je ineens uit op nog maar 1 zwakke factor die je moet overkomen. Want verder dan 2FA gaan mensen over het algemeen niet met MFA. Beter 2 sterke factoren in MFA dan 1 sterk wachtwoord.

[beau-key]

De "click bait" was gericht op de titel van het originele artikel:"Researchers Discover TPM-Fail Vulnerabilities Affecting Billions of Devices", wat gewoon niet waar is => fixed

Als die ene factor omvalt, hoe sterk ook, dan ben je klaar. Als je twee verschillende (zelfs zwakkere) factoren gebruikt, moet je twee verschillende aanvallen doen voor hetzelfde resultaat.

[CH4OS]

correct, maar hoeveel kwetsbaarheden zitten er nog verder in Intel chips en wanneer weten we dat?

In de CPU's zitten wel meer kwetsbaarheden; niet zozeer TPM specifiek, maar van de week zijn ook weer nieuwe Spectre-like lekken gevonden. Bron: https://www.extremetech.c...t-critical-security-fixes

Wanneer we dat weten, is meestal zo rond de 90 dagen na vondst. Intel wil zelf eerst de zaak onderzoeken en oplossen, daarom dat de microcode updates zo snel uitgebracht leken te zijn na het uitbrengen van het nieuws.

[Reactie gewijzigd door CH4OS op 23 juli 2024 02:38]

[The Zep Man]

Niet zo ernstig als dat het lijkt. Een soortgelijk issue zou in een volledige software-based SSL/TLS stack kunnen voorkomen. Zolang het op firmware niveau te mitigeren is, is er niets aan de hand wanneer het updatebeleid op orde is (wat het anno 2019 zou moeten zijn).

Update installeren en weer door.

[Verwijderd]

"De onderzoekers beschrijven hoe ze in vijf uur de authenticatiesleutel van een vpn-server wisten te onderscheppen"

Ik vind dit WEL een ernstig probleem. Zoals we allemaal weten doen maar heel weinig gebruikers een firmware update, vaak omdat het nogal angstaanjagend is voor veel gebruikers, omdat je apparatuur helemaal offline moet etc.

Op fora van netwerkbeheerders is het gevloek niet van de lucht omdat Intel weer (!) zijn zaakjes niet op orde heeft.

[The Zep Man]

Zoals we allemaal weten doen maar heel weinig gebruikers een firmware update, vaak omdat het nogal angstaanjagend is voor veel gebruikers, omdat je apparatuur helemaal offline moet etc.

Dit is het ernstige probleem. Niet dat iemand een fout maakt en daarvoor een patch uitbrengt.

Op fora van netwerkbeheerders is het gevloek niet van de lucht omdat Intel weer (!) zijn zaakjes niet op orde heeft.

Net als dat zij zullen vloeken als bijvoorbeeld Microsoft of OpenSSL de zaken niet op orde hebben. Als al die energie gestopt zou worden in een solide updatebeleid en technische middelen om dat te ondersteunen dan zou er ook minder reden zijn om te klagen.

Natuurlijk kan je dit gebruiken om Intel te bashen. Dat voelt lekker, maar daar schiet niemand wat mee op. Het is hetzelfde als zoveel jaar geleden met Spectre en Meltdown: enkel voor kritieke systemen die pieken op moeten vangen hebben de updates significante invloed in de praktijk. Leer daarvan, en koop in de toekomst systemen met een overcapaciteit aan CPU in de wetenschap dat daar door updates in de toekomst wat vanaf gesnoept kan worden.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 02:38]

[latka]

Is dat niet de wereld omkeren? Hardware stond (in tegenstelling tot software) altijd bekend om de veel stringentere tests die doorlopen werden. Sinds dat hardware 3/4 software is geworden en patches mogelijk zijn lijkt men gestopt te zijn met testen. Het voelt een beetje als Rijkswaterstaat een wijze vind om viaducten remote te updaten men de constructie eisen per direkt loslaat en een paar planken over de weg legt en deze blijft fixen op basis van het aantal autos wat er doorheen zakt. Niet wenselijk imho.

[kimborntobewild]

Ja, dat is inderdaad de boel omkeren. Thuisgebruikers doen sowieso zelden aan firmware-updates (tenzij ze automatisch met windows-updates meekomen). En, zoals al gezegd, zijn daar zelfs goede redenen voor (kans dat je apparaat helemaal niet meer werkt als het mis gaat), ook als je wel weet dat je tegenwoordig ook je firmware regelmatig moet updaten.

[kern32]

Volgens mij ben je in de war met BIOS update.
Want firmware updates komen via Windows update of in de *nix wereld komt dit ook gewoon in een package.

[triflip]

TPM firnware update krijg je dus niet via windows updates binnen, je TPM met namelijk gecleared zijn voordat je de firmware ervan kan updaten.

BIOS updates krijg ik dan weer wel via Windows updates binnen.

[latka]

CPU microcode updates komen via Bios of windows (vaak eerder via bios, maar zelfs dan nog vrij laat). TPM updates: hangt van de TPM af. Voor Intel is dit de ME-Firmware. Op mijn Lenovo laptop komt die met de Lenovo updater binnen. Windows update iig. niet. Laatst een oud intel mobo aangesloten. Bios update daarvan bevatte wel de ME update.

[Fermion]

Is dit hetzelfde bericht als in:

Onderzoekers VU: ‘Intel loog over oplossen lek in chips’
https://www.ad.nl/tech/on...en-lek-in-chips~acb207e0/

[Reactie gewijzigd door Fermion op 23 juli 2024 02:38]

[TijsZonderH]

Nee, dat ging over een speculative execution-aanval, dit is iets anders. Wel tegelijkertijd gepatcht.

[Fermion]

Het verhaal gaat dat zelf de patch niet zou hebben geholpen, achteraf weer een nieuwe patch. Hoop dat ze dit ook kunnen staven, zorgwekkend allemaal.

[TijsZonderH]

We schreven hier gisteren ook zelf over

[Robbaman]

Gelukkig is dit relatief eenvoudig te fixen. Gewoon rebranden naar UNtrusted Platform Module en klaar is kees!

[kimborntobewild]

Er zijn toch geen CPU's meer te krijgen zonder TPM?

[Jorgen]

Wat is het verschil tussen microcode en firmware?

[tweaknico]

micro code is van "oudsher" de naam voor firmware voor een CPU.
In de ICT oudheid (jaren '70, begin '80) waren CPU's compleet hardware schakelaars.
Vanaf begin '80 komen er CPU's die "programmeerbaar" worden, de machine code wordt door "micro-code" aangestuurd. Meestal is de micro-code een aanvulling op de bestaande machine code, of een vervanging. Een CPU kan ten minste bepaalde core functies uitvoeren zonder dat er microcode geladen wordt.
Moderne CPU's zijn overigens een collectie van simpele processoren die amen werken aan het grote geheel van "de CPU".

Later komen er aparte controllers (voorheen ook hardware only) die programmeerbaar worden.
De software voor die hardware wordt firmware genoemd.. (het maakt de hardware aanpasbaar)...

Moderne netwerk /disk etc.controllers zijn volledige computer systemen die qua performance de 1970-1990 systemen volledig overklassen, en in het geheel niet meer zonder firmware kunnen.

[MadEgg]

TPM zet ik altijd uit. Sleutels en encryptie beheer ik zelf, ik vertrouw niet een gesloten chipje. Hier blijkt ook maar weer dat die zeker niet onfeilbaar is.

Wel fijn voor de gebruikers dat het in firmware gepatched kan worden.

[Blokker_1999]

Tenzij je wachtwoorden gaat hergebruiken zal je toch echt je wachtwoorden moeten gaan beheren op een bepaalde manier. Dus moet je altijd iets gaan vertrouwen om je daarbij te helpen.

[MadEgg]

Ja, open source password managers inderdaad.

[Batiatus]

Ik weet niet hoe relevant het is voor deze aanval, maar een 256-bit sleutel is toch niet actueel meer? Zitten we tegenwoordig niet op 2048bit? In hoeverre verlengt dit de aanvalstijd?

[N8w8]

Symmetrische crypto (versleutelen en ontsleutelen met zelfde key) gaat doorgaans tot 256 bit.
Public key crypto gaat tot 4096, omdat daarbij meer bits nodig zijn voor dezelfde veiligheid.
(simpel gezegd)

[Saven]

Daarom gewoon een tekst password op je Bitlocker ipv een TPM chip