• Hallo liebe Userinnen und User,

    nach bereits längeren Planungen und Vorbereitungen sind wir nun von vBulletin auf Xenforo umgestiegen. Die Umstellung musste leider aufgrund der Serverprobleme der letzten Tage notgedrungen vorverlegt werden. Das neue Forum ist soweit voll funktionsfähig, allerdings sind noch nicht alle der gewohnten Funktionen vorhanden. Nach Möglichkeit werden wir sie in den nächsten Wochen nachrüsten. Dafür sollte es nun einige der Probleme lösen, die wir in den letzten Tagen, Wochen und Monaten hatten. Auch der Server ist nun potenter als bei unserem alten Hoster, wodurch wir nun langfristig den Tank mit Bytes vollgetankt haben.

    Anfangs mag die neue Boardsoftware etwas ungewohnt sein, aber man findet sich recht schnell ein. Wir wissen, dass ihr alle Gewohnheitstiere seid, aber gebt dem neuen Board eine Chance.
    Sollte etwas der neuen oder auch gewohnten Funktionen unklar sein, könnt ihr den "Wo issn da der Button zu"-Thread im Feedback nutzen. Bugs meldet ihr bitte im Bugtracker, es wird sicher welche geben die uns noch nicht aufgefallen sind. Ich werde das dann versuchen, halbwegs im Startbeitrag übersichtlich zu halten, was an Arbeit noch aussteht.

    Neu ist, dass die Boardsoftware deutlich besser für Mobiltelefone und diverse Endgeräte geeignet ist und nun auch im mobilen Style alle Funktionen verfügbar sind. Am Desktop findet ihr oben rechts sowohl den Umschalter zwischen hellem und dunklem Style. Am Handy ist der Hell-/Dunkelschalter am Ende der Seite. Damit sollte zukünftig jeder sein Board so konfigurieren können, wie es ihm am liebsten ist.


    Die restlichen Funktionen sollten eigentlich soweit wie gewohnt funktionieren. Einfach mal ein wenig damit spielen oder bei Unklarheiten im Thread nachfragen. Viel Spaß im ngb 2.0.

[Tarnkappe] Sicherheitslücke: Supergau bei Prozessorherstellern

meltdown_spectre.png


Sicherheitsforscher haben kürzlich mehrere schwere Designfehler in zahlreichen Computer-Prozessoren (CPUs) entdeckt, die ein Auslesen von geschützten Inhalten durch normale Programme sogar aus der Ferne ermöglichen. Dadurch ist es theoretisch möglich, dass eine Webseite mittels Javascript auf Passwörter und andere sensible Inhalte des Computers eines Besuchers zugreifen kann, die sich gerade in seinem Arbeitsspeicher befinden.

Besonders schlimm hat es Intel getroffen, da hier gleich zwei verschiedene Hardware-Bugs entdeckt wurden. Der Intel-spezifische Fehler wird als Meltdown (“Kernschmelze”) bezeichnet und befindet sich in Prozessoren der letzten 20 Jahre bis zurück zum Pentium Pro. Der andere Fehler, der teilweise auch AMD und die Hersteller von ARM-CPUs betrifft, wird Spectre (“Gespenst”) genannt. Insbesondere Spectre wird sich nicht vollständig durch Software beheben lassen. Die beiden Namen wurden übrigens wegen der Dramatik der Fehler aus James-Bond-Filmen entnommen.

[h=3]Betriebssystem-Hersteller arbeiten fieberhaft an einer Lösung[/h]

Seit Tagen arbeiten Microsoft und zahlreiche Linux-Entwickler mit Hochdruck an ihren Produkten, um Notfall-Patches zu entwickeln und die Fehler durch neue Software des innersten Bereichs des Betriebssystems – den Kernel – zu beheben. Apple hält sich mit Aussagen etwas bedeckt, doch auch deren CPUs, unter anderem von ARM und Intel, enthalten den Fehler.
Die neue Kernel-Software bringt je nach Prozessor auch erhebliche Geschwindigkeitseinbußen von bis zu 30% mit sich, was insbesondere für Netzwerk- und Datei-intensive Programme gilt, bei denen häufig Funktionen des Betriebssystems aufgerufen werden. Diese sogenannten Kontext-Wechsel zwischen Benutzer-Programmen und Kernel können durch die geflickte Software sehr verlangsamt werden – sehr zum Ärger der Benutzer.

[h=3]Fehlerhafte Hardware ist verantwortlich[/h]

Normalerweise werden Fehler in Computern durch neue Software behoben, doch in diesem Fall ist die Hardware schuld, was eine Reparatur mit Software-Updates sehr erschwert. Daher wäre es wesentlich sinnvoller, den Fehler direkt zu beseitigen, statt an der Software herumzudoktern. Doch leider gibt es noch keine fehlerfreie Hardware, weil die erst entwickelt werden muss. Bis dahin wird man mit geflickten Betriebssystemen vorlieb nehmen müssen, sofern diese überhaupt zur Verfügung gestellt werden. Insbesondere für ältere Geräte mit fester Firmware wird das zum Problem. Betroffen ist der komplette Sektor von Smartphones und Routern, über Unterhaltungselektronik, Industrie-Maschinen und alles was als Internet-of-Things (IoT) bezeichnet wird oder irgendwie am Internet hängt und mit defekten CPUs arbeitet.

[h=3]Intel-Führung hat bereits ihre Firmenaktien verkauft[/h]

Wohl in weiser Voraussicht des kommenden Schadens hat die Führung von Intel bereits Ende letzten Jahres die Aktienanteile an der Firma zu Geld gemacht, um einem drohenden Kursverlust zu entgehen. Der Chef bestreitet natürlich die Vorwürfe. Das ist die hässliche Seite des Problems. Andere Firmen werden möglicherweise auch bald folgen…
Zwischen dem 5. und 10. Januar beabsichtigen Amazon und Microsoft schrittweise ihre großen Cloudserver herunterzufahren, um Notfall-Patches zu installieren, da auch deren riesige Computerfarmen betroffen sind.


https://tarnkappe.info/sicherheitsluecke-supergau-bei-prozessorherstellern/Quelle
Autor: Kati Mueller
Quelle
 

Shodan

runs on biochips

Registriert
14 Juli 2013
Beiträge
661
Ort
Citadel Station
Naja es ist halt schon so eine Sache, wenn die PR Abteilungen sagen "das ist jetzt nicht sooo schlimm" und dabei versuchen sich so hinzustellen, dass die Kameras der Medien nicht mitbekommen, wie im Hintergrund die Clouds vom Amazon, Google und Microsoft rebooten ;)

Den meisten Usern ist das halt egal. Da gilt im Grunde: wenn jemand Code auf meiner Maschine ausführen kann, hab ich eh verloren. (BRB Freeware Apps downloaden, installieren und immer "ja" und "amen" klicken :P JavaScript per Whitelist? Schadet doch nur der Usability. Ihr habt Passwörter zu verbergen? Ihr pöhsen Teletouristen!)

Für die PaaS und IaaS Anbieter hingegen sind die Lücken halt ein GAU: deren Infrastruktur-Sicherheit baut darauf, dass der Code ihrer Kunden den Hypervisor nicht angreifen kann. Wenn du nun bedenkst, dass zum Beispiel die US Army zu den Kunden der Cloud-Anbieter zählt, dass die "GovCloud" nur ein Whitelabel von Amazon ist, dann wird klar, warum die Cloud im Hintergund rebooten muss, während die PR Abteilung der Bevölkerung was vom Pferd erzählt.
Würde mich nicht wundern, wenn da noch andere Sachen im Hintergrund passieren. Ich könnte mir zum Beispiel vorstellen, dass einige Behörden/Konzerne gerade von den Cloudanbietern fordern, dass die eigenen Systeme nicht auf der selben Hardware laufen wie die von irgendwelchen nicht vertrauenswürdigen Dritten. Nur für den Fall der Fälle. Die NSA lacht sich dabei natürlich ins Fäustchen und zeigt auf die Rechenzentren unter eigener Verwaltung, nur um dann einen Anfall zu bekommen, wenn sie feststellen, dass der Wordpress Blog von Major Noob auch seit Jahren ohne Update auf der MilCloud läuft. Brav isoliert in einer VM, die sich ihren Intel CPU mit einer VM teilt, die Raketenwerfer im Irak koordiniert. What could possibly go wrong?
(Reine Spekulation natürlich, alle meine Infos zur MilCloud habe ich von der ersten Seite der Googlesuche)
(Btw CSRA, die Betreiber der MilCloud, suchen händeringend nach IT Experten. Einsatzort ist... Fort Meade. )

Interessant ist Meltdown halt vor allem für all jene, die wissen wie man ein Kernel-Update macht. Das ist allerdings nur eine Minderheit der Bevölkerung, auch wenn man hier im NGB gelegentlich das Gegeteil wahrnehmen mag. Insofern bin ich für das Medienspektakel auch dankbar, denn als ITler kann man dem Management einfach die Tageszeitung hinlegen, wenn die wissen wollen, warum man ein laufendes System plötzlich anfassen will (um dann nebenbei das andere Dutzend noch offenen Lücken gleich mit dicht zu machen).

Und vielleicht redpilled so ein Spektakel ja auch ein paar ITler, die trotz besserem Wissen und Gewissen aus purer Faulheit die eigene Infrastruktur schändlich vernachlässigen. (Do you think Spectre is a problem? No. Why not? There is a krack in the wall and the front door is open.)

Spectre-basierende Exploits in JavaScript dagegen sind einfach nur ekeleregend. Ich habe keinerlei Ahnung was in den Darkweb Marktplätzen gerade abgeht, aber ich vermute mal, dass dort mit mehr oder weniger funktionalem Spectre-basierendem Angeboten richtig Kohle gescheffelt wird. Target sind natürlich die DAUs, Leute die mit einem Browser surfen, der die Passwörter für ihre Social-Media-Identity, ihre Bankkonten und E-Mail Accounts kennt. Ebenso sieht es sicher im Smartphone-Bereich aus. Malware Apps lesen den Speicher anderer Apps aus. Tolle Wurst. Die Medien schreiben brav die Meldungen der PR ab: "zu hart zu exploiten, als dass der typische Kriminelle das hinbekommt" und übersehen dabei die Realität: Malware wird heute modular zusammengekauft. Es braucht nur ein paar High-End Geeks mit krimineller Energie um die nächste Welle Malware ins Rollen zu bringen. "Keine bekannten Exploits" ist eine Beruhigungspille für die Masse. There is PoC code is in the f***ing Whitepaper! Und das ist in der News verlinkt. Klar 99% öffnen das gar nicht erst. Und 99% derer, die es öffnen schließen es gleich wieder. Und 99% von denen, die es lesen versuchen damit nichts böses. Aber 1 Millionstel sind allein in der EU halt immer noch 350 Personen. Wenn 99% davon keinen Erfolg haben, dürften auf dem Schwarzmarkt in den nächsten Tagen 4 unterschiedliche Implementationen auftauchen. (Rundungsfehler dürft ihr behalten.) Und auf denen baut dann eine ganze Generation an neuen Modulen auf. Für Smartphones werden Module auftauchen die typische Massenmarkts-Apps angreifen. Google präsentiert "Retpolin" als Mitigation für solche Target-Apps gegen Branch-Target-Injection (Spectre Variante 2) und released am 3ten Januar still und heimlich schon mal eine neue Version der GMail App. Releasenote: "Fehlerkorrekturen und Leistungsverbesserungen." Ob es da einen Zusammenhang gibt? Wahrscheinlich nicht, ist zu früh, noch wird bei Retpoline ja darüber diskutiert Compiler anzupassen.

Diese ganze "hart to exploit" versus "modular malware" ist ein wenig so, wie wenn dir jemand erzählen will, Webseiten wären extrem schwierig, weil man dafür ja erstmal ein Betriebssystem und einen Webserver implementieren muss. Krypto ist auch schwierig. Deswegen nutzt man ja Libs, statt Krypto zu implementieren. Allen ernstes: hat hier jemand einen Taucheranzug und kann mal im Deepweb nachsehen gehen, was die Szene gerade so treibt? Bisschen Recherche machen? Wär doch ein schönes Thema für einen Artikel in der Tarnkappe. *hust 8900$ auf Scylla hust* sorry hab mich verschluckt.


Aber nun zurück zum Thema "Alles halb so wild": was sollen einem die PR Abteilungen der Konzerne den sonst bitte erzählen?
Natürlich ist das alles nicht so schlimm, wenn man immer alle Updates installiert, keine Links anklickt, nicht irgend welche Sachen herunterläd, nur vertrauenswürdigen Code ausführt, für jeden Dienst ein anderes Passwort hat, diese weder elektronisch speichert noch aufschreibt, Banking nur in der Filiale der Hausbank macht und den Computer abends in die Microwelle legt und morgends einen neuen kauft.
Also alles gar kein Problem, in der Realität, oder so? Wer sich daran nicht hält war ja vor Spectre auch schon am Ar***, wo also ist das Problem?
Da gab es doch mal so einen Spruch zum Thema "privilege escalation": man braucht das nicht. Man braucht nur den Code der die interessanten Daten klaut und eine App, die die Leute haben wollen. Die Rechte geben die dann selbst: "to install FreeShit you must disable your antivirus and run the installer as admin." - sounds reasonable, what could possibly go wrong?
Sorry ich bin noch im letzten Jahrtausend... "FreeShit needs access to your contacts, camera, keyboard, microphone and memory. FreeShit may upload your name, address and videos of your face and fingerprints to the cloud. Swipe right to accept." - what could possibly....


TLDR wer erklärt diese Lücken seien nur ein Tropfen auf dem heißen Stein verweist bei Diskussionen über Tschernobyl auch auf "kosmische Strahlung"

Umpf jetzt ist es schon nach vier ... ich hätte beim "im NGB nen Rant schreiben" nicht nebenbei noch die Whitepapers lesen sollen :D Ich steig jetzt aus und schließ mich den 99% an.
 

cokeZ

Aktiver NGBler

Registriert
14 Juli 2013
Beiträge
4.435
@alter_Bekannter: Der Aktienverkauf muss bei "Insidern" weit vorher geplant werden - wobei ich nicht genau weiß was "weit" bedeutet. Der Verkauf zum Ende des Jahres und die Order im Oktober wurden jedenfalls schon Monate vorher geplant.
Da muss Intel schon sehr früh von den Problemen gewusst haben - aber selbst wenn sie es wussten - ist es dann ein zufall das der Verkauf bei der Veröffentlichung passiert da wohl weniger zu ahnen war wann die Bombe platzt.

Laut Berichten wusste Intel seit Juni 2017 bescheid.

https://www.heise.de/newsticker/mel...se-fuer-immer-und-ewig-verkaufen-3934829.html
 

drfuture

Zeitreisender
Teammitglied

Registriert
14 Juli 2013
Beiträge
8.730
Ort
in der Zukunft
Ja, aber a) kann die Frist auch 12 Monate sein, vielleicht finde ich das noch.... Und zum anderen konnte der ceo damals wohl kaum wissen das das ganze bis Dez. Unter Verschluss bleibt bis er verkauft hat. Die Frist dürfte erst später erstanden sein - normal sind es ja 90 Tage
 

alter_Bekannter

N.A.C.J.A.C.

Registriert
14 Juli 2013
Beiträge
4.823
Ort
Midgard
@MSX:
Welche Zeitung war das? Der Postillon oder Titanic?

@Shodan:
Erinnert mich an das heise Forum zu Lets encrypt. Da geht die Diskussion wirklich:
"MitM macht doch keiner SSL für jeden ist schlecht weil dann die Virenscanner nicht mehr dran kommen."

Komödie auf höchstem Level.
 

alter_Bekannter

N.A.C.J.A.C.

Registriert
14 Juli 2013
Beiträge
4.823
Ort
Midgard
Eigentlich nicht besonders schockierend, die reguläre Bild ist ja auch nur für Männer die als Karikatur geboren worden.

Aber dennoch muss ich noch mal Fragen:
Echt oder nur ein Witz?
 

Der3Geist

always feed the fish

Registriert
14 Juli 2013
Beiträge
2.702
Ort
Hessen
Sicher eine zu groß aufgezogene Panikmache.

Wie schon geschrieben wurde, um die Lücke auszunutzen, muss erstmal entsprechender Code auf das Gerät kommen.
Wenn man nicht völlig Bekloppt ist, sollte PC oder Smartphone dabei komplett verschont bleiben.

Wenn der Weg auf das Gerät schon unterbunden wird, spiel es keine rolle ob der Chip für irgendwelche lücken anfällig ist oder nicht.

Allerdings scheint die auch für Konsolenhersteller der Absolute Supergau zu sein, denn wie ich schon in diversen Foren lesen konnte, sind wohl auch XBox / Playstation davon betroffen, und diverse Gruppen konnte schon "irgendwie" die Lücke nutzen.
Allerdings sind die Infos darüber sehr dünn und die Hersteller werden wohl "zügig" Updates nachschieben.
 

alter_Bekannter

N.A.C.J.A.C.

Registriert
14 Juli 2013
Beiträge
4.823
Ort
Midgard
Ein performance downgrade für ohnehin schon teilweise recht knapp bemessene Hardware.

dis gunna gid gud.

Insbesondere Sonys PR Arbeit dazu.

Dank an nik, das heisst die Zeitung kann man wohl doch ernstnehmen. Allerdings war der Patzer schon recht peinlich.
 

profi200

Neu angemeldet

Registriert
14 Juli 2013
Beiträge
739
Ort
ngb.to
Die ganzen "fixes" die raus gehauen werden sind alle nichts als workarounds. Die CPU Hersteller sind die schuldigen und sollten ihren Arsch hoch kriegen und das beheben. Wenigstens ARM versucht es nicht schön zu reden.

Ich finde es wichtig, dass es Beispiel Code oder sogar libs für Meltdown und Spectre gibt. Nur wenn die CPU Hersteller schlechtes PR bekommen werden sie es auch auf ihrer Seite beheben. Es geht hier um viel Geld, das sie sparen würden.
 

cokeZ

Aktiver NGBler

Registriert
14 Juli 2013
Beiträge
4.435
@Abul: Joar, wenn Intel weiter auf stur schaltet und bockig ist, wird meine nächste CPU halt 'n AMD.
 
Zuletzt bearbeitet:

profi200

Neu angemeldet

Registriert
14 Juli 2013
Beiträge
739
Ort
ngb.to
Alles rund um Meltdown und Spectre zusammengefasst: https://github.com/marcan/speculation-bugs/blob/master/README.md

Dort wird auch ein funktionierendes Proof of concept verlinkt.

Code:
[blub@blub-PC Schreibtisch]$ gcc -march=native -std=c99 -O0 spectre.c -o spectre
[blub@blub-PC Schreibtisch]$ ./spectre
Reading 40 bytes:
Reading at malicious_x = 0xffffffffffdfedc8... Success: 0x54=’T’ score=2 
Reading at malicious_x = 0xffffffffffdfedc9... Success: 0x68=’h’ score=2 
Reading at malicious_x = 0xffffffffffdfedca... Success: 0x65=’e’ score=2 
Reading at malicious_x = 0xffffffffffdfedcb... Success: 0x20=’ ’ score=2 
Reading at malicious_x = 0xffffffffffdfedcc... Success: 0x4D=’M’ score=2 
Reading at malicious_x = 0xffffffffffdfedcd... Success: 0x61=’a’ score=2 
Reading at malicious_x = 0xffffffffffdfedce... Success: 0x67=’g’ score=2 
Reading at malicious_x = 0xffffffffffdfedcf... Success: 0x69=’i’ score=2 
Reading at malicious_x = 0xffffffffffdfedd0... Success: 0x63=’c’ score=2 
Reading at malicious_x = 0xffffffffffdfedd1... Success: 0x20=’ ’ score=2 
Reading at malicious_x = 0xffffffffffdfedd2... Success: 0x57=’W’ score=2 
Reading at malicious_x = 0xffffffffffdfedd3... Success: 0x6F=’o’ score=2 
Reading at malicious_x = 0xffffffffffdfedd4... Success: 0x72=’r’ score=2 
Reading at malicious_x = 0xffffffffffdfedd5... Success: 0x64=’d’ score=2 
Reading at malicious_x = 0xffffffffffdfedd6... Success: 0x73=’s’ score=2 
Reading at malicious_x = 0xffffffffffdfedd7... Success: 0x20=’ ’ score=2 
Reading at malicious_x = 0xffffffffffdfedd8... Success: 0x61=’a’ score=2 
Reading at malicious_x = 0xffffffffffdfedd9... Success: 0x72=’r’ score=2 
Reading at malicious_x = 0xffffffffffdfedda... Success: 0x65=’e’ score=2 
Reading at malicious_x = 0xffffffffffdfeddb... Success: 0x20=’ ’ score=2 
Reading at malicious_x = 0xffffffffffdfeddc... Success: 0x53=’S’ score=2 
Reading at malicious_x = 0xffffffffffdfeddd... Success: 0x71=’q’ score=2 
Reading at malicious_x = 0xffffffffffdfedde... Success: 0x75=’u’ score=2 
Reading at malicious_x = 0xffffffffffdfeddf... Success: 0x65=’e’ score=2 
Reading at malicious_x = 0xffffffffffdfede0... Success: 0x61=’a’ score=2 
Reading at malicious_x = 0xffffffffffdfede1... Success: 0x6D=’m’ score=2 
Reading at malicious_x = 0xffffffffffdfede2... Success: 0x69=’i’ score=2 
Reading at malicious_x = 0xffffffffffdfede3... Success: 0x73=’s’ score=2 
Reading at malicious_x = 0xffffffffffdfede4... Success: 0x68=’h’ score=2 
Reading at malicious_x = 0xffffffffffdfede5... Success: 0x20=’ ’ score=2 
Reading at malicious_x = 0xffffffffffdfede6... Success: 0x4F=’O’ score=2 
Reading at malicious_x = 0xffffffffffdfede7... Success: 0x73=’s’ score=2 
Reading at malicious_x = 0xffffffffffdfede8... Success: 0x73=’s’ score=2 
Reading at malicious_x = 0xffffffffffdfede9... Success: 0x69=’i’ score=2 
Reading at malicious_x = 0xffffffffffdfedea... Success: 0x66=’f’ score=2 
Reading at malicious_x = 0xffffffffffdfedeb... Success: 0x72=’r’ score=2 
Reading at malicious_x = 0xffffffffffdfedec... Success: 0x61=’a’ score=2 
Reading at malicious_x = 0xffffffffffdfeded... Success: 0x67=’g’ score=2 
Reading at malicious_x = 0xffffffffffdfedee... Success: 0x65=’e’ score=2 
Reading at malicious_x = 0xffffffffffdfedef... Success: 0x2E=’.’ score=2
 
Oben