Sicherheitsforscher behaupten, dass sich die Spectre-Schwachstellen in CPUs von Intel, AMD und ARM noch mit sieben neuen Methoden ausnutzen lassen. Intel schreibt in einer Stellungnahme, dass die bisherigen Schutzmaßnahmen auch gegen diese Methoden wirken.
Anzeige
Ich bin vor einigen Stunden über diesen Tweet auf das Thema aufmerksam geworden. Catalin Cimpanu hat das Ganze bei ZDNet in diesem Artikel beschrieben.
Researchers discover seven new Meltdown and Spectre attacks.
Two Meltdown, five new Spectre attacks.https://t.co/TtELBur1Er pic.twitter.com/Ei5EEM65pk
— Catalin Cimpanu (@campuscodi) 14. November 2018
In diesem Dokument (PDF) beschreiben die Sicherheitsforscher eigene Maßnahmen, um Angriffe abzuschwächen. Arstechnica hat hier ebenfalls einen Beitrag zum Thema veröffentlicht. Laut diesem heise.de-Artikel lässt Intel in einer Stellungnahme allerdings verlauten, dass die bisherigen Schutzmaßnahmen auch die neuen Angriffsmethoden ins Leere laufen lassen.
2015
Vielen Dank für den Bericht und die Aktualisierung der Gefahrenproblematik.
PS:
Inzwischen scheint jemand ein gutes Tool anzubieten welches praktisch jede Intel CPU zwischen 1996 bis 2018 mit dem aktuellsten Microcode versorgen könne.
Das Tool arbeitet mit einem FAT 32 USB Flash Drive worauf man das Tool kopiert und es im Bios als Startlaufwerk festlegt.
Ist das Flash beim Start eingesteckt, so wird der Microcode geladen, ansonsten fährt der PC wie sonst hoch – eben nur mit dem lückenhaften Meltdown -Support von Microsoft.
Mein PC mit Intel CPU aus dem Jahr 2009 erhält keinen Spectre Patch per Microcode über BIOS. Das ASUS Board erhält seit Jahren generell keine Updates mehr.
Hier über das Flash Drive aber schon.
Intel Microcode Boot Loader:
https://www.ngohq.com/intel-microcode-boot-loader.html
Und wie vertrauenswürdig ist so ein „Jemand"?
Soll man sich, um irgendwelche akademische Risiken zu minimieren, einen privat gestrickten Patch einspielen, der (wenn er es tatsächlich kann) den Microcode des Hauptprozessors verändert?
Das Vertrauenswürdigste der verlinkten Seite ist ihr kompletter Verzicht auf reißerische, bunt blinkende Grafiken. Aber wer legt für diesen wortkargen Hacker namens „Eran "Regeneration" Badit" (Bad IT?) seine Hand ins Feuer?
Das ist, als würde man aufgrund von Gerüchten irgendeinem anonymen Straßenhändler einen Impfstoff abkaufen, den die Pharmaindustrie nirgends anbietet.
Seit der ersten Bekanntmachung warten alle gespannt auf den ersten praktischen Missbrauch der theoretischen Schwachstellen. Ob das noch in diesem Jahrhundert der Fall sein wird, bleibt abzuwarten. Die Wahrscheinlichkeit von einem Blitz getroffen zu werden, ist sicherlich höher.