Meltdown und Spectre: Intel zieht Microcode-Updates für Prozessoren zurück

Read more: Meltdown und Spectre: Intel zieht Microcode-Updates für Prozessoren zurück

22.1.2018 - Noch größeres Chaos bei den Sicherheitslücken in Intel-Prozessoren: Weil Updates im manchen Fällen Probleme verursachen, rät Intel von der Installation ab; unter anderem HPE, Ubuntu, Red Hat und VMware ziehen Updates zurück.

Die Probleme mit den Prozessorsicherheitslücken Meltdown und Spectre reißen nicht ab: Intel rät davon ab, die zuvor bereitgestellten CPU-Microcode-Updates einzuspielen, die zum Schließen der Sicherheitslücke Spectre Variante 2 (Branch Target Injection, BTI, CVE-2017-5715) nötig sind. Einige PC-Hersteller haben zuvor bereitgestellte BIOS-Updates mit diesem Microcode-Updates wieder von ihren Webseiten genommen. Auch einige Linux-Distríbutionen ziehen Microcode-Updates zurück.

In der Ubuntu Security Notice USN-3531-2 wird erklärt, wie man auf betroffenen Systemen dazu vorgehen sollte. Auch HPE, VMware und Red Hat haben bereits Updates zurückgezogen.

Damit dürfte sich der Zeitplan zur Bereitstellung von CPU-Microcode-Updates für ältere Prozessoren weiter verzögern. Die meisten Hersteller patchen zuerst ihre jüngsten Produkte und dann Zug-um Zug auch ältere.

Laut Intel-Blog hat man mittlerweile die dort nicht genauer beschriebene Ursache für plötzliche Neustarts nach dem Einspielen der CPU-Microcode-Updates gefunden. Doch erst nach weiteren Tests will man die überarbeiteten Microcode-Updates freigeben. Bis dahin rät Intel davon ab, die bisherigen Updates einzuspielen. Von den am 18. Januar noch erwähnten Skylake-Problemen ist hier nun nicht mehr die Rede.

Quelle: heise.de (Image gefunden bei heise.de)

Spectre-Lücke: Auch Server mit IBM POWER, Fujitsu SPARC und ARMv8 betroffen

11.1.2018 - Nicht nur Intel hat alle Hände voll zu tun: IBM stellt Firmware-Updates für Server mit POWER7+, POWER8 und POWER9 bereit, Fujitsu will einige SPARC-M10- und -M12-Server patchen; zu ARM-SoCs für Server fehlen Infos.            

Die Spectre-Sicherheitslücken CVE-2017-5715 und CVE-2017-5753 betreffen außer Prozessoren mit x86- und einigen ARM-Mikroarchitekturen auch manche IBM-POWER- und Fujitsu-SPARC-CPUs für Server. IBM hatte schon vor einigen Tagen auf kommende Firmware-Updates für Server mit POWER7+, POWER8 und den nagelneuen POWER9 hingewiesen, etwa für das Power System S812L und für andere OpenPOWER-Server.

Power

Zu Mainframes mit Z-Prozessoren gibt es von IBM keine öffentlichen Informationen, sondern nur für Kunden.

Sparc

Fujitsu hat am gestrigen Mittwoch eine lange Liste mit betroffenen Computern veröffentlicht, darunter sind sechs Fujitsu SPARC Server: Fujitsu SPARC M12-1/M12-2/M12-2S sowie M10-1/M10-4/M10-4S. Die ersten drei arbeiten mit SPARC64 XII, letztere mit SPARC64 X+.

Oracle hat bisher anscheinend noch keine Informationen zu SPARC M7 und Spectre veröffentlicht.

Bisher noch keine Hinweise gefunden haben wir auch zum AMD Opteron A1100 mit Cortex-A57; letzterer ist laut ARM von Spectre betroffen.

Cavium ThunderX und APM X-Gene nutzen jeweils selbst entwickelte Kerne, hier ist die Situation unklar. Die Kerne des X-Gene, X-Gene2 und des ThunderX2 beherrschen aber Out-of-Order-Execution. (Hier stand vorher, dass auch ThunderX und APM X-Gene Cortex-A57 nutzen.) /Update

Der neue Qualcomm-Serverprozessor Centriq 2400 enthält hauseigene ARMv8-Kerne namens "Falkor"; ob sie betroffen sind, ist unklar – Qualcomm hat sich bisher erst pauschal geäußert.

Laut ARM ist der neue Cortex-A75 genau wie Intel-Prozessoren von Meltdown betroffen; er wird aber bisher noch in keinem Server-SoC eingesetzt, sondern in ähnlicher Form erst im kommenden Snapdragon 845.

NAS sind von Meltdown und Spectre nur dann direkt betroffen, wenn man Plug-ins installieren kann oder in einer VM oder einem Container andere Software oder Betriebssysteme ausführen kann. Das ist bei NAS mit ARM-SoCs seltener der Fall. Die Marvell-SoCs der Baureihen Armada 7K und 8K enthalten jedenfalls von Spectre betroffene Cortex-A72-Kerne, die Alpine-SoCs der Amazon-Tochter Annapurna Labs Cortex-A15.

In-Order-ARM-Kerne wie Cortex-A7 und Cortex-A53 sind von Meltdown und Spectre nicht betroffen.

Xerox Alto: Forscher finden Sicherheitslücke in 45 Jahre altem System

Read more: Xerox Alto: Forscher finden Sicherheitslücke in 45 Jahre altem System

10.1.2018 - Passwortverschlüsselung für Datenträger geknackt – Ziel: Archivierung historischer Daten


Die Geschichte ist nicht immer gerecht zu ihren Akteuren, und das gilt nicht nur für politische Ereignisse. Im Vergleich zum Apple Mac ist der Xerox Alto ein der breiten Masse weitgehend unbekannter Rechner, aber einer der für die Computergeschichte eine kaum zu überschätzende Rolle eingenommen hat. War dies doch der erste Rechner, der von Grund auf für die Benutzung mit Maus und grafischem User Interface ausgelegt wurde.

Archivierung

Ganz vergessen wurden die wegweisenden Arbeiten des Xerox PARC allerdings nicht, also hat sich eine Gruppe von Forschern nun daran gemacht, alte Disketten des Forschungsinstituts von Xerox zu archivieren. Dabei stießen sie aber auf eine unerwartete Hürde: Die 14-Zoll-Wechselplatten, die bis zu 2,5 Megabyte an Daten speichern konnten, waren zum Teil verschlüsselt. Jeglicher Bootversuch landete also bei einer Passwortabfrage – und das betreffende Passwort war natürlich niemandem mehr bekannt.

Spurensuche

Also machten sich die Forscher daran, die verwendete Verschlüsselung unter die Lupe zu nehmen, um potentielle Angriffe gegen diese zu identifizieren. Nicht gerade überraschend kann diese auch tatsächlich modernen Ansprüchen nicht mehr gerecht werden. Es wird ein ziemlich simpler Hash-Algorithmus verwendet, der einen 64 Bit langen Hash ergibt. Dieser ist zwar mit einem Salt angereichert, um all zu leichte Attacken zu verhindern, dieser findet sich aber auf der Wechselplatte selbst. Es geht aber noch leichter: Die Forscher haben nämlich herausgefunden, dass es auf den Datenträgern ein verstecktes Bit gibt, über das sich die Verschlüsselung komplett deaktivieren lässt.

Passwortanalyse

Damit waren die Daten also wieder verfügbar. Aus Interesse hat man dann aber zusätzlich eine Brute-Force-Attacke gegen die Verschlüsselung gestartet, immerhin wollte man auch noch die Passwörter herausfinden. Dabei zeigte sich, dass die Entwickler schlauerweise keine einfachen Wörter verwendet haben, die über Wörterbuchattacken leicht zu knacken wären. Stattdessen setzte man auf simple achtstellige Buchstabenkombinationen wie "AATFDAFD" oder "AAJMAKAY". Diese Kombination wiederum machte die Forscher stutzig, da hier immer wieder ähnliche Muster zu erkennen waren. Schlussendlich stellte sich heraus, dass bei allen Passwörtern über sechs Stellen die ersten Zeichen ignoriert werden – was Angriffe noch leichter macht.

Fazit

Schlussendlich konnten die Passwörter – und damit auch die historisch relevanten – Daten also wiederhergestellt werden. Die Forscher resümieren, dass der Passwortalgorithmus des Xerox Alto einige grundlegende Sicherheitslücken hatte, die Angriffe wesentlich leichter machten. Für die damalige Zeit sei die Sicherheit aber durchaus "angemessen" gewesen – und mehr hatte man auch nicht versprochen. Die betreffende Lücke hat man "XeroDay" benannt – in Anspielung auf den Begriff "Zero-Day", da es sich hierbei ja tatsächlich um eine bisher unbekannte Lücke handelt, für die es noch keinen Fix gibt. Dass ein solcher noch kommen wird, scheint aber auch eher unwahrscheinlich.

 

Gravierende Sichheitslücke bei Prozessoren entdeckt

4.1.2018 - In den Prozessoren verschiedener Hersteller klafft eine riesige Sicherheitslücke.  Derzeit arbeiten Linux- und Windows-Entwickler mit Hochdruck an umfangreichen Sicherheits-Patches, die Angriffe auf Kernel-Schwachstellen verhindern sollen.

So soll es auf Grund dieser Lücke Angreiferen ohne größerem Aufwand möglich sein, Zugriff auf eigentlich geschützte Daten zu erhalten.

Googles Project Zero hat inzwischen auch Details zu der Sicherheitslücke in Prozessoren und den Auswirkungen veröffentlicht. Darin verweisen Googles Sicherheitsforscher auch auf die zwei Angriffsszenarien, die von anderen Sicherheitsexperten entwickelt wurden und die Spectre beziehungsweise Meltdown getauft wurden.

Zunächst war das Problem nur Intel Prozessoren zugeschrieben worden, wie in der Zwischenzeit bekannt wurde, sind auch die Prozessoren anderer Herstellen von der Lücke betroffen.

Google berichtet, dass mit einem Android-Security Update vom 2. Jänner diese Lücke bereits geschlossen zu haben.

Die Linux-Entwickler arbeiten mit Hochdruck an der Lösung des Problems. Das neue Schutz-Feature mit dem Namen KPTI ist für den Linux Kernel 4.15 bereits fertig, Backports für ältere Kernels sind in Arbeit.

Microsoft hat ebenfalls bereits reagiert und das für 9. Jänner geplante Update bereits am 4.1. freigegeben. Hier ist vor allem im Desktopbereich Vorsicht geboten, da durch die neuen Updates auch ein Update der meisten Antiviren-Produkte erfordern. Das Windows Update finden Sie hier: https://support.microsoft.com/en-us/help/4056890/windows-10-update-kb4056890

Apple zufolge wurden bereits durch ein früheres Security-Update Lücke zum Teil geschlossen, das Update auf macOS 10.3.3 wird weitere Fixes bringen.

Quelle: heise.de