Spectre und Meltdown
-
IT-Sicherheit ist und bleibt eine Illusion, leider. In einer Gesellschaft in der Geld regiert wird immer der Rotstift angesetzt werden müssen und dies triff immer zuerst Sachen wie Sicherheit und Dokumentation. Macht eine Firma dies nicht zu genüge geht sie unter.
Genug Ressourcen für Sicherheit bereitzustellen ist also kein IT, sondern in erster Linie ein gesellschaftliches Problem.
-
|()| schrieb:
IT-Sicherheit ist und bleibt eine Illusion, leider. In einer Gesellschaft in der Geld regiert wird immer der Rotstift angesetzt werden müssen und dies triff immer zuerst Sachen wie Sicherheit und Dokumentation. Macht eine Firma dies nicht zu genüge geht sie unter.
Genug Ressourcen für Sicherheit bereitzustellen ist also kein IT, sondern in erster Linie ein gesellschaftliches Problem.
Die Probleme hat man bei Open Source Projekten, die nicht an Gelder gebunden sind, genauso.
Das Problem steckt einfach darin, dass Cracker immer einen Schritt weiter sind, man nur nachdackeln kann, die Entwicklertools mit vielleicht ein paar Ausnahmen selten beim sicheren Entwickeln unterstützen und die Gesellschaft leider auch viel zu wenig für Sicherheitspatches interessiert, geschweige denn diese ernst nimmt und darunter sind sogar die Entwickler selbst dabei.
Vor ein paar Tagen habe ich bspw. bei 3 Open Source Projekten eine Sicherheitslücke gemeldet. Der Bugreport wurde zwar von den Entwicklern in den Bugreports gleich akzeptiert und gesagt dass man das fixen müsse, aber kein Projekt hat es geschafft, ein neues Release oder wenigstens ein Minorrelease rauszubringen.
Die Stableversionen, die man sich downloaden kann, sind somit weiterhin alle anfällig.
Von Sensibilität bezüglich Sicherheit keine Spur.
-
Da kommt noch was.
Spectre und Meltdown waren erst der Anfang.
-
So schnell wie es gekommen ist verschwand es auch wieder. Sollte es zu Angriffen kommen wird man was darüber berichten, doch der große Sturm ist vorbei.
-
Der Seitenbetreiber hat allerdings das Problem von Spectre und Meltdown gar nicht verstanden.
Spectre und Meltdown machen nicht die Runde, weil diese Angriffstechniken einen "Fancy" Namen haben, sondern weil die Bugs in der Hardware stecken und die Lücken somit nicht einfach reparierbar sind.
Bei einer Sicherheitslücke in Software schreibt man nen Patch und das Problem ist behoben.
Bei Hardware geht das nicht. Da hat man entweder Leistungseinbußen, weil ganze Betriebssysteme umgeschrieben werden müssen oder der Bug ist nicht wirklich reparierbar, man kann nur versuchen die Symptome beheben.
Das ist etwas völlig anderes, als "Fancy" Names.
-
Für vieles gibt es keine Patches, und jetzt werden die die es gibt auch noch zurückgezogen.
Linus Torvalds ist nicht der einzige der sich über die Situation, sagen wir mal, amüsiert.
-
Welche Unternehmen werden von diesen Lücken mittelfristig profitieren?
-
Facebook, Google, Amazon, NSA, Sesamstraße, Frau Merkel.
-
Erhard Henkes schrieb:
Welche Unternehmen werden von diesen Lücken mittelfristig profitieren?
U.a. denke ich alle Hardwarehersteller, weil ja jetzt, überall dort wo die Patches eingespielt wurden/werden, für die selbe Workload mehr Hardware benötigt wird.
-
Erhard Henkes schrieb:
Welche Unternehmen werden von diesen Lücken mittelfristig profitieren?
Intel
-
ja, das klingt logisch. genau der gleiche effekt wie bei den diesel cars.
-
Verstehe ich nicht. War das denn bei den Dieseln so? Oder war das Sarkasmus?
Die Situation ist IMO allerdings nicht ganz vergleichbar, denn bei Meltdown/Spectre hat keiner geschummelt und es sind quasi alle CPUs betroffen. Zumindest alle mit guter single threaded Leistung.
-
ARM profitiert weniger als Intel, denn niemand tauscht sein Tablet oder Smartphone wegen Spectre aus. Genausowenig wird man sich im Embeddedbereich darum Gedanken machen.
Bei den Cloudservern sieht das schon ganz anders aus, da müssen die Unternehmen zwingend die HW gegen neue austauschen. Zum einen um die Leistungsverschlechterung durch die Patches auszugleichen und zum anderen um sie mittelfristig gegen CPUs zu ersetzen, die nicht mehr fehleranfällig sind.
Und diese Domäne gehört eben den x86 CPUs und Intel ist ihr größter Produzent.AMD wird zwar auch etwas vom Kuchen abkriegen, genauso wie es auch im Serverbereich sicher auch einige Spezialfälle für ARM CPUs gibt, aber das Groß an CPUs baut Intel, die können auch die Stückzahlen liefern.
AMD kann letzteres nicht und bei ARM ist der Servermarkt zu klein.Ebenso wird Intel recht schnell Lösungen anbieten können, immerhin haben die gleich mehrere Entwicklerteams und Intel kann im Notfall auch gleich mehrere CPU Designs erforschen. AMD kann das nicht.
Und ARM könnte es zwar, aber den Servermarkt haben die noch nicht wirklich so bedient, dafür fehlt oft noch die Leistung.Der ganz große Gewinner an Spectre und Meltdown ist somit Intel.
Den Vergleich zum Diesel finde ich unpassend. Denn da sind nur die Preise im Keller. Die Zukunft gehört kurzfristig eher den Benzinern und langfristig den E-Autos.
-
Gegen welche Hardware kann man denn tauschen?
Den Core i7 gegen i7-noSpectre?
-
Lukasi7 schrieb:
Gegen welche Hardware kann man denn tauschen?
Den Core i7 gegen i7-noSpectre?Praktisch gegen keine, theoretisch gegen einen ARM Cortex-A53 oder ARM Cortex-A55.
Praktisch deswegen gegen keine, weil der ARM Cortex-A53 bzw. ARM Cortex-A55 Meilenweit von der Leistung eines Core i7 entfernt ist.
Aber wenn dir Sicherheit absolut wichtig ist und die Leistung vernachlässigt werden kann, dann wäre er eine Option.Der ARM Cortex-A53 befindet sich bspw. im Raspberry Pi 3.
Sicher ist der deswegen, weil es sich um eine in-order CPU handelt, dies erklärt aber auch die geringe Leistungsfähigkeit.
-
Ergänzung:
Und natürlich kannst du darauf keine x86 Binaries nativ ausführen.
Wenn dir das wichtig ist, dann geht nur noch ein alter Atom auf dem Gebrauchtmarkt.Gut möglich, dass der Atom auch schneller ist.
-
@Lukasi7
Ich vermute computertrolls hat mit "mittelfristig gegen CPUs zu ersetzen, die nicht mehr fehleranfällig sind" gemeint: dann wenn die neuen, hoffentlich nichtmehr anfälligen Modelle verfügbar sind.
-
Bis die alten abverkauft sind wird es noch dauern. Bin mal gespannt ob und wann es die neuen Modelle geben wird, und wie sie gekennzeichnet sind.
-
Ich würde annehmen dass das in eine neue CPU Generation kommt. Das wird dann die Kennzeichnung. Also i7-9xxx oder i7-10xxx oder wie auch immer die dann heissen werden.
-
Normale User haben bei diesem Problem anscheinend Pech gehabt, es blickt ja kaum einer durch bei Update und wieder zurück ziehen und hin und her.
Kann man das nicht Userfreundlich gestalten. Es ist nicht jeder Computerexperte, auch wenn man heutzutage alles mit dem Rechner und Online machen soll. Für einen Normalanwender ist dieses Problem wohl nicht lösbar, unfassbar.
