LN-Waschpress

Schlagwort: Intel

  • Clear Linux OS auch für den Desktop

    Clear Linux OS
    Screenshot: ft

    Hier im Blog wurde Intel bereits des Öfteren hart kritisiert. Sei es wegen der Management Engine oder wegen der fatalen Sicherheitslücken Meltdown & Spectre.

    Innovative Distribution

    Auf der anderen Seite tut Intel auch viel für Linux. So wird in Intels OpenSource Technology Center bereits seit 2015 die innovative Linux-Distribution Clear Linux OS entwickelt. 2016 hatte ich dazu einen Artikel in der Zeitschrift LinuxUser veröffentlicht.

    Anfangs eher sperrig

    War das anfangs eher sperrige Clear Linux, nicht zu verwechseln mit ClearOS, in erster Linie für Container und die Cloud bestimmt, so öffnet Intel sein Projekt immer mehr auch für Desktop-Anwender. Das spiegelt sich im Installer wider, der von einem für Durschschnittsanwender nicht sehr intuitiven Textinstaller kürzlich in Version 2.0 zu einem grafischen Installer mutierte, der gut gegliedert durch die Installation führt.

    GNOME oder Plasma

    Ein weiteres Merkmal für mehr Ausrichtung auf den Desktop ist, dass Clear Linux anfangs ohne grafische Oberfläche daherkam, zwischenzeitlich Xfce einsetzte und nun bei GNOME angekommen ist. KDEs Plasma ist inoffiziell ebenfalls bereits nutzbar. Zudem steht seit Kurzem ein Live-Image für den Desktop zum unverbindlichen Testen zur Verfügung.

    Flott unterwegs

    Die Distribution ist, wie zu erwarten, auf Intel-CPUs optimiert und lässt dort bei Tests mit der Phoronix Test Suite regelmäßig alle anderen Distributionen hinter sich, was die Ausführungsgeschwindigkeit angeht. Aber Clear Linux hat weit mehr zu bieten als das.

    Zustandslos

    Intel verwirklicht mit Clear Linux ein zustandsloses System, der Fachbegriff hierzu lautet stateless. Zustandslose Systeme sind in der Regel Systeme, die ohne die Verzeichnisse /etc und /var starten. Es werden keine Zustände dauerhaft gespeichert, die Systeme starten immer in demselben definierten Zustand. Da viele Anwendungen zumindest eine minimale Konfiguration erwarten, erzeugt Systemd diese Dateien in /etc oder /var, bevor die jeweiligen Anwendungen starten. Bei Clear Linux kann der Anwender selbst über den Grad der Zustandslosigkeit entscheiden.

    Stateless Konzept bei Clear linux OS Quelle: Clear Linux

    Jedes Mal neu

    Für derartige Systeme entspricht jeder Neustart einem Zurücksetzen auf die Standardeinstellungen, vergleichbar mit dem Starten eines Live-Systems. Alle Konfigurationen werden im Fall von Clear Linux zur Laufzeit aus dem Pfad /usr/share/defaults kopiert. Das setzt voraus, dass alle von der Distribution installierten Daten unterhalb von /usr liegen. Die meisten Distributionen haben diesen sogenannten Usrmerge bereits vollzogen, Debian etwa zieht mit Debian 10 als eine der letzten Distributionen nach.

    Gebündelt

    Software wird entweder als Flatpak oder als hauseigenes Anwendungsbündel installiert. Ein eigener Software-Shop bietet rund 3.000 Anwendungen und Bündel an. Mit dem neuen Werkzeug Mixer lässt sich die Distribution komplett nach Anwenderwünschen in einem Container zusammenstellen und als Image bauen.

    Atomare Updates

    Die Software-Aktualisierung bei Clear Linux entspricht dem, was man heutzutage als atomares Update von Distributionen wie Fedora Silverblue kennt. Dabei entspricht jede Aktualisierung einer völlig neuen Betriebssystemversion im Vergleich zu einer paketbasierten Distribution, in der Pakete einzeln aktualisiert werden. #

    Bandbreite und Plattenplatz werden durch Delta-Updates minimiert, es werden nur geänderte Teile übertragen. Dabei wird als kleinste Einheit ein Bündel aktualisiert, nicht eine Anwendung oder eine Bibliothek.

    Automatisch aktuell

    Als Paketmanager kommt das hauseigene Tool swupd zum Einsatz. Als Anwender braucht man sich um Updates nicht selbst zu kümmern, diese laufen automatisach ab. Will man das bei herkömmlichen Paketmanagern eher nicht, ist es bei Clear Linux akzeptabel, da Updates unter Clear Linux jederzeit zurückgefahren werden können, indem auf einen als funktionstüchtig bekannten vorherigen Systemzustand zurückgerollt wird.

    Problemlos Testen

    Clear Linux OS ist innovativ, in weiten Teilen auf den jeweiligen Einsatzzweck in Container oder Cloud und auf dem Desktop anpassbar und vor allem mit einem starken Fokus auf Sicherheit ausgestattet. Durch die jetzt verfügbare Live-CD kann der Linux-Enthusiast ohne viel Aufwand das Zusammenwirken innovativer Entwicklungen unter Linux erkunden.

  • ZombieLoad: neue Lücken bei Intel CPUs

    ZombieLoad
    Logo: Natascha Eibl Lizenz: CCO

    Intel hat weitere Sicherheitslücken in fast allen Core-i- und Xeon-CPUs seit 2011 mit Ausnahme einiger aktueller Modelle bekanntgegeben. Diesmal ist nur Intel betroffen, AMD oder ARM bleiben außen vor. Die Lücken wurden von Forschern der TU Graz, der KU Leuven und dem Worcester Polytechnic Institute entdeckt, von denen einige bereits an der Entdeckung von Meltdown & Spectre im Januar 2018 beteiligt waren.

    ZombieLoad

    Bei Intel werden die Lücken als »Microarchitectural Data Sampling« (MDS) geführt. Wie bei solch eklatanten Lücken seit einigen Jahren üblich, wird ihnen ein Codename zugedacht. So erhielten sie von den Entdeckern den martialischen Namen ZombieLoad. Nicht betroffen sind Core i-8000U und Core i-9000, letzterer ab Stepping 13, sowie Xeon-SP Cascade Lake. Für alle anderen Prozessoren hat Intel bereits neuen Microcode zur Verfügung gestellt. Linux, Apple und Microsoft haben Patches veröffentlicht.

    Mit Spectre und Meltdown verwandt

    Es handelt sich bei den Lücken um nahe Verwandte von Meltdown und Spectre, wobei aber die Maßnahmen dagegen hier nicht greifen. Die Verwandschaft besteht darin, dass auch ZombieLoad zu den Seitenkanalattacken zählt, die die spekulative Ausführung moderner Prozessoren nutzen. Ein Video der Cyberus Technology GmbH demonstriert einen Angriff mit Protokollierung eines Tor-Browserverlaufs unter der Linux-Anonymisierungs-Distribution Tails und zeigt damit die Brisanz dieser Lücken auf.

    Spekulative Ausführung

    ZombieLoad benutzt einen ähnlichen Ansatz wie Meltdown und liest Daten aus, die der Prozessor im Voraus berechnet, aber alle außer den im Endeffekt zur Anwendung kommenden Arbeitsschritten wieder verwirft. Während der spekulativen Ausführung laufen mehrere Prozesse gleichzeitig auf einem physischen Prozessorkern. Die Forscher haben drei Angriffsvektoren entdeckt, die verschiedene Puffer auszulesen und so an Daten, Passwörter und Schlüssel gelangen können.

    Für Linux hat Greg Kroah-Hartman bereits gestern Kernel-Updates verkündet. Die Patches für Kernel 5.1.2 sowie 5.0, 4.19, 4.14 und 4.9 seien erst der Anfang, so GKH, weitere Anpassungen seien zu erwarten.

    As I said before just over a year ago, Intel once again owes a bunch of
    people a lot of drinks for fixing their hardware bugs in our
    software.

    GKH

    Heimanwender nicht im Visier

    Die neu entdeckten Angriffsvektoren sollten Heimanwendern keine schlaflosen Nächte bereiten. Die Angriffsziele dieser neuen Verwundbarkeiten liegen, wie schon Meltdown und Spectre, eher bei Servern, der Cloud und bei virtuellen Maschinen. Eine Maßnahme gegen solche Angriffe kann das Abschalten von Hyperthreading sein. Google hat dies für Chrome OS bereits vollzogen. Apple legt es seinen Kunden nahe.

  • Intel bereitet diskrete Grafikkarten vor

    Bild: Graphikarte mit Intel i740 | Quelle: Wikimedia | Lizenz: GFDL

    Vor einigen Tagen wurde bekannt, dass Intel für seinen Linux-Grafiktreiber i915 einen Satz von 42 Patches eingereicht hat. Anhand des Codes war schnell klar, dass es sich um anfängliche Infrastruktur für diskrete Grafikkarten handelt, die Intel ab 2020 auf den Markt bringen will.

    Eine erste Bestätigung von bereits länger kursierenden Gerüchten, dass Intel nachrüstbare Grafikkarten plane, gab es im Sommer 2018 auf der SIGGRAPH2018 Konferenz. Zum Jahresende folgten dann weitere Einzelheiten. Für die »Intel Xe Graphics Family« sollen entsprechende Karten für Gaming als auch für Rechenzentren in Planung sein.

    Um dieses Ziel zu erreichen hat Intel im letzten Jahr den AMD-Vizepräsidenten und ehemaligen Apple-Grafik-Chef Raja Koduri als Vizepräsidenten und Chief Architect seiner Grafikabteilung angeheuert. Jetzt bestätigte Intel auf Twitter auch die Vermutungen zwecks der Verwendung der jetzt eingereichten Patches.

    Diese dienen, wie vermutet, zur Vorbereitung des Konzepts von separaten Speicherregionen. Da die bisherigen integrierten GPUs des Herstellers dieses Konzept nicht benötigen, lag die Vermutung nahe, das Patch-Set diene der Vorbereitung des Umfelds des Treibers für diskrete Grafikkarten.

    Die Patches stellen unter anderem Unterstützung für die auf diskreten Karten verbauten RAM-Chips dar. So kann der Treiber auch Speicher auf diskreten Karten allozieren und ermöglicht es dem Speicherverwaltungscode des Graphics Extension Managers (GEM), Speicher für verschiedene lokale und externe Speicherbereiche zuzuweisen.

    Aller guten Dinge sind drei

    Bereits zwei Mal zuvor hatte Intel versucht, diskrete Grafikkarten im Markt zu platzieren. Bereits 1998, vor 20 Jahren, hat Intel einen diskreten Grafikchip auf den Markt gebracht. Dieser hörte auf den Namen Intel 740, kurz i740, trug den Codenamen Auburn und erlebte seinen zweiten Geburtstag nicht. Ein zweiter Versuch namens Larrabee scheiterte 2010. Aus dieser Entwicklung erreichte lediglich der Koprozessor Intel Xeon Phi den Markt.

  • Meltdown & Spectre 2019

    Spectre & Meltdown
    Bild: Meltdown & Spectre | by Natascha Eibl | License: CC0

    Vor über einem Jahr mussten Prozessorhersteller wie AMD und ARM, aber vor allem Intel eingestehen, dass das Rennen um immer schnellere Prozessoren in den letzten 20 Jahren an den Abgrund geführt hatte. Wo stehen wir heute?

    Pipeline immer gefüllt

    Eine der fortgeschrittenen Techniken moderner CPUs, die Sprungvorhersage ist verwundbar und erlaubt, wenn auch nur mit viel Aufwand, das Auslesen von Daten aus dem virtuellen Speicher. Bei der auf Englisch branch prediction geheißenen Funktion geht es darum, möglichst immer alle Stufen der Pipeline eines Microprozessors sinnvoll auszulasten.

    Verspekuliert

    Die dabei angewendete spekulative Ausführung erlaubt zwar eine hohe Effizienz, ist bei den verschiedenen Varianten von Spectre aber das Einfallstor für mögliche Angriffe. Wird die Spekulation der CPU verworfen und das Ergebnis einer anderen Stufe der Pipeline gewählt, ergibt das minimale Änderungen etwa im Cache, die über eine Seitenkanalattacke ausgelesen und genutzt werden können, um Seiten im virtuellen Speicher zu lesen und zu kopieren.

    Nur im Silizium zu beheben

    Dass es bis heute keinen bekannten Fall eines Angriffs per Spectre gegeben hat, ist bei der Beurteilung der Schwere des Fehlers unmaßgeblich. Tatsache ist, die Fehler sind endgültig nur im Silizium zu beheben. Die ergriffenen Maßnahmen, sei es im Microcode oder in den Betriebssystemen, führte zu teils hohen Leistungseinbußen. somit werden diese Maßnahmen von vielen Administratoren gar nicht angewendet.

    Spekulative Ausführung muss weg

    Ein Team von Google-Sicherheitsexperten hat jetzt ein Papier unter dem Titel Spectre is here to stay vorgelegt, in dem sie erklären, Spectre werde uns so lange begleiten, bis einschneidende Änderungen am CPU-Design umgesetzt werden. Die Kernaussagen sind, dass auch künftig weitere Spectre-Varianten auftauchen werden und das sich das nicht ändert, bis die spekulative Ausführung aus den CPU-Architekturen entfernt wird.

    Das Papier kommt zu dem Schluss, dass das aktuelle CPU- und Architekturdesign mit drei ungelösten Problemen konfrontiert ist: weitere Schwachstellen im Seitenkanal zu finden, sie zu verstehen und sie auf effiziente und umfassende Weise zu mildern. Das Papier endet mit einer Erklärung, in der die Sicherheit für die Leistung von CPUs beleuchtet und festgestellt wird, dass Seitenkanal-Angriffsvektoren so lange bestehen bleiben, wie die CPU-Architektur unverändert bleibt.

    Schritt zurück?

    Die offensichtlichste Lösung ist die Beseitigung der spekulativen Ausführung, wie es im Papier heißt. Spekulative Ausführung ist jedoch eine wichtige Technik zur Leistungsoptimierung, die von den meisten x86-Prozessoren verwendet wird, weshalb CPU-Hersteller Schwachstellen lieber auf andere Weise minimieren würden, anstatt diesen radikalen Schritt zurück zu gehen, der mit schwer bis gar nicht zu umgehenden Leistungsminderungen einhergehen würde.

  • PortSmash: Erneut Sicherheitslücke bei Intel

    PortSmash
    Bild: Hacker | Quelle: The Presier Project | Lizenz: CC BY 2.0

     

    Forscher an Universitäten in Finnland und Kuba haben unter der Leitung von Billy Brumley eine neue Sicherheitslücke entdeckt, die auf den Namen PortSmash getauft wurde. Die neue Lücke ist, wie auch schon Meltdown und Spectre zu Jahresbeginn, eine Seitenkanalattacke.

    PortSmash erlaubt es einem versierten Angreifer, verschlüsselte Daten wie etwa kryptografische Schlüssel oder andere privilegierte Informationen von internen CPU-Prozessen auszulesen. Die Lücke wurde bisher für CPUs der Baureihen Skylake und Kaby Lake bestätigt. PortSmash ist zudem das erste Ergebnis einer auf fünf Jahre ausgelegten Forschungsreihe in Sachen Seitenkanalattacken, die vom Europäischen Forschungsrat finanziell ausgestattet ist.

    Seitenkanalattacke

    Eine Seitenkanalattacke stellt eine Technik dar, die verwendet wird, um verschlüsselte Daten aus dem Speicher oder der CPU eines Computers auszulesen. Von den verschiedenen Formen der Seitenkanalattacke bedient sich PortSmash der Timing Attack.

    Dazu werden minimale Diskrepanzen bei den Laufzeiten eines Algorithmus, des Energieverbrauchs des Prozessors während der Berechnungen oder der elektromagnetischen Ausstrahlung beobachtet und analysiert, um zusätzliche Informationen zu erhalten, die helfen können, Verschlüsselungsalgorithmen zu brechen und die verarbeiteten Daten der CPU wiederherzustellen.

    Hyper-Threading ermöglicht Angriff

    Anders als Meltdown und Spectre nutzt PortSmash nicht das Speicher-Subsystem oder die Caching-Mechanismen der CPUs aus. Die Forscher fanden heraus, dass PortSmash CPUs betrifft, die die SMT-Architektur verwenden, die es ermöglicht, mehrere Threads in der Form von Multithreading gleichzeitig auf einem CPU-Kern auszuführen. Intel setzt  SMT als Hyper-Threading (HT) um.

    PoC auf GitHub

    Gelingt es einem Angreifer, einen präparierten Prozess im Rahmen von SMT neben einem legitimen Prozess laufen zu lassen, so kann er kleine Mengen an Daten des legitimen Prozesses auslesen, die dann bei der Rekonstruktion der verschlüsselten Daten hilfreich sein können. Ein Proof-of-Concept (PoC) des keinesfalls trivialen Angriffs ist von den Forschern auf GitHub eingestellt worden. Dabei werden OpenSSL-Schlüssel von einem TLS-Server entwendet. Ein ausführliches Papier soll in den nächsten Tagen folgen.

    Intel arbeitet an Patch

    Intel ist die Lücke vor rund einem Monat bekannt gemacht worden, bisher liegt noch kein Patch dagegen vor. Intel teilte gestern abwiegelnd mit, die Lücke habe nichts mit Spectre, Meltdown oder L1 Terminal Fault gemeinsam. Man werde weiter »mit Kunden, Partnern und Forschern zusammenarbeiten, um die identifizierten Schwachstellen zu verstehen und zu beheben«.

    Vermutlich auch AMD betroffen

    Die Forscher gehen davon aus, dass auch CPUs von AMD, die SMT verwenden, von PortSmash betroffen sind. Bereits letztes Jahr war mit TLBleed eine ähnliche Lücke entdeckt worden, die ebenfalls HT ausnutzt und die das OpenBSD-Projekt veranlasste, die Unterstützung für Intels HT-Technologie in ihren Kerneln zu deaktivieren.

     

  • Intel Microcode für Debian Stable aktualisiert

    Intel Microcode für Debian Stable aktualisiert

    Intel Microcode
    Screenshot: ft

     

    Für Debian GNU/Linux 9 »Stretch« steht ein aktualisierter Intel Microcode zum Schutz vor Angriffen durch die Sicherheitslücken Spectre 3a und 4 bereit. Er stellt Maßnahmen gegen Speculative Store Bypass (SSB) für weitere Intel CPUs bereit, die vom am 16. August veröffentlichten Microcode nicht abgedeckt wurden.

    Weitere CPUs abgedeckt

    Auf der Debian Mailingliste schreibt Moritz Mühlenhoff, im aktualisierten Microcode, der unter dem Paketnamen intel-microcode 3.20180807a.1~deb9u1 vertrieben wird und als DSA 4273-2 erfasst wurde, seien weitere ältere Prozessortypen, die von DSA-4273-1 im August nicht erfasst waren, abgedeckt.

    Bitte aktualisieren

    Das Debian-Projekt fordert alle Benutzer auf Debian 9 »Stretch« mit Intel-CPUs dazu auf, die Mikrocode-Firmware auf Version 3.20180807a.1~deb9u1 zu aktualisieren. Um die Gefahr, die von den beiden Spectre-Sicherheitslücken ausgeht, weiter zu verringern, müssen die Anwender auch das neueste Kernel-Update installieren.

    Die beiden Lücken, die als Spectre Variante 3a »Rogue System Register Read«, katalogisiert unter CVE-2018-3640 und Spectre Variante 4  »Speculative Store Bypass«, die als CVE-2018-3639 in die Liste der CVE einging, können Angreifern Zugang zu sensiblen Informationen auf anfälligen Systemen ermöglichen.

    Debian blieb seiner Linie treu

    Mit dem letzten Microcode-Update gab es einigen Ärger bei Debian, da Intel in die Lizenzbedingungen eine Klause eingebaut hatte,  der es untersagte, Benchmarks oder Vergleiche, die auf der Grundlage des eingespielten Microcodes entstanden sind, zu veröffentlichen. Debian-Kernel-Maintainer Henrique de Moraes Holschuh verweigerte die Auslieferung für Debian, während andere Distributionen den Microcode trotzdem freigaben. Open-Source-Urgestein Bruce Perens machte die Geschichte dann in seinem Blog publik, worauf sie ein großes Medienecho erfuhr. Intel ruderte daraufhin zurück und entfernte die Klausel wieder.

  • Intel wegen Meltdown und Spectre in der Kritik

    Intel in der Kritik
    Bild: Penguins | Quelle: pxhere | Lizenz: CC0

     

    Der Linux-Kernel-Entwickler Greg Kroah-Hartman übte in dieser Woche in Vancouver in einem Vortrag auf dem Open Source Summit North America scharfe Kritik an Intels langsamer erster Reaktion auf die Spectre- und Meltdown-Bugs. Er sprach in diesem Zusammenhang unter anderem von fahrlässigem Verhalten.  Die Kernel-Entwickler hätten erst Ende Oktober vergangenen Jahres gerüchteweise von den Problemen erfahren, obwohl diese bereits im Juli gefunden und Intel bekannt gemacht wurden. Das berichtete das Magazin Eweek.

    Intel in der Kritik

    Kroah-Hartman sagte, dass, als Intel endlich beschloss, den Linux-Entwicklern zu eröffnen, worum es bei den Sicherheitslücken geht, dies in einer Art und Weise geschah, die jegliche Zusammenarbeit der Kernel-Entwickler mit den Distributionen per Embargo unterbunden habe. SUSE, Red Hat und Canonical seien informiert worden, ihnen sei aber untersagt worden, miteinander darüber zu reden. Oracle wurde gar nicht informiert, Debian erst sehr spät. Aus der Sicherheitsperspektive recht verheerend, so der Entwickler.

    Community außen vor

    Die Community sei insgesamt total außen vor geblieben. Die meisten Distributionen arbeiten mit vom Mainline-Kernel abgeleiteten Kerneln und seien somit »mit heruntergelassenen Hosen« erwischt worden. Intel sei die Zusammenarbeit mit großen Unternehmen gewohnt, wo andere Regeln gelten als in der Linux-Community. Da aber Intel zu einem der größten Beitragenden zum Kernel zählt und viele Kernel-Entwickler beschäftigt, klingt das insgesamt wenig glaubwürdig.

    Gestresste Kernel-Entwickler

    Kroah-Hartman sagte, typischerweise arbeiteten die verschiedenen Linux-Anbieter im Fall solch allgemeiner Sicherheitslücken zusammen. In diesem Fall waren sie jedoch gezwungen, jeder für sich zu arbeiten und kamen so zu unterschiedlichen Lösungen. Erst durch massiven Protest bei Intel sei das Embargo in der letzten Dezemberwoche 2017 aufgehoben worden. Das ruinierte die Weihnachtsferien für alle Beteiligten, denn Anfang Januar sollten die Lücken der Öffentlichkeit bekannt gemacht werden, was auch am 3. Januar geschah.

    Kroah-Hartman sagte, nach den ersten lautstarken Protesten der Entwickler habe sich die Zusammenarbeit bei den später folgenden Enthüllungen weiterer Lücken gebessert.

    Bessere Zusammenarbeit

    Ein interessanter Nebeneffekt der Meltdown- und Spectre-Schwachstellen besteht laut Kroah-Hartman darin, dass Linux- und Windows-Entwickler jetzt bei der Sicherheit zusammenarbeiten, da beide Betriebssysteme ähnliche Risiken aufgrund der CPU-Schwachstellen aufweisen. »Windows- und Linux-Kernel-Entwickler haben jetzt diesen wundervollen Rückkanal. Wir reden miteinander und wir reparieren Fehler füreinander«, sagte Kroah-Hartman. »Wir arbeiten gut zusammen. Das haben wir schon immer gewollt.« Ende gut – alles etwas besser.

  • Intel kündigt halbherzige Fixes für Whiskey Lake an

    Whiskey Lake
    Bild: Public Domain

    Intel hat vor wenigen Tagen die neue Prozessor-Reihe Whiskey Lake vorgestellt, ließ dabei aber völlig unerwähnt, dass die für Mainstream-Notebooks ausgelegten Whiskey-Lake-CPUs die erste Prozessor-Reihe für den Endverbraucherbereich sein wird, die im Silizium Maßnahmen gegen die eklatanten Sicherheitslücken in Intels CPUs  mitbringt.

    Stillschweigen

    Das Verschweigen einer eigentlich doch sehr berichtenswerten Maßnahme hat natürlich seinen Grund: Die Umsetzung für Whiskey Lake ist bestenfalls als halbherzig zu bezeichnen. Die gleichzeitig vorgestellte Amber-Lake-Reihe erhält keine Bereinigung im Silizium. Beide Plattformen stellen optimierte Varianten der Kaby-Lake-Microarchitektur dar. Intels Entschuldigung für das Verschweigen der Informationen war, man habe das Interesse der Öffentlichkeit hieran unterschätzt.

    Halbherziger Whiskey Lake

    Der Industrieanalyst Ashraf Eassa hat die Nachricht gestern als erster verbreitet, Tom’s Hardware holte dann von Intel die Bestätigung ein. Intel-Vertreter bestätigten daraufhin, dass Whiskey-Lake-Chips die ersten In-Silizium-Mitigationen auf den Verbrauchermarkt bringen.  Dabei erhalten die Whiskey-Lake-CPUs lediglich Mitigationen für Meltdown und L1TF, die eigentlich viel gefährlicheren Spectre-Varianten bleiben völlig außen vor.

    Cascade-X kann mehr

    Warum das der Fall ist, bleibt vorerst Intels Geheimnis. Das auch zumindest die Spectre-Variante 2 im Silizium zu beheben ist, belegen die Server-CPUs der Cascade-Lake-X-Baureihe, die noch 2018 erscheinen sollen. Intel sagt dazu, die Mitigationen gegen Spectre v2 sollen mit der Zeit auch auf die Consumer-Chips ausgeweitet werden. Genauere Informationen über die Natur der Änderungen im Silizium hat Intel bisher nicht preisgegeben. Ob die Intel CPUs der neunten Generation, die gerüchteweise im Oktober angekündigt werden sollen, auch Mitigationen auf Hardware-Ebene bieten werden, unde wenn ja, wie weit, ist bisher nicht bekannt.

    Abwarten oder zur Konkurrenz

    Da seit der ersten Veröffentlichung der katastrophalen Sicherheitslücken im Januar ständig neue Lücken aufgetaucht sind, wergibt es vermutlich wenig Sinn, sich bereits bei den jetzt angekündigten Prozessorreihen neu einzudecken. Das gilt natürlich nur dann, wenn Intel als CPU-Lieferant überhaupt noch in Frage kommt.

  • Intel lenkt ein bei Lizenz zu Microcode

    Intel lenkt ein
    Bild: „Intel“ von Christian Rasmussen Lizenz: CC By-SA 2.0

     

    In den letzten Tagen wurde einmal wieder Kritik an Intel laut, da die Veröffentlichung eines neuen Microcodes gegen die L1 Terminal Fault-Lücke sowie gegen Speculative Store Bypassing (SSB) an Lizenzbedingungen geknüpft war, die zumindest für Debian nicht akzeptabel waren.

    Debian verweigerte die Auslieferung

    Wie aus der Antwort auf einen Debian-Bugreport hervorging, hielt der Debian-Kernel-Maintainer Henrique de Moraes Holschuh den seit Wochen bereits paketierten Microcode mit der Bezeichnung intel-microcode 3.20180807.1 aufgrund der zum im Juli ausgelieferten Vorgänger intel-microcode 3.20180703.2. geänderten Lizenz zurück, ohne dass Holschuh jedoch zunächst auf den genauen Grund einging.

    Perens benennt Ross und Reiter

    Den lieferte dann Open-Source-Urgestein Bruce Perens in seinem Blog. Die Lizenzbestimmungen waren, wie Perens darlegt, um einen Zusatz ergänzt worden, der es untersagte, Benchmarks oder Vergleiche, die auf der Grundlage des eingespielten Microcodes entstanden sind, zu veröffentlichen.

    You will not, and will not allow any third party to … publish or provide any Software benchmark or comparison test results.


    Intel Lizenzbedingung

    Maulkorb für die Kunden

    Dabei ging es Intel wohl darum, zu verhindern, dass die zu erwartenden Leistungseinbußen, die bei virtuellen Maschinen angeblich bis zu 50 Prozent betragen können und beim Desktop immer noch 5 – 10 Prozent ausmachen sollen, öffentlich belegt werden. Bereits bei den vorangegangenen Spectre-Lücken war Intel mehrfach, hauptsächlich von Unternehmen, verklagt worden, da die zugesagten Eigenschaften der Prozessoren aufgrund der Leistungseinbußen nicht erfüllt wurden. Da der Mikrocode für jede Anweisung der CPU gilt, scheint dies eine Nutzungseinschränkung durch die hinzugefügte Lizenzklausel für den gesamten Prozessor zu sein, folgert Perens.

    Nichts gelernt

    Damit hat Intel mal wieder gezeigt, dass die Verantwortlichen seit Januar, der ersten Veröffentlichung der Meltdown- und Spectre-Lücken, nichts dazugelernt haben. Anstatt Kritik zu unterdrücken, sollte das Unternehmen zu den Fehlern stehen und seine Kunden möglichst umfassend über deren Asuswirkungen informieren.

    Kommando zurück

    Mittlerweile hat Intel zurückgerudert und die zusätzliche Klausel wieder entfernt. Warum diese überhaupt aufgenommen wurde bleibt unklar. Es kann nicht gänzlich ausgeschlossen werden, dass es ein Versehen war und der Text für eine Beta-Version verwendet wurde. Jedoch passt der Vorfall genau in das bereits bekannte Schema, sodass es wahrscheinlicher ist, das es darum ging, den Kunden einen Knebel zu verpassen. Jedenfalls zeigt sich wieder einmal, dass öffentliche Kritik zum Umdenken führt.

  • Debian schließt Intel-Lücken

    Debian schließt Intel-Lücken

    Debian schließt Intel-Lücken
    Screenshot: ft

    Debian weist im aktuellen Security Advisory DSA-4279-1 auf die Schließung der kürzlich unter der Bezeichnung Foreshadow beziehungsweise L1 Terminal Fault (L1TF) bekannt gewordenen Sicherheitslücken in Intel-CPUs hin. Die geschlossenen Lücken beziehen sich  auf die Kennnummern CVE-2018-3620 und CVE-2018-3646. Von den Lücken sind sowohl auf realer Hardware laufende als auch virtualisierte Systeme betroffen.

    Bereits länger bekannt

    Mehrere Forscher hatten die Schwachstellen in der Art, wie Intel-CPUs bei der spekulativen Ausführung von Anweisungen private Daten zugreifbar machen kann bereits vor Monaten entdeckt. Diese Fehler ähneln der Meltdown-Attacke und betreffen speziell die virtuelle Speicherverwaltung über Pagetables.

    Kernel und Microcode

    Um diese Schwachstellen vollständig zu schließen, ist es neben dem veröffentlichten Debian-Kernel 4.9.110-3+deb9u3 erforderlich, dass unter Debian »Stretch« der aktualisierte CPU-Microcode in Version 3.20180703.2~deb9u1 aus dem unfreien Repository non-free eingespielt wird. Dazu müssen Anwender kurzzeitig ihre Quellenliste erweitern. Dieser Microcode schließt durch Speculative Store Bypass Disable (SSBD) zusätzlich auch die Lücken Spectre Variante 3a und Variante 4 (CVE-2018-3639).

    Anwender von Debian Stable sind aufgerufen, die aktualisierten Pakete schnellstmöglich einzuspielen, um gegen die Lücken geschützt zu sein.