CleanPress

Schlagwort: Spectre

  • Intel: Keine neuen Microcodes gegen Spectre v2

    Microcode gegen Spectre
    Bild: Public Domain

     

    Intel hat in einem Update seines Papiers Microcode Revision Guidance (PDF) erklärt, die Arbeiten an Microcodes gegen die Spectre-v2-Sicherheitslücke seien beendet. Damit bleiben 10 Produktfamilien mit insgesamt mehr als 230 CPUs ungeschützt vor den im Januar bekannt gewordenen katastrophalen Sicherheitslücken Meltdown und Spectre. Das berichtet heute das Magazin The Register.

    Keine Microcodes gegen Spectre v2

    Das am 2. April herausgegebene Papier nennt die Familien Bloomfield, Bloomfield Xeon, Clarksfield, Gulftown, Harpertown Xeon C0 und E0, Jasper Forest, Penryn/QC, SoFIA 3GR, Wolfdale, Wolfdale Xeon, Yorkfield und Yorkfield Xeon. Darunter sind CPU der Reihen Xeon, Core-i, Pentium, Celeron und Atom. Auch die einst weit verbreiteten Core 2 Duo gehören dazu. Die ungepatcht verbleibenden CPUs für Desktops oder Notebooks sind alle sechs bis zehn Jahre alt.

    Intel nennt drei Gründe, warum CPUs einer dieser Familien nicht gepatched werden:

    • Mikroarchitektonische Merkmale, die eine technische Mitigation ausschließen, um Spectre v2 abzumildern
    • Eingeschränkte Unterstützung für kommerziell erhältliche Systemsoftware
    • Basierend auf den Eingaben der Kunden werden die meisten dieser Produkte als »geschlossene Systeme« implementiert und es wird daher eine geringere Wahrscheinlichkeit erwartet, dass sie diesen Schwachstellen ausgesetzt sind.

    Halbherziges Eingeständnis

    Intel gibt an, einer oder mehrere dieser Punkte könnten dazu führen, dass eine CPU nicht gepatched wird. Zum ersten Punkt, in dem Intel verklausuliert zugibt, dass seine Ingenieure bestimmte CPUs technisch nicht gepatched bekommen, macht der Konzern keine Angaben, um welche CPUs es sich dabei handelt. Eine gute Nachricht enthält der aktualisierte Report jedoch:  die Familien Arrandale, Clarkdale, Lynnfield, Nehalem und Westmere, die vorher nicht gepatcht wurden, haben jetzt funktionierende Korrekturen.

    Kernel-Entwickler weiterhin beschäftigt

    Für Intel scheint der Skandal um die Sicherheitslücken in den meisten CPUs der letzten 15 Jahre des Unternehmens abgeschlossen. Für die Linux-Kernel-Entwickler ist er das noch nicht. Die Patches direkt im Kernel halten die Entwickler immer noch in Atem. Der gerade erschienene Kernel 4.16 bringt weitere zusätzliche Patches gegen die insgesamt drei Schwachstellen.

    Die Überprüfung des Kernelcodes wird die Entwickler noch eine Weile beschäftigen. Mittlerweile wird die Suche nach Stellen, die für Spectre v1 anfällig sind, teilweise automatisiert. Dazu zählt die Identifizierung anfälliger Code-Abschnitte  und das Ersetzen des Array-Zugriffs durch die Funktion array_index_nospec() und damit die Abschaltung der spekulativen Ausführung.

  • Intel CEO gibt Stellungnahme zu Meltdown und Spectre

    Bild: „Intel“ von Christian Rasmussen Lizenz: CC By-SA 2.0
      Intels CEO Brian Krzanich hat eine schriftliche Stellungnahme zu den Sicherheitslücken Meltdown und Spectre abgegeben, die seit Jahresbeginn für viel Furore sorgten. Darin gab er bekannt, dass die veröffentlichten Aktualisierungen des Microcodes nun alle CPUs der letzten fünf Jahre zu 100 Prozent abdecken. In den letzten Tagen war eine neue Version des Microcodes freigegeben worden und ist beispielsweise in Debian Unstable mit der Versionsnummer 3.20180312.1 bereits ausgerollt worden. [su_slider source=“media: 4558″ link=“image“ width=“700″ height=“460″ arrows=“no“ mousewheel=“no“ autoplay=“0″ speed=“0″]

    Spectre v1 braucht trotzdem Microcode

    Die achte Generation von Intels Core-Architektur, die auf den Namen Coffee Lake hört, erhielt ein neues Stepping oder eine neue Revision, die die Angriffsvektoren von Meltdown (Rogue Data Cache Load) und Spectre v.2  (Branch Target Injection) gänzlich schließen sollen, so Krzanich. Allerdings benötigt die Abwehr von Angriffen über Spectre in Variante 1 (Bound Check Bypass) auch dann zusätzlich immer noch Microcode.

    »With these [microcode] updates now available, I encourage everyone to make sure they are always keeping their systems up-to-date. It’s one of the easiest ways to stay protected.« – BrianKrzanich

    Die achte Generation

    Da die 8th-Gen-Prozessoren bereits im Sommer letzten Jahres als »Coffee Lake« erschienen sind, ist hier nicht ganz klar, welche Desktop-Prozessoren  Krzanich damit meint. Vermutlich wird aber im Desktop-Segment Cascade Lake gemeint sein. Hier wird seit längerem über eine Core i9-8000-CPU als Nachfolger des Core i9-7000 gesprochen, der auch als Skylake-X bezeichnet wird. Diese neuen Prozessoren sollen »im Jahresverlauf« erscheinen. Auch und vor allem die Servervarianten Xeon Scalable (ebenfalls Cascade Lake) wurden bereits im Silizium gegen die Lücken gerüstet, was für Server besonders wichtig ist, da sie ein Hauptziel möglicher Angriffe darstellen.

    Fazit

    Somit bleibt zusammenzufassen: Bei CPUs für Desktop und Server, die ab 2018 auf den Markt kommen, sind die Lücken auf Silizium-Ebene geschlossen worden. Allerdings wird auch dort gegen Spectre v.1 immer noch Microcode gebraucht. Alle anderen CPUs der letzten fünf Jahre bleiben rein auf Software-Patches angewiesen. Meltdown sollte damit gut abgedeckt sein. Für Spectre v2 verwenden immer mehr Linux-Distributionen Googles Retpoline anstelle von Intels Microcode. Bei Googles Lösung fallen die Strafen in Form von langsamerer Code-Ausführung um einiges geringer aus. Wer noch ältere CPUs verwendet, bleibt von Intels Seite aus ungeschützt. Allerdings werden von Angriffen auf der Basis von Meltdown und Spectre kaum private PCs betroffen sein. Dazu ist der Aufwand viel zu hoch und der mögliche Gewinn zu klein.

  • Intel Microcode-Updates gegen Spectre v2

     

    Intel Microcode-Updates
    Quelle: Natascha Eibl Lizenz: CC0 1.0

     

    Intel hat weitere Microcode-Updates freigegeben, wie der aktualisierten Microcode Revision Guidance zu entnehmen ist. Dort listet Intel den jeweiligen Stand der Microcode-Updates zur Eindämmung von Meltdown und Spectre, den beiden CPU-Verwundbarkeiten, die Anfang des Jahres publik wurden. Änderungen seit der letzten Version des Papiers werden jeweils gelb hinterlegt. Braun hinterlegte Abschnitte sind noch in der Erprobungsphase.

    Skylake abgedeckt

    Anfang Februar hatte Intel überarbeitete Microcodes für Skylake-CPUs der Serien U, Y, H, S und U23e freigegeben, die sich gegen die Spectre Variante 2 richten. In der vergangenen Woche folgten dann korrigierte Codes für die Plattformen  Apollo Lake, Cherry View und Bay Trail. Die Microcodes für die älteren Plattformen Broadwell, Haswell, Sandy Bridge und Ivy Bridge verblieben noch in der Beta-Phase.

    Broadwell und Haswell nachgeliefert

    Jetzt wurden die überarbeiteten Microcodes für Broadwell- und Haswell-CPUs aus dem Beta-Status entlassen und gelten als stabil. Damit verbleiben die Prozessorgenerationen Sandy Bridge und Ivy Bridge als letzte in der Beta-Phase. Sie stellen auch die ältesten Generationen dar, die Gegenmaßnahmen gegen die Verwundbarkeiten erhalten. Die Überarbeitung der Microcodes war unter anderem dadurch nötig geworden, da mit im Januar ausgelieferten Microcodes Broadwell- und Haswell-CPUs spontane Neustarts der Hardware auslösten und daraufhin von Intel zurückgezogen wurden.

    [su_slider source=“media: 4318″ link=“image“ width=“700″ height=“460″ mousewheel=“no“ autoplay=“0″ speed=“0″]

    Linux am schnellsten versorgt

    Die Updates wurden bereits an Hersteller und OEMs ausgeliefert. Naturgemäß wird es eine Weile dauern bis diese als BIOS- oder Firmware-Updates bei den Endanwendern ankommen. Am schnellsten landen Intel Microcode-Updates wie auch die von AMD in der Regel bei Linux. Die meisten Distributionen liefern die Microcodes als Distributionspakete aus, die beim Start des Rechners in den Kernel geladen werden. Den Stand des jeweils erreichten Schutzes gegen die beiden Lücken können Linux-anwender mit dem Script Spectre-Meltdown-Checker überprüfen, das in einigen Distributionen, wie etwa bei Debian, auch als Paket im Archiv vorliegt. In der letzten Woche erhielt zudem auch OpenBSD Patches gegen Meltdown.

     

     

  • MeltdownPrime und SpectrePrime – neue Angriffsszenarien

    MeltdownPrime und SpectrePrime
    Foto: Markus Spiske auf Unsplash

     

    Das Ende der Fahnenstange ist noch nicht erreicht bei den Sicherheitslücken in den CPUs fast aller Hersteller der letzten 25 Jahre. Sicherheitsforscher der Universität Princeton und von Nvidia haben weitere Angriffsszenarien zur Ausnutzung von Meltdown und Spectre entdeckt, die nicht von den anfänglichen »Proof-of-concept«-Beispielen abgedeckt sind. Wie The Register gestern berichtete, beschreibt ein Forschungspapier unter dem Titel MeltdownPrime and SpectrePrime: Automatically-Synthesized Attacks Exploiting Invalidation-Based Coherence Protocols (PDF) neue Varianten der Meltdown- und Spectre-Exploits.

    Neue Wege für Malware

    Das Forscherteam hat neue Wege für Malware entdeckt, um sensible Informationen wie Passwörter und andere Geheimnisse aus dem Speicher eines anfälligen Computers zu extrahieren, indem es die Designfehler in modernen Prozessoren ausnutzt. Die Patches, die gerade entwickelt und ausgerollt werden, um den Angriffsvektor der Meltdown- und Spectre-Angriffe weiter zu verkleinern, werden diese neuen Exploits wahrscheinlich abdecken. Erst gestern wurden weitere Verbesserungen in dieser Hinsicht in den Mainline-Kernel eingebracht.

    Intel muß zurück ans Reißbrett

    Andererseits greifen die neuen Exploits so tief in die Chip-Architektur ein, dass die Änderungen direkt im Silicon, die Intel gerade plant, vermutlich nicht ausreichen um die CPU-Blaupausen von diesen Schwachstellen zu befreien. Es gibt allerdings bisher noch keine bekannt gewordenen Angriffe, die auf dem ursprünglichen oder dem neuen Exploit basieren. Das ist aber vermutlich eher der Komplexität der Sache geschuldet als dem Desinteresse der potentiellen Ausnutzer dieser Lücken.

    Automatisierte Suche

    Die Forscher haben ein bisher nicht näher beschriebenes Werkzeug entwickelt, das Microschip-Architektureen auf Angriffsszenarien hin überprüft. Sie identifizierten dabei neue Wege, um die Fehler des Prozessors auszunutzen. Diese neuesten Exploit-Techniken werden als MeltdownPrime und SpectrePrime bezeichnet. Die neuen Exploits unterscheiden sich von ihren Vorgängern unter anderem dadurch, dass sie als Zweikern-Angriffeausgelegt sind, sie verwenden zwei CPU-Kerne gegeneinander und nutzen die Art und Weise aus, wie in Mehrkernsystemen auf Speicher zugegriffen wird.

    Höhere Preisgelder

    Derweil hat Intel sein Bug-Bounty-Programm ausgedehnt. Die Erweiterung soll bis zum Jahresende aufrechterhalten werden und speziell weitere Seitenkanalattacken wie Spectre enthüllen. Die Preisgelder belaufen sich dabei auf bis zu 250.000 US-Dollar pro Entdeckung. Der bisherige Modus der Einladung von Intel, am Programm entfällt, es können Sicherheitsforscher aus der ganzen Welt teilnehmen.

  • Der neueste Stand bei Spectre & Meltdown

    Meltdown und Spectre
    Bild: Google

     

    Es ist etwas ruhiger geworden um die katastrophalen Sicherheitslücken in den meisten der in letzten rund 20 Jahren verkauften Prozessoren, was aber keinesfalls als Entwarnung missverstanden werden sollte. Wer es noch nicht verinnerlicht hat, dem sei hier nochmals gesagt: Meltdown und Spectre werden erst völlig geschlossen sein, wenn Intel neue Steppings seiner Prozessoren am Markt hat. Das wird vermutlich nicht vor 2020 sein. Die für den Sommer 2018 von Intels CEO Brian Krzanich bei der Verkündung der Quartalsergebnisse für Q4 2017 am 25. Januar medienwirksam angekündigten neuen CPUs mit »eingebautem Schutz gegen Meltdown und Spectre« betreffen lediglich neue Server-CPUs. Die Aussage von Krzanich lässt zudem vermuten, das Intel schon länger Kenntnis von den Lücken hatte, denn Änderungen am Silicon dauern lange. Wörtlich sagte er, ohne weiter auf Details einzugehen:

    „We’re working to incorporate silicon-based changes to future products that will directly address the Spectre and Meltdown threats in hardware. And those products will begin appearing later this year.“

    Verbesserter Schutz mit 4.15.2 und 4.14.18

    Das bringt leider den Milliarden in aller Welt betroffenen Rechnern nichts. Wer in den nächsten zwei Jahren eine Intel-CPU für seinen PC kauft, der kauft mit ziemlicher Sicherheit Meltdown und Spectre mit ein. Auch die Entwickler des Linux-Kernel werden noch lange Zeit damit zubringen, die Patches gegen die Lücken zu verbessern. So wurden am 7. Februar die Linux-Versionen 4.15.2 und 4.14.18 veröffentlicht, die erste Maßnahmen gegen Spectre v1 enthalten. Heises Kernel-Spezi Thorsten Leemhuis geht hier mit seinem aktualisierten Kernel-Log in die Details. So wurde nicht nur initialer Schutz gegen Spectre v1 eingebaut, auch der Schutz vor Spectre v2 wurde verbessert. Meltdown hatten die Kernel-Entwickler schon seit 4.15-rc6  gut abgedeckt, sodass hier nur noch Detailverbesserungen einfließen.

    Spectre & Meltdown
    Spectre-Meltdown-Checker mit Kernel 4.15.1

    Spectre & Meltdown
    Spectre-Meltdown-Checker mit Kernel 4.15.2

     

    Intels zweiter Versuch

    Am 8. Februar gab Intel zudem bekannt, neuen Microcode veröffentlicht zu haben. Dieser ist in stabiler Version derzeit allerdings nur für mobile und stationäre Skylake-CPUs verfügbar. Das Update ist nicht für Broadwell,  Haswell, Kaby Lake, Skylake X, Skylake SP oder Coffee Lake geeignet. Neuer Microcode für diese Plattformen befindet sich laut Intel noch im Beta-Test. Die letzte Version des Microcodes zog Intel kürzlich zurück, da die Chip-Plattformen Broadwell und Haswell mit dieser Microcode-Version ungewollte Abstürze oder Neustarts der Hardware auslösten. Der neu veröffentlichte Microcode soll vor allem die Spectre-Lücke besser abdichten.

    Noch keine Angriffe bekannt

    Linux-Anwender kommen hierbei noch ganz gut weg, denn der  Microcode wird per Paket von den Distributionen ausgeliefert und jeweils beim Systemstart geladen. Windows-Nutzer müssen dazu ihr BIOS aktualisieren. Zudem dauert es bei Windows länger, bis die Fixes zu den Anwendern gelangen. Intel liefert den Microcode erst an die OEMs aus, die den Code dann an ihre Mainboards anpassen, bevor er den Anwendern dann als BIOS-Update angeboten wird.

    Verharmlosen hilft nicht

    Vereinzelt werden die Lücken derzeit kleiner geredet als sie sind. Als Aufhänger dient hier die Tatsache, dass »in the wild« noch kein Angriffsszenario umgesetzt werden konnte, das die Lücken ausnutzt. Die 139 Malware-Samples, über die vor einer Woche auch hier berichtet wurde, funktionieren bisher lediglich im Labor. Aber wie gesagt, die Lücken bleiben uns in abgemilderter Form noch lange erhalten und staatliche Hacker und Kriminelle werden nicht so schnell aufgeben.

    Allerdings ist der Grad der Sicherheit seit Bekanntwerden der Lücken Anfang Januar für Linux-Anwender stark verbessert worden. Spectre war von Anbeginn an nur von Profis auszunutzen. Heute ist das Dank der unermüdlichen Arbeit der Kernel-Entwickler wesentlich schwerer geworden.

     

  • Linux-Kernel 4.15 mit KPTI and Retpoline

     

    Linux-Kernel 4.15
    Bild: Krd Lizenz: CC BY-SA 3.0

     

    Kernel 4.15 hat den längsten Entwicklungszyklus eines Kernels in den letzten sieben Jahren. Es brauchte neun Release-Kandidaten bis Linus Torvalds, der Herr der Kernel, zufrieden war. So viele RCs benötigte zuletzt Kernel 3.1 im Jahr 2011, der sogar noch einen zehnten Kandidaten brauchte und damit Rekordhalter ist.

    Der Grund für den langen Zyklus sind ohne Zweifel Meltdown und Spectre, die die Kernel-Entwickler noch vor den Feiertagen überraschten und einige bis zur Erschöpfung in Atem hielten. Die Art, wie Intel die katastrophalen Sicherheitslücken handhabte war alles andere als hilfreich und Torvalds ließ Intel das auch wissen. Torvalds wünscht sich in seiner Ankündigung einen langweiligen Entwicklungszyklus zu 4.16 ohne neue Überraschungen.

    GCC 7.3 aktiviert Retpoline vollständig

    Jetzt ist es aber geschafft, 4.15 ist veröffentlicht. Vor wenigen Tagen erschien zudem die GNU Compiler Collection GCC 7.3, die ebenfalls die entsprechenden Switches für Retpoline mitbringt, sodass damit gebaute Distributionskernel über den vollen derzeit verfügbaren Schutz verfügen. Insbesondere 4.16 wird Patches gegen Spectre v1 bringen, aber auch die darauf folgenden Kernel werden noch Nachbesserungen beinhalten. Neben x86 stehen dabei besonders die Plattformen PowerPC und ARM im Fokus.

    Meltdown im Griff

    Die  Kernel Page-Table Isolation-Patches können mit Kernel 4.15 die Meltdown-Lücke schließen. Allerdings kostet das derzeit je nach Anwendung unakzeptable 5 bis 30 Prozent. Für AMD-CPUs bleiben diese Patches deaktiviert, da AMD-Prozessoren für Meltdown nicht anfällig sind. Gegen Spectre v1 haben die Entwickler derzeit noch kein Mittel, daran wird für 4.16 gearbeitet. Spectre v2 lässt sich dagegen zumindest teilweise im Kernel verhindern. In Kernel 4.15 übernehmen das die Retpoline-Patches von Google.

     

     

    Riesiges Patchset von AMD

    Natürlich hat der neue Kernel mehr zu bieten als die Maßnahmen gegen die alles überschattenden CPU-Sicherheitslücken. Herausragend dabei ist die Unterstützung für AMDGPU DC, die es nach mehreren Anläufen in den Mainline-Kernel geschafft hat.  Der Kernel unterstützt damit AMDs GPU-Architektur Vega. Dazu zählen die Karten Radeon RX Vega 64 und  Radeon RX Vega 56, die jetzt Unterstützung für HDMI 2.0 und Displayport 1.4 bieten. Bei den meisten Karten gilt das auch für Audio. Ebenfalls neu ist die Temperaturüberwachung für AMDs Zen-Prozessoren. Das gleiche gilt auch für den Nouveau-Treiber, der jetzt die Temperaturen bei Nvidias Pascal-Chips beherrscht.

    Mit der Unterstützung von Apples ThunderboltIP lassen sich Rechner über die Thunderbolt-Schnittstelle vernetzen. Bei  USB-Typ-C-Schnittstellen kann der Port-Manager künftig den Energiebedarf je nach angeschlossenem Gerät regeln. Der Umstieg auf Control Groups v2 ist mit 4.15 vollständig, auch wenn die erste Implementation uns noch lange begleiten wird. Zudem wurden erste Patches für die Unterstützung der neuen RISC-V-Prozessoren aufgenommen.

    Das zweiwöchige Fenster für Einreichungen zu Linux 4.16 ist geöffnet, wenn alles glatt läuft, sollte der nächste Kernel Ende März erscheinen. Wie immer bietet die Seite Kernel Newbies eine leicht verständliche Zusammenfassung der Änderungen zu Kernel 4.15.

  • Intel rät von Microcode gegen Spectre ab

    Microcode gegen Spectre
    Bild: Public Domain

    Intel rät seit gestern offiziell von der Verbreitung und Verwendung des aktuellen Microcodes mit der Versionsnummer 20180108 ab. Die Firmware enthält hauptsächlich Maßnahmen gegen Spectre in Variante 2 mit der Kennung CVE-2017-5715. Bereits am 11. Januar hatte Intel bekannt gegeben, dass die aktuelle Version des Microcodes auf einigen Plattformen Probleme verursachen könne. Auf den CPU-Plattformen Broadwell und Haswell wurden spontane Reboots sowie insgesamt instabiles Verhalten beobachtet.

    Microcode gegen Spectre

    Daraufhin zogen einige OEM-Partner ihre dementsprechenden BIOS-Versionen vom Download zurück. In den letzten Tagen gingen auch Linux-Anbieter diesen Weg. Hier bedarf es keiner BIOS-Version, der Microcode kann direkt beim Start des Rechners geladen werden. Red Hat machte, gefolgt von Ableger CentOS  den Anfang, zog das Microcode-Paket zurück und verwies seine Kunden für weitere Aktualisierungen an die OEM-Partner.  Auch Ubuntu zog die aktuelle Version zurück, ersetzte sie allerdings gegen eine ältere Version vom Juli 2017. Mittlerweile setzte auch Debian bei Unstable die Version zurück auf  20171117.

    Torvalds kritisiert Intel

    Seit gestern rät nun auch Intel offiziell von der Verwendung der Firmware ab. Intel gibt gleichzeitig an, das Problem mittlerweile gelöst zu haben. Eine neue Version der Firmware werde bereits von Industriepartnern getestet. Intel entschuldigte sich für die Störungen, die durch den Microcode verursacht wurden. Auch bei Linus Torvalds steht Intel derzeit in der Kritik. Dieser äußerte sich am Wochenende mit drastischen Worten zu einer Patch-Serie, die Intel für Kernel 4.16 eingereicht hat. Er kritisiert, dass die Patches »absoluten Müll« enthalten und den Kernel schützen wollen, wo dieser durch Retpoline bereits mit weit weniger Overhead geschützt sei.

    Komplexe Materie

    Im Nachhinein betrachtet ist er damit wohl etwas über das Ziel hinausgeschossen. Das zeigt deutlich die Komplexität der Sachlage auf, wenn selbst Torvalds nach einem kurzen Review die Fakten verwechselt. Dave Woodward, der ehemals für Intel arbeitete und die Patch-Serie einreichte, versucht die komplizierte Sachlage etwas verständlicher darzustellen.

  • AMD veröffentlicht Patches gegen Spectre

    AMD gegen Spectre
    Bild: „P1010310“ von Erman Syah Lizenz: CC-By-SA-2.0

     

    Nachdem Intel bereits letzte Woche Patches gegen die Sicherheitslücke Spectre veröffentlicht hat, zog AMD noch vor dem Wochenende nach. Der Anbieter, der sich zunächst ziemlich sicher vor den gefährlichen Lücken wähnte, ist nun nach eigener Einlassung doch betroffen. Vermutlich sind die AMD-Prozessoren zwar immun gegen die Auswirkungen von Variante 3 (Rogue Data Cache Load), auch als Meltdown bekannt, jedoch anfällig für die beiden Spectre-Typen Variante 1 (Bounds Check Bypass) und Variante 2 (Branch Target Injection).

    AMD gegen Spectre

    Mark Papermaster, Senior Vice President und Chief Technology Officer bei AMD erläutert die Details der Maßnahmen. Demnach arbeitet AMD eng mit Microsoft und der Linux Community zusammen um die Patches möglichst schnell und schonend an die Nutzer auszuliefern. Zudem arbeitet AMD mit den Kernel-Entwicklern bei der Umsetzung von Googles Retpoline-Patches, deren erster Teil bereits nächste Woche mit Kernel 4.15 erscheinen soll.

    Angepasster GCC

    Damit Retpoline auch etwas ausrichten kann braucht es aber auch eine angepasste GNU Compiler Collection (GCC). Hier wurden am Sonntag entsprechende Anpassungen gegen Spectre (CVE-2017-5715)  für den noch in der Entwicklung befindlichen GCC 8 auf Git hochgeladen. Für den derzeit von vielen aktuellen Distributionen genutzten GCC 7 werden die Änderungen zurückportiert. Distributionen, die ältere Compiler-Versionen nutzen müssen vermutlich selbst tätig werden.

    Neuer Microcode

    AMD will im Wochenverlauf ein weiteres neues Microcode-Update speziell für Ryzen- und EPYC-Prozessoren herausgeben. In den kommenden Wochen soll neuer Microcode für ältere Generationen von AMD-Chips erscheinen. Papermaster betont, AMD-Radeon-GPUs seien nicht betroffen, da sie keine spekulative Ausführung nutzen.

    Sowohl die bisherigen Patches von Intel als auch von AMD liefen nicht auf allen Plattformen gleich gut. Besonders bei Intel sind viele Rechner nach Einspielen der Patches mit Haswell- und Broadwell-Prozessoren von spontanen Reboots betroffen.

  • Wichtige Neuerungen für Ubuntu 17.10

     

     

     

    Neuerungen für Ubuntu 17.10
    Bild: Canonical

     

    Ubuntu 17.10 »Artful Aardvark« erfährt in den kommenden Tagen zwei wichtige Änderungen. Am morgigen Donnerstag wird die im Oktober 2017 veröffentlichte Ausgabe Ubuntu 17.10 erneut als Ubuntu 17.10.1 veröffentlicht. Es ist dies das erste Mal, dass eine Ausgabe von Ubuntu, die nicht mit der Langzeitunterstützung LTS ausgestattet ist, ein Punkt-Release erhält. Grund für die Neuveröffentlichung ist ein Fehler in einem Treiber, der dazu führen konnte, das Notebooks von Lenovo und anderen Herstellern bereits nach dem Booten der Live-Medien von Ubuntu 17.10 ein korrumpiertes BIOS aufweisen konnten.

    Fatale Folgen

    Die Folgen reichten von nicht mehr speicherbaren BIOS-Einstellungen über den Verlust der Bootfähigkeit per USB bis hin zu gar nicht mehr bootenden Systemen. Daraufhin zog Canonical das Desktop-Image von Ubuntu 17.10 vom Download-Server zurück, weshalb auch mit Fug und Recht von einer Neuveröffentlichung gesprochen werden kann. Der Grund für den fatalen Fehler war schnell gefunden. Der Intel-SPI-Treiber, der unter anderem dazu dient, das BIOS aus dem System heraus aktualisieren zu können, war schnell als der Schuldige ausgemacht. Die Ubuntu-Entwickler hatten diesen Treiber im Kernel aktiviert. Der Hilfstext weist darauf hin, dass man genau wissen sollte was man tut, wenn man den Treiber aktiviert.

    Neuveröffentlichung

    Ubuntu-Entwickler Steve Langasek kündigte vor einigen Tagen auf der Ubuntu-Mailing-Liste für den 11. Januar eine Neuveröffentlichung von Ubuntu 17.10 an. Vermutlich werden auch einige andere Varianten aus der Ubuntu-Familie neue Images erhalten. Bei den Daily-Builds steht unter dem Stichwort  »Artful Dot One« bereits seit Tagen ein entsprechendes Ubuntu-Image bereit. Die Neuveröffentlichung am morgigen 11.1 war angesichts des nahenden Endes der Unterstützung für Ubuntu 17.04 »Zesty Zapus« am 13. Januar notwendig geworden.

    Kernel-Patches bis zurück zu Ubuntu 12.04 ESM

    Dabei blieb keine Zeit, sich um die Eindämmung von Meltdown und Spectre zu kümmern. Der Ubuntu-Kernel 4.13.0.21,  der mit 17.10.1 veröffentlicht wird, enthält keine Patches gegen die Lücken. Deshalb sollten Neuinstallationen von 17.10.1 gleich ein Update erhalten. Dazu wird heute noch der Kernel 4.13.0.25.26, der die KPTI-Patches gegen Meltdown enthält, veröffentlicht. Außerdem werden Kernel 4.4.0-108.131 für Ubuntu 16.04 LTS, Kernel 3.13.0.139.148 für Ubuntu 14.04 LTS und 4.4.0-108.131~14.04.1 für Ubuntu 14.04.5 LTS veröffentlicht.  Für Ubuntu 12.04 ESM (Extended Security Maintenance) mit verlängertem Support steht Kernel 3.2.0-132.178 bereit, für Ubuntu 12.04.5 ESM trägt der gepatchte Kernel die Versionsnummer 3.13.0.139.129. Zudem gibt es einen neuen gepatchten  Nvidia-Treiber 384.111.

  • Meltdown & Spectre aus Sicht eines Kernel-Entwicklers

    Meltdown & Spectre
    Bild: „Greg Kroah-Hartman“: von tian2992 – CC BY-SA 2.0

     

    Kernel-Entwickler Greg Kroah-Hartman (GregKH) hat in seinem Blog einen Statusbericht über den derzeitigen Stand der Dinge bei Meltdown und Spectre veröffentlicht. Als Essenz bleiben zwei Kernsätze:

    • Linux-Nutzer sollten in den nächsten Monaten noch eifriger auf zeitnahe Kernel-Updates achten.
    • Wer eine Distribution nutzt, die noch keinen aktualisierten Kernel mit den KPTI-Patches anbietet, sollte jetzt die Distribution wechseln.

    GregKH, der Maintainer der Stable-Kernel-Reihe, verweist zum Verständnis der Ereignisse auf das Projekt-Zero-Papier der GoogleSicherheitsforscher, das er in seiner Qualität für preisverdächtig hält. Weitere technische Details, wie die Kernel-Entwickler die Lücken zu schließen versuchen, finden sich auf LWN im Artikel »Addressing Meltdown and Spectre in the kernel«, der allerdings derzeit nur für Abonnenten zugänglich ist.

    Kritik an den betroffenen Unternehmen gibt es nicht nur von Linus Torvalds, sondern auch von GregKH, wenn der sagt, dies sei ein Paradebeispiel dafür, wie man nicht mit der Kernel-Entwicklergemeinde umgehen sollte. Es gibt laut GregKH dazu noch einiges zu sagen, jetzt sollen allerdings zunächst die Fehler beseitigt werden.

    Meltdown – x86

    Der heute erwartete Kernel 4.15-rc7 wird alle Patches gegen Meltdown enthalten, die bisher verfügbar sind. Da aber die wenigsten Anwender rc-Kernel nutzen, hat GregKH als Hüter der stabilen Kernelreihen den Page-Table-Isolation-Code, der Meltdown-Angriffe vereitelt, in den aktuellen Kernel 4.14.12 übernommen. In  den nächsten Tagen wird dieser von 4.14.13 abgelöst, der einige Patches für Systeme enthält, die Bootprobleme mit 4.14.12 haben. Auch die LTS-Kernel 4.4 und 4.9 sind mit der Option CONFIG_PAGE_TABLE_ISOLATION neu gebaut und veröffentlicht worden.

    Meltdown – ARM64

    Die Meltdown-Patches für ARM64 sind noch im aktuellen Kernel-Zweig integriert. Sie sind fertig und sollen, sobald 4.15 in wenigen Wochen aus der Tür ist, in 4.16-rc1 gemerged werden. Anwender, die auf einen ARM64-Kernel angewiesen sind, sollten daher derzeit auf den Android Common Kernel-Zweig setzen. Die Patches sind dort in die Zweige 3.18, 4.4 und 4.9 gemerged worden.

    Spectre

    Bisher sind keine Patches gegen diesen Angriffsvektor in die offiziellen Kernelreihen eingebracht worden. Es liegen eine Menge Patches auf diversen Mailinglisten vor, die das Problem angehen, aber alle sind noch in heftiger Entwicklung begriffen. Teilweise gibt es Konflikte zwischen diesen Patches, die zum Teil noch nicht einmal so weit sind, dass sie gebaut werden können. Hier herrscht ziemliches Durcheinander. Das liegt daran, dass die Spectre-Probleme die letzten waren, die von den Kernel-Entwicklern angegangen wurden. Alle arbeiteten an Meltdown-Lösungen, und es lagen keine wirklichen Informationen darüber vor, was genau das Spectre-Problem überhaupt war.

    Aus diesem Grund wird es noch einige Wochen brauchen, um diese Probleme zu lösen und sie Upstream zusammenzuführen. Die Korrekturen kommen in verschiedenen Subsystemen des Kernels an und werden gesammelt und in den stabilen Kernel-Updates veröffentlicht sobald sie gemerged sind. Also ist es auch hier am besten, mit den Kernel-Releases der verwendeten Distribution oder den LTS- und stabilen Kernel-Releases auf dem Laufenden zu bleiben.

    Meltdown & Spectre: Alle im gleichen Boot

    Die gesamte Industrie sitzt hier derzeit im gleichen Boot. Kein Betriebssystem scheint gegen Spectre bisher ausreichend gewappnet. Die vorgeschlagenen Lösungen sind nicht gerade trivial, aber einige von ihnen sind erstaunlich gut. Der Retpoline-Post von Googles Paul Turner ist ein Beispiel für einige der neuen Konzepte, die zur Lösung dieser Probleme entwickelt wurden. Dies wird in den nächsten Jahren ein Bereich mit vielen Forschungsarbeiten sein, um Wege aufzuzeigen, wie man die potenziellen Probleme im Bereich der spekulativen Ausführung bei modernen Prozessoren in den Griff bekommt.

    Derzeit liegen Patches für Meltdown und Spectre lediglich für die Architekturen x86 und arm64 vor. Einige Patches sind in Unternehmens-Distributionen gesichtet worden, die hoffentlich bald in den Upstream eingeführt werden.

    »Im Moment gibt es eine Menge sehr überarbeiteter, mürrischer, schlafloser und einfach nur angepisster Kernel-Entwickler, die so hart wie möglich daran arbeiten, diese Probleme zu lösen, die sie selbst überhaupt nicht verursacht haben. Bitte seid hier rücksichtsvoll. Sie brauchen die ganze Liebe und Unterstützung und kostenlose Versorgung mit ihrem Lieblingsgetränk, das wir ihnen zur Verfügung stellen können, um sicherzustellen, dass wir alle so schnell wie möglich mit reparierten Systemen arbeiten können.«