image

Intel waarschuwt voor nieuw beveiligingslek in processors

donderdag 14 juni 2018, 10:15 door Redactie, 14 reacties

Intel heeft een waarschuwing afgegeven voor een kwetsbaarheid in Intel Core-processors waardoor een aanvaller toegang tot gevoelige informatie kan krijgen. Net als bij de Spectre- en Meltdown-aanvallen gaat het om een "speculative execution side channel" aanval, die "Lazy FP state restore" wordt genoemd.

Het probleem is aanwezig in de processor zelf en raakt daardoor alle platformen die op een Intel Core-processor draaien en van "Lazy FPU switching" gebruikmaken, zo stellen de onderzoeker van Cyberus Technology die de kwetsbaarheid ontdekten. Interne geheugenregisters in processors slaan gegevens op over de staat van elke applicatie. De staat van een applicatie moet worden opgeslagen en hersteld wanneer er van de ene naar de andere applicatie wordt omgeschakeld, wat rekenkracht kost. Om prestaties te verbeteren wordt Lazy FPU switching gebruikt om de opslag of het herstel van een FPU-staat alleen uit te voeren wanneer dit absoluut noodzakelijk is.

Een kwetsbaarheid in de Intel-processors maakt het mogelijk voor een ander proces om toegang tot de staat van een ander proces te krijgen, waardoor er gevoelige informatie kan lekken. Zo kan er toegang tot de inhoud van FPU/MMX/SSE/AVX-registers worden verkregen. "Dit is een groot probleem omdat AES-encryptiesleutels bijna altijd in de SSE-registers staan", zegt computerwetenschapper Colin Percival.

De informatie uit de registers kan langs "proces- en virtual machine grenzen" lekken, aldus de onderzoekers die het probleem vonden. Om misbruik van de kwetsbaarheid te maken moet een aanvaller al toegang tot een systeem hebben. Dit kan echter een probleem zijn in bijvoorbeeld shared hosting-omgevingen. Amazon meldt in een advisory dat de eigen infrastructuur niet kwetsbaar is en klanten niet de geheugenstaat van andere klanten kunnen uitlezen.

Tegenover The Register verklaart Intel dat Lazy FP state restore gelijk is aan het Spectre NG-lek dat onlangs werd onthuld en al jaren geleden in besturingssystemen en hypervisorsoftware is verholpen. Intel zou nu met industriepartners samenwerken om het probleem in de resterende omgevingen te verhelpen en in de komende weken zouden hiervoor updates moeten verschijnen. Zo zal Red Hat binnenkort met updates voor Red Hat Enterprise Linux 5 en 6 komen en staan er ook updates van Microsoft in de planning.

Reacties (14)
14-06-2018, 10:29 door Anoniem
En hoppa, daar gaat weer een stuk performance voor iedereen om een theoretisch probleem waar 99.9+% van de
gebruikers nooit mee te maken heeft "op te lossen". En Intel werkt daar natuurlijk graag aan mee want nieuwe processors
verkopen in een wereld waar steeds minder mensen behoefte hebben aan een nieuwe computer omdat de oude te
traag wordt dat is natuurlijk altijd welkom.
14-06-2018, 14:20 door Anoniem
Nee google wil dit graag,want dan kunnen ze slimmere devices en smart-management en snellere slimmere
chipsets en cpu's op de wereld-markt laten brengen om hun panopticum architectuur strategie verder te kunnen voltooien.

Het monitoren van alle volkeren op aarde,kijk als voorbeeld eens naar de aziatische landen die zijn
nog verder gevorderd dan europa in het aanpassen en controleren van hun burgers en de maatschappij.

Daarom om dit alles een extra boost te geven,brachten ze afgelopen januari 2018 wereld-nieuws
met de allergrootste bug aller tijden.

We willen af van al die domme hardware oude cpu's en chipsets,snel weg daarmee
en wat blijkt alle devices van voor 2012 worden niets eens meer gepatcht.

Het is iets wat ze allang wisten.
14-06-2018, 15:01 door Anoniem
Door Anoniem: En hoppa, daar gaat weer een stuk performance voor iedereen om een theoretisch probleem waar 99.9+% van de
gebruikers nooit mee te maken heeft "op te lossen". En Intel werkt daar natuurlijk graag aan mee want nieuwe processors
verkopen in een wereld waar steeds minder mensen behoefte hebben aan een nieuwe computer omdat de oude te
traag wordt dat is natuurlijk altijd welkom.
99% van huizenbewoners heeft geen last van inbraak. Moeten we dan dus maar niet anti-kerntrek sloten hebben, volgens jou?
14-06-2018, 16:39 door [Account Verwijderd] - Bijgewerkt: 14-06-2018, 16:40
Door Anoniem: Nee google wil dit graag,want dan kunnen ze slimmere devices en smart-management en snellere slimmere
chipsets en cpu's op de wereld-markt laten brengen om hun panopticum architectuur strategie verder te kunnen voltooien.

Het monitoren van alle volkeren op aarde,kijk als voorbeeld eens naar de aziatische landen die zijn
nog verder gevorderd dan europa in het aanpassen en controleren van hun burgers en de maatschappij.

Daarom om dit alles een extra boost te geven,brachten ze afgelopen januari 2018 wereld-nieuws
met de allergrootste bug aller tijden.

We willen af van al die domme hardware oude cpu's en chipsets,snel weg daarmee
en wat blijkt alle devices van voor 2012 worden niets eens meer gepatcht.

Het is iets wat ze allang wisten.

Ik kan me niet aan de indruk onttrekken dat er een groeiend aantal mensen is die berichten op fora uitpluizen om te kunnen beoordelen of zij het mode woord panopticum in een reactie kunnen verwerken.

Als ze niet precies van de hoed en de rand weten dan is het gretig voor één gat te vangen:
...panopticum, ofwel: de speculatie toverhoed van het moderne 'reading the tea leaves'.

(Het is bar met dat bij elkaar fantaseren van voorheen duidelijk gekaderde onderwerpen.
Tegenwoordig worden de diverse wide-screen formaten (1:1.66 - 1:1.75 - 1:1.85) ook al op één hoop geschoffeld:
...pano)
14-06-2018, 16:41 door Anoniem
Lazy FPU switching? Ik zou eerder zeggen, Lazy CPU design!

In elk geval voorlopig geen cloud dingen nemen of virtual private servers. Want die kunnen dus best eens helemaal niet zo private zijn. Geen garantie immers dat dit het laatste Lazy gevalletje is. Ongelofelijk dat er tussen al die briljante koppies van Intel niemand heeft gezeten die zijn vingertje opstak in de klas! Ze verkopen rustig dijken met voorgeprikte gaatjes, blijkbaar.
14-06-2018, 21:21 door Anoniem
Een kwetsbaarheid in de Intel-processors maakt het mogelijk voor een ander proces om toegang tot de staat van een ander proces te krijgen, waardoor er gevoelige informatie kan lekken.
O.k. Dit kan ik volgen. Proces A kan stiekem over de schutting kijken naar gegevens van proces B, iets wat het (eigenlijk) niet mag of kan doen.
Amazon meldt in een advisory dat de eigen infrastructuur niet kwetsbaar is en klanten niet de geheugenstaat van andere klanten kunnen uitlezen.
Dus, naar dezelfde analogie, kan klant A niet de gegevens zien van klant B. Maar de kwetsbaarheid zit in de processor. Daarnaast moet de boef ook nog eens toegang hebben tot het systeem.

Mijn vraag: hoe kan een proces van klant A überhaupt bij de processor van een Amazonsysteem komen, om "over de schutting" te kijken naar gegevens van klant B?
15-06-2018, 06:31 door Anoniem
Door Anoniem: Mijn vraag: hoe kan een proces van klant A überhaupt bij de processor van een Amazonsysteem komen, om "over de schutting" te kijken naar gegevens van klant B?
Amazon als cloud-provider heeft in virtuele machines processen van verschillende klanten op dezelfde fysieke systemen draaien. Hun infrastructuur is daarom in beginsel gevoelig voor deze kwetsbaarheid, de processen kunnen "over de schutting" kijken omdat op de fysieke processor waarop ze draaien ook processen van andere klanten terechtkomen.

Als je naar de advisory van Amazon kijkt dan linken die door naar security advisories van Intel en Xen. Xen is hypervisor-software (om virtuele machines mee te draaien dus). Uit de advisory van Xen blijkt dat het probleem omzeild kan worden en dat Xen is gepatcht om het te verhelpen.

Het beeld dat ik daaruit haal is dat Amazon wel degelijk kwetsbare hardware heeft maar dat ze gezorgd hebben dat hun software gepatcht is om de kwetsbaarheid op te vangen.
15-06-2018, 07:05 door Anoniem
Door Anoniem: Lazy FPU switching? Ik zou eerder zeggen, Lazy CPU design!
Het heeft weinig met luiheid te maken.
Ongelofelijk dat er tussen al die briljante koppies van Intel niemand heeft gezeten die zijn vingertje opstak in de klas!
Het zal eerder zo zijn dat in die klas de meester niet luisterde naar de bedenkingen. Die briljante koppies werken voor een commerciëel bedrijf met een topmanagement dat ernstig gericht is op marktaandeel, en dat hebben ze veroverd door zoveel mogelijk performance uit het CPU-ontwerp te persen. De briljante koppies moesten hun aandacht zo sterk daarop richten dat zelfs zij geen ruimte overhielden om alle andere aspecten van het CPU-ontwerp goed te houden. Het zit er dik in dat vanuit de CPU-ontwerpers bedenkingen zijn geuit en dat het topmanagement heeft besloten die te negeren. Het is helaas zo dat het slag mensen dat het ver schopt in grote organisaties aanzienlijk beter is in het omver lullen van techneuten dan andersom.
15-06-2018, 07:36 door Anoniem
Door Aha: Ik kan me niet aan de indruk onttrekken dat er een groeiend aantal mensen is die berichten op fora uitpluizen om te kunnen beoordelen of zij het mode woord panopticum in een reactie kunnen verwerken.
Tja, er lijkt een aantal one-trick-pony's te zijn die niet verder weten te komen dan steeds hetzelfde mantra te herhalen. We hebben hier een panopticum-automaatje, een roverheid-automaatje, een dialect-automaatje, om er een paar te noemen, en al die automaatjes hebben kennelijk niet de cognitieve vermogens om te kunnen beseffen dat steeds hetzelfde stokpaardje herhalen zonder ooit op te nemen hoe anderen daarop reageren iets anders is dan het voeren van een discussie. Meepraten lijkt voor hun te blijven steken op het niveau van geurvlaggen plaatsen. Ik denk dat we het Dunning-Kruger-effect in actie zien.
15-06-2018, 08:34 door karma4
Door Anoniem: ...
Mijn vraag: hoe kan een proces van klant A überhaupt bij de processor van een Amazonsysteem komen, om "over de schutting" te kijken naar gegevens van klant B?
Al die datacenters gebruiken een Multi tenancy benadering ofwel meerdere klanten gebruiken en delen de zelfde hardware.
Als je veel kleine ( 8 16 cpu/dz) of wat grotere (64 256 cpu/dz) maakt weinig uit de zee grote massa (grote aantal dozen) maakt het bij onvoorspelbaar delen van de hardware zeer lastig een gerichte aanval uit te voeren.
Als het delen voorspelbaar gebeurt en de aanvaller kan kiezen naast wie hijkomt dan is er wat mogelijk.
In dat laatste geval is er een ander groter probleem.

Design en oplossingen die uit security overwegingen niet goed zijn maar uit performance overwegingen doorgezet zijn komen vaker voor.
15-06-2018, 09:30 door Anoniem
Door Anoniem:
Door Anoniem: En hoppa, daar gaat weer een stuk performance voor iedereen om een theoretisch probleem waar 99.9+% van de
gebruikers nooit mee te maken heeft "op te lossen". En Intel werkt daar natuurlijk graag aan mee want nieuwe processors
verkopen in een wereld waar steeds minder mensen behoefte hebben aan een nieuwe computer omdat de oude te
traag wordt dat is natuurlijk altijd welkom.
99% van huizenbewoners heeft geen last van inbraak. Moeten we dan dus maar niet anti-kerntrek sloten hebben, volgens jou?

Als het inderdaad 99% is dan kan je het overwegen, risico bepaling heet dat. Hangt ook af in welke buurt je woont etc en wat het je waard is.
Stel je hebt niet zo een slot maar woont in een sociale buurt waar veel mensen thuis wonen of werken en op elkaar letten, moeten we daarom zo een slot nemen?
Ik zelf neem dat risico niet maar kan mij goed voorstellen dat mensen die al 40 jaar in hun huis wonen en sociale controle hebben het prima vinden zoals het is.
15-06-2018, 14:45 door Anoniem
15-06-2018 06:31 Door Anoniem:
Het beeld dat ik daaruit haal is dat Amazon wel degelijk kwetsbare hardware heeft maar dat ze gezorgd hebben dat hun software gepatcht is om de kwetsbaarheid op te vangen.
Dat was mijn indruk dus ook. Daarom had ik bij de stelling in het bericht vraagtekens.
Amazon meldt in een advisory dat de eigen infrastructuur niet kwetsbaar is en klanten niet de geheugenstaat van andere klanten kunnen uitlezen.
Dat de correcte zin had moeten zijn: we waren wel kwetsbaar, maar hebben het inmiddels gepatcht.

Dank voor je heldere uitleg. karma4: idem dank.
16-06-2018, 12:16 door Anoniem
Door Anoniem: Dat was mijn indruk dus ook. Daarom had ik bij de stelling in het bericht vraagtekens.
Amazon meldt in een advisory dat de eigen infrastructuur niet kwetsbaar is en klanten niet de geheugenstaat van andere klanten kunnen uitlezen.
Dat de correcte zin had moeten zijn: we waren wel kwetsbaar, maar hebben het inmiddels gepatcht.
Als je tot infrastructuur alleen de hardware rekent heb je gelijk, maar ik vind het heel terecht om software als Xen in dit geval ook tot de infrastructuur te rekenen, het is onderdeel van de basis waarop klanten hun eigen wereldje kunnen opbouwen.
28-08-2018, 15:01 door Anoniem
Het lijkt mij dat je software ook onzichtbaar kunt "ont-patchen" als je administrator rechten weet te verkrijgen. Patchen van een hardwarematig veiligheidsprobleem lijkt mij dan geen oplossing.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.