image

NSA geeft beveiligingsadvies over cpu-kwetsbaarheden

maandag 4 februari 2019, 12:03 door Redactie, 5 reacties

De Amerikaanse geheime dienst NSA heeft bijgewerkt beveiligingsadvies gepubliceerd over kwetsbaarheden in processors zoals Meltdown, Spectre en Foreshadow. Het gaat om zogeheten "side-channel" kwetsbaarheden waardoor een aanvaller gevoelige informatie van systemen kan achterhalen.

Volgens de NSA zijn kwetsbare processors in allerlei "National Security Systems" te vinden, waaronder systemen van het ministerie van Defensie (pdf). Om de ontdekkingen en ontwikkelingen op het gebied van side-channel-kwetsbaarheden in processors bij te houden wordt gewezen naar de GitHub-pagina van de NSA en een adviespagina van het Computer Emergency Readiness Team van de Amerikaanse overheid (US-CERT) over Meltdown en Spectre.

Verder wordt aangeraden om UEFI/BIOS-updates van systeemleveranciers te installeren, alsmede micro-updates en updates voor besturingssystemen, drivers en applicaties. Tevens moeten vereiste configuratieaanpassingen worden doorgevoerd. Vanwege de kwetsbaarheden kondigde Intel hardwarematige oplossingen aan. Eerder liet het Duitse testlab AV-Test weten dat het verschillende malware-exemplaren had gevonden waarin proof-of-concept exploits voor Meltdown en Spectre waren toegevoegd. Het ging hier echter om testversies die niet bij daadwerkelijke aanvallen waren ingezet.

Reacties (5)
04-02-2019, 13:53 door gemini-alpha
Op mijnAasus Laptop draait vanaf de 1e dag een Asus live update programma. Dit hulpje ook wel eens geupdate. Maar nog NOOIT 1 update van wat dan ook maar voorbij zien komen! Ik zal wel naïef zijn.
Heeft iemand goede raad?
04-02-2019, 14:53 door Anoniem
Door gemini-alpha: Op mijnAasus Laptop draait vanaf de 1e dag een Asus live update programma. Dit hulpje ook wel eens geupdate. Maar nog NOOIT 1 update van wat dan ook maar voorbij zien komen! Ik zal wel naïef zijn.
Heeft iemand goede raad?
een keer in de zoveel tijd de website van je fabrikant bezoeken om te kijken of er al bios/firmware updates voor zijn, als je in je zoek machine het serie nummer f type van je computer intikt met " bios update" erachter, vindt je het wel


p.s. download ALLEEN van de website van de maker van je computer, niet van een derde partij.
04-02-2019, 15:35 door Anoniem
Door gemini-alpha: Op mijnAasus Laptop draait vanaf de 1e dag een Asus live update programma. Dit hulpje ook wel eens geupdate. Maar nog NOOIT 1 update van wat dan ook maar voorbij zien komen! Ik zal wel naïef zijn.
Heeft iemand goede raad?
Tip: Verwijder Asus Live update.

Het programmaatje werkt niet.
Tenminste niet op mijn 4 Asus systemen.
Dus heb ik het er af gegooid.
Asus Multiframe is wel bijzonder goed.
04-02-2019, 17:32 door [Account Verwijderd]
Maar wie zegt mij dat deze nieuwe updates ook daadwerkelijk doen wat de NSA zegt? Misschien worden er wel nieuwe geïntroduceerd, met dank aan diezelfde NSA? Waarom zou ik het advies vertrouwen? Gezien het recente verleden ben ik zéér sceptisch geworden richting dergelijke organisaties. We kunnen wel "gezellig" met z'n allen onze BIOS/UEFI updaten, maar we kunnen tegelijkertijd niet controleren of de NSA er niet iets mee heeft uitgespookt. Of een andere organisatie die daar wel geïnteresseerd in is.

Noem mij maar paranoïde, maar een gezonde dosis scepsis kan nooit kwaad. Zeker niet in deze tijden.

Tijd dat die bootmechanismes open source worden zodat de broncode ingezien kan worden. Zoiets als LibreBoot bijvoorbeeld.
04-02-2019, 17:56 door karma4
De belangrijkste maatregel ontbreekt.
Geen gedeeld gebruik van hardware toestaan met onbekende actoren. Waar niets gedeeld wordt zijn er er geen side channels
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.