Spectre und Meltdown in Handy CPUs?

schau mal in diesen Thread:
https://www.nextpit.de/forum/764289/sicherheitsluecke-in-computerchips

Hallo Ironman!

Ab einem bestimmten Sicherheitspatch Datum (ich glaube der vom 1. Januar 2018) sind die Geräte softwareseitig dagegen geschützt und daher nicht mehr betroffen.
Wenn man z.B. bei Samsung schaut, sind in der S-Serie alle Geräte bis einschließlich des S6 geschützt.

Es gibt Scanner dafür. Ich habe zwar noch keinen davon getestet, aber wenn man die Bewertungen durchliest, willst du das auch nicht, da dir dort nur irgendwas verkauft werden will.

Viele Grüße
Tim

Da ist es dasselbe.
Die brandingfreien Geräte haben da vor 1-2 Monaten das Update auf 8.0.0 bekommen und da sind die Patches ebenfalls mit enthalten.
Also wie gesagt, jedes Gerät, das min. den Patch von Januar 2018 hat, ist softwareseitig sicher dagegen.

— geändert am 24.06.2018, 15:08:21

Das ist so nicht ganz richtig, mittlerweile gibt es wohl 8 (wenn ich nicht irre) weitere neue Lücken (als Spectre-NG bekannt), für die noch gar keine Patches verfügbar sind. Intel hat die Lücken bereits eingeräumt, ARM gibt bisher keine Kommentare dazu ab. Wie weit meine Informationen dazu noch aktuell sind kann ich im Moment nicht sagen.

Tim E.

Also wie gesagt, jedes Gerät, das min. den Patch von Januar 2018 hat, ist softwareseitig sicher dagegen.

Das stimmt nicht!

1. Die Sicherheitslücken liegen im Design der CPUs begründet und damit in Hardware. Software-Updates können daher nur Workarounds sein. Sobald der Workaround umgangen werden kann, was sich nicht ausschließen lässt, liegen die Sicherheitslücken wieder offen.

2. Haben Sicherheitsforscher herausgefunden, dass Patchlevel bei Android oft keine Aussage über tatsächlich enthaltene Patches aussagen. Viele Hersteller liefern nicht alle Patches aus, die Google bereitstellt, manche erhöhen sogar nur das Datum und liefern gar nichts.

3. Sind im Mai acht neue Möglichkeiten bekannt geworden, die die gleichen Hardwareschwachstellen wie Meltdown und Spectre von Anfang Januar ausnutzen. Müli hat das bereits angesprochen.

Das aktuelle Risiko ist vermutlich noch sehr gering, aber die Lücken werden uns noch bis zu zehn Jahren verfolgen. Erst dann darf damit gerechnet werden, dass die betroffene Hardware weitgehend ersetzt wurde. Irgendwann wird es großangelegte Angriffe geben. Die meisten Geräte werden dabei wohl als Teil eines Botnetzwerkes mißbraucht werden und die Eigentümer merken davon nichts. So ist es in der Vergangenheit gewesen und wird auch in der Zukunft nicht anders sein.

— geändert am 24.06.2018, 17:29:43

Ironman

Wenn das Datum nur gefakt wird, dient es doch nur zur Beruhigung der User.
Das ist doch dann nur Augenwischerei.

Richtig:
Hier der Bericht von Heise und der von AndroidPIT dazu.

Es wird in den ganzen Apps allerdings noch viel mehr betrogen. Was angeblich anonymisiert ist, ist in Wahrheit bestenfalls pseudonyminisiert und lässt sich sehr oft wieder einem Namen zuordnen.

Wenn es noch Jahrzehnte dauern wird, dann werden doch wissentlich noch PCs und Handys mit den gleichen Lücken dreist weiter verkauft.
Kann man da nicht salopp von Betrug sprechen?

Was wäre die Konsequenz? Wir werfen alle unsere Hardware weg, können nichts mehr kaufen, bis die neuen CPUs verfügbar und bezahlbar sind? Zurück in die 80er?

Beim PC helfen angeblich BIOS Updates durch Microcodes.

Das sind Workarounds. Sollte es einem Angreifer gelingen, die Microcodes-Updates unbemerkt zu verhindern, ist niemandem geholfen.

Beim Handy sollen die Sicherheits Updates doch die Schwachstellen minimieren.

Auch auf dem PC können Updates von Micro Codes, Treibern und Betriebssystemen die Auswirkungen nur minimieren.

Also muss mann darauf vertrauen was einem vorgegaukelt wird.

In dem Artikel von Heise ist eine App verlinkt, die zumindest bis 2017 alle Patches auf tatsächlich enthaltene Patches prüft.

Laien haben keine Chance und setzen auf Vertrauen.
Wie immer, Unwissenheit wird ausgenutzt.

Ja, leider! Und weil kein Software-Update wirklich Abhilfe schaffen kann, spricht man auch von einem digitalen Super-GAU. Es gilt wie überall, Vertrauen ist gut, Kontrolle ist besser.

Aries

1. Die Sicherheitslücken liegen im Design der CPUs begründet und damit in Hardware. Software-Updates können daher nur Workarounds sein. Sobald der Workaround umgangen werden kann, was sich nicht ausschließen lässt, liegen die Sicherheitslücken wieder offen.

2. Haben Sicherheitsforscher herausgefunden, dass Patchlevel bei Android oft keine Aussage über tatsächlich enthaltene Patches aussagen. Viele Hersteller liefern nicht alle Patches aus, die Google bereitstellt, manche erhöhen sogar nur das Datum und liefern gar nichts.

3. Sind im Mai acht neue Möglichkeiten bekannt geworden, die die gleichen Hardwareschwachstellen wie Meltdown und Spectre von Anfang Januar ausnutzen. Müli hat das bereits angesprochen.

Das aktuelle Risiko ist vermutlich noch sehr gering, aber die Lücken werden uns noch bis zu zehn Jahren verfolgen. Erst dann darf damit gerechnet werden, dass die betroffene Hardware weitgehend ersetzt wurde. Irgendwann wird es großangelegte Angriffe geben. Die meisten Geräte werden dabei wohl als Teil eines Botnetzwerkes mißbraucht werden und die Eigentümer merken davon nichts. So ist es in der Vergangenheit gewesen und wird auch in der Zukunft nicht anders sein.

Da sind ein paar Missverständnisse aufgekommen.

1. Das weiß ich. Deshalb habe ich ja jedes Mal geschrieben, dass softwareseitig was dran gemacht wurde, damit die Hardwarelücke nicht ausgenutzt werden kann. Das das Problem damit komplett vom Tisch ist, habe ich nie geschrieben.

2. Meine Aussage war auf Samsung bezogen. Dort wurde nachgewiesen, dass jeder Patch vollständig ist. Deshalb habe ich es nicht erwähnt. Das hätte ich vielleicht konkreter schreiben müssen.

3. Ja, das stimmt. Ich bin davon ausgegangen, dass er nur von den Sicherheitslücken vom letzten Jahr spricht und nicht von den Aktuellen.

— geändert am 24.06.2018, 18:16:18

Deshalb gibt es signierte Treiber.

Ja, das kann möglich sein.
Die Geräte haben ja auch größtenteils alle Controller drinnen, die möglicherweise wie bei der CPU einen Designfehler haben könnten, durch den es sich angreifen lässt.

Internetverbindung muss nicht zwingend sein.
Es kann beispielsweise auch der Fall eintreten, dass du, aus was für einem Grund auch immer, auf einem Speichermedium diese Schadsoftware drauf hast, indem du es vielleicht an einem anderen infizierten PC angeschlossen hast und die sich auf deinen PC überträgt, sobald du es dran anschließt.

— geändert am 24.06.2018, 18:33:22