(de) ▼ 
Click here to read this page in English
Cliquez ici pour lire cette page en français
Klik hier om deze pagina in het Nederlands te lezen42033leden
1041online
147377berichten
Weitere Übersichtliche Darstellung des Problems auf folgenden Seiten:
https://www.computerbase.de/2018-01/intel-cpu-pti-sicherheitsluecke/
Für Spectre#2 wird ab Skylake auch ein Microcode-Update benötigt, um den Bug zu umgehen:
The patches and firmware available now for Intel processors are:
Operating system updates for Linux, Windows and macOS, that separate kernel and user spaces,
and kill the Meltdown vulnerability. On Linux, this fix is known as Kernel Page Table Isolation, aka KPTI.
On pre-Skylake CPUs, kernel countermeasures – and on Skylake and later, a combination of a microcode
updates and kernel countermeasures known as Indirect Branch Restricted Speculation,
aka IBRS – to kill Spectre Variant 2 attacks that steal data from kernels and hypervisors.
That leaves Spectre Variant 1 attacks, in which rogue software can spy on applications, unpatched.
It's a good thing this variant is difficult to exploit in practice.
siehe: https://www.theregister.co.uk/2018/01/05/spectre_flaws_explained/
Dh. es wird wohl wieder eine ganze Reihe von BIOS-Updates, und wohl auch Betriebssystem- und Treiber-Patches geben müssen!
Und das nachdem wir gerade erst die Intel-Systeme wegen dem Hyper-Threading Bug und sogar schon 2x wegen einem Intel ME Bug gepatcht haben.
Sind Intel denn nicht scheinbar die unsichersten Prozessoren zurzeit?
MfG.
K.B.
Hallo @r_alf & @Anonymous,
vielen Dank für die Informationen, da wird man sich (bzw. wir uns) auf jeden Fall mit beschäftigen. Wir sind gespannt, welche Varianten zu diesem theme zukünftig auf unszukommen werden.
Viele Grüße
Major ToM
MEDION. LÄUFT BEI MIR.
• Web: www.medion.de • Community: community.medion.com • Facebook: MEDIONDeutschland • Instagram: @medion.de
Bitte belohne hilfreiche Antworten mit Kudos und markiere die beste Antwort/Lösung mit Als Lösung akzeptieren.
Intel verteilt mittlerweile aktuellere Microcode-Versionen.
Zum Beispiel:
Kaby Lake H - Microcode 0x84 (alt) -> 0x8e (neu)
Skylake H - Microcode 0xc2 (alt) -> 0xc6 (neu)
"Intel has released microcode updates to operating system vendors, equipment manufacturers, and other ecosystem partners adding support for Speculative Store Bypass Disable (SSBD). SSBD provides additional protection by providing a means for system software to completely inhibit a Speculative Store Bypass from occurring if desired.
The microcode updates will also address Rogue System Register Read (RSRR) – CVE-2018-3640 by ensuring that RDMSR instructions will not speculatively return data under certain conditions."
Quellen:
https://www.intel.com/content/dam/www/public/us/en/documents/sa00115-microcode-update-guidance.pdf
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00115.html
https://www.zdnet.de/88333879/neue-spectre-sicherheitsluecken-patches-unterwegs/
Achtung, Microsoft verteilt nach wie vor nur die älteren Microcode-Windows-Updates gegen Meltdown und Spectre: https://support.microsoft.com/en-us/help/4093836/summary-of-intel-microcode-updates
Da ich nicht weiß, ob und wann Medion entsprechende Updates bereitstellt, habe ich mich kurzerhand für die naheliegendste Variante entschieden und baue mir mein BIOS-Update selbst ...
Wie immer gilt: Alle Angaben ohne Gewähr und auf eigene Gefahr!
Zuerst einmal lädt man sich das aktuelle BIOS-Update herunter. Bei mir dieses (Mainboard: H110H4-CM2, BIOS: 110H4W0X.111): https://www.medion.com/de/service/_lightbox/treiber_details.php?did=15794
Dann muss man sich das MMTool Aptio von American Megatrends Inc. besorgen (für mein System zumindest, laut CPU-Z). Eine Vollversion findet sich im Netz. Man sollte nach folgenden Kriterien suchen:
Ver. : 5.2.0.24
Date : 01/31/2018
SHA-1: FBA82BD83C603700E6763ED8A9C5633980822C21
Des Weiteren ist es sinnvoll, sich das kleine Tool showmc der Heise-Redaktion zu besorgen: ftp://ftp.heise.de/pub/ct/listings/1607-168.zip
Als letztes benötigt man noch die neuesten Microcode-Dateien von Intel (Version 20180807): https://downloadcenter.intel.com/download/28039/Linux-Processor-Microcode-Data-File
Wer die *.zip-Datei benutzt, muss die Datei "microcode-20180807" noch mal mit einem Archivierer wie z. B. WinRAR öffnen.
Im Ordner "intel-ucode" muss man sich nun die geeignete Microcode-Datei heraussuchen, dabei sollte man unbedingt der Beschreibung der enthaltenen Textdatei "releasenote" folgen. Das showmc-Tool listet hierzu als eine der ersten Ausgaben unter anderem die CPUID (bei mir: 000506E3) sowie die geladene Microcode-Version des BIOS bzw. auch von Windows auf, sofern ein aktuelleres Microcode-Windows-Update installiert wurde. Natürlich ist es immer zu bevorzugen, wenn bereits ab dem BIOS-Level die neueste Microcode-Version geladen wird.
Die CPUID hat folgendes Format (siehe Textdatei "releasenote"):
0FFM0FMS
000506E3 (meine Prozessor-ID)
(F)amily=0x006, (M)odel=0x5E, (S)tepping=0x3
Entsprechend ist für mein System die Microcode-Datei "06-5e-03" zu verwenden.
Als Nächstes lädt man das Medion-BIOS (bei mir: 110H4W0X.111) in das MMTool von AMI. Dazu gegebenenfalls alle Dateitypen anzeigen lassen. Dann geht man auf den Reiter "CPU Patch". Dort steht bei mir folgender Eintrag: "Vol:03 No:01 MicroCode_ID:0366E3C2 Platform_Type:36 CPU_ID:06E3 Update_Revision:C2 Date(YYYY/MM/DD):2017/11/16 Size:00018400".
Hier muss man zuerst über "Delete a Patch Data", CPU-Microcode-Zeile auswählen und "Apply", den alten Microcode löschen, dann über "Insert a Patch Data", "Browse" und "Apply", den neuen Microcode einfügen. Fügt man zuerst den neuen ein und löscht danach den alten, kommt es zu einem BIOS-ROM-size-Fehler. Nach dem Import der neuen Datei findet sich jetzt der Eintrag: "Vol:03 No:01 MicroCode_ID:0366E3C6 Platform_Type:36 CPU_ID:06E3 Update_Revision:C6 Date(YYYY/MM/DD):2018/04/17 Size:00018400".
Schließlich kann man über "Save Image" die alten BIOS-Daten überschreiben und im Medion-BIOS-Update-Tool führt man noch "Wflash5m.bat" aus. Nach einem Neustart zeigt mir das showmc-Tool nun die Microcode-Version 0xC6 an.
Tipp:
Um noch einmal einige Fehler auszuschließen, kann man über "Extract a Patch Data", "Browse" (neuen Dateinamen eintragen), CPU-Microcode-Zeile auswählen und "Apply", den im BIOS enthaltenen vorherigen Microcode exportieren. Als Nächstes lädt man sich eine ältere Linux-Microcode-Sammlung von Intel herunter, z. B. diese (Version 20180703): https://downloadcenter.intel.com/download/27945/Linux-Processor-Microcode-Data-File
Man extrahiert die für das eigene System relevante Datei und vergleicht beide z. B. in einem Hex-Editor wie WinHex miteinander oder man erzeugt einen SHA-1 Hash und vergleicht diese. Beide Dateien sollten absolut identisch sein.
Das ging soweit eigentlich einfacher als ich dachte.
Vor einigen Tagen habe ich schon meine Intel Management Engine händisch auf Version 11.8.55.3510 gebracht, bei Interesse:
https://community.medion.com/t5/Desktop-PC-All-In-One/C-Bild-meldet-Nahezu-alle-aktuellen-Intel-Proz...
https://community.medion.com/t5/Desktop-PC-All-In-One/C-Bild-meldet-Nahezu-alle-aktuellen-Intel-Proz...
PS:
Das Microsoft-Script SpeculationControl Version 1.0.8 kann benutzt werden, um auf das neue Prozessor-Feature SSBD zu prüfen. Damit kann man auch leicht feststellen, ob man die neueste Microcode-Version einsetzt: https://support.microsoft.com/kn-in/help/4074629/understanding-the-output-of-get-speculationcontrols...
Offenbar muss der systemweite SSBD-Schutz in Windows (im Moment) erst noch aktiviert werden. Siehe hierzu den Abschnitt "Manage Speculative Store Bypass and mitigations around Spectre Variant 2 and Meltdown": https://support.microsoft.com/en-us/help/4073119/protect-against-speculative-execution-side-channel-...
"Intel has released new microcode for many processors affected by L1TF. This modifies some operations to implicitly remove data from the L1D during certain privilege transitions. It also provides a method by which software can explicitly flush the L1D by writing 1 to bit 0 of a new model specific register, IA32_FLUSH_CMD (MSR 0x10B). System manufacturers and system software vendors provide these microcode changes via BIOS updates.
While these microcode updates provide important mitigation during enclave entry and exit, updated microcode by itself is not sufficient to protect against L1TF. Deploying OS and VMM updates is also required to mitigate L1TF."
Quelle: https://software.intel.com/security-software-guidance/software-guidance/l1-terminal-fault
Bei den Microcode-Updates handelt es sich um dieselben Versionen, welche bereits das Prozessor-Feature Speculative Store Bypass Disable (SSBD) nachrüsten und welche Microsoft bisher leider nicht als optionales Windows-Update verteilt. Auch Medion bietet hier bisher keine entsprechenden BIOS-Updates an. Außerdem war bis vor kurzem nicht bekannt, dass auch eine Funktion zum effizienten Leeren des L1D-Caches von Intel integriert wurde. Das dürfte einige Leistungseinbußen in virtualisierten Umgebungen wieder wettmachen.
Für einen vollständigen Schutz wird zusätzlich das jüngste Windows 10 Update vom 14. August benötigt:
"Provides protections against a new speculative execution side-channel vulnerability known as L1 Terminal Fault (L1TF) that affects Intel® Core® processors and Intel® Xeon® processors (CVE-2018-3620 and CVE-2018-3646)."
Ebenfalls hat Microsoft das SpeculationControl-Script aktualisiert und in Version 1.0.10 veröffentlicht:
Release Notes ## 1.0.10 * Replaced usage of Get-WmiObject with Get-CimInstance ## 1.0.9 * Added support for querying CVE-2018-3620 (L1TF OS mitigation) setting ## 1.0.8 * Added support for querying Speculative Store Bypass Disable (SSBD) setting
