Artikel zum Thema Technik

Weil intel-CPUs zu unsicher "vorausdenken", wird es notwendig, Kernel-Aufrufe sicherer, also langsamer durchzuführen (je nach Fall u.U. 5-30%), damit auf intel-CPUs nicht versehentlich Kernel-Speicher für Anwendungen auslesbar werden könnte... AMD-CPUs sind nicht betroffen, die haben schon länger die spekulative Ausführung zuverlässiger vorher geprüft.

'Kernel memory leaking' Intel processor design flaw forces Linux, Windows redesign

Es gibt KAISER-Patches gegen mögliche KASLR-Angriffe.

Und intels Geschäftsführer hatte im November an Anteilen verkauft, was möglich war ... so ein Zufall?!

Ob es wirklich nur Intel betrifft darf zumindest noch bezweifelt werden:

Quote from Fefes Blog

Google äußert sich zu dem CPU-Bug. Sie sagen, sie hätten den letztes Jahr gefunden (ihr Project Zero). Und er beträfe auch AMD und ARM. AMD hatte gerade erst dementiert, dass sie das betrifft. Uh-Oh.

Update: Ah, im dort verlinkten Project Zero Blogpost gibt es technische Details. Auf ARM und AMD haben sie anscheinend nicht Kernelspeicher lesen können. Allerdings haben sie ältere AMD-CPUs getestet, noch nicht Ryzen. Und auf der dickeren AMD-CPU konnten sie doch Kernelspeicher lesen, wenn eBPF-JIT aktiviert ist (das ist nicht Standard, aber ich habe das z.B. immer angeschaltet; andere vielleicht auch).

Quote from Project Zero

We have discovered that CPU data cache timing can be abused to efficiently leak information out of mis-speculated execution, leading to (at worst) arbitrary virtual memory read vulnerabilities across local security boundaries in various contexts.

Variants of this issue are known to affect many modern processors, including certain processors by Intel, AMD and ARM. For a few Intel and AMD CPU models, we have exploits that work against real software. We reported this issue to Intel, AMD and ARM on 2017-06-01

Die Paper sind übrigens hier zu finden:
https://meltdownattack.com/

----

TLDR: Sie nutzen anscheinend die "Out-of-Order Execution" Fähigkeiten des Prozessors aus, um Speicher-Adressen zu lesen, die sie eigentlich nicht lesen dürfen. Die CPU liest die "verbotenen" Daten dann schon mal in ein temporäres Register ein. Und lässt sich sogar dazu bringen, Berechnungen auf diesen temporären Daten auszuführen. Die korrekte Programm-Ausführung wird (wie bei "Out-of-Order Execution" üblich) dadurch sichergestellt, dass die CPU die temporären Daten später ggf. wieder verwirft, so dass diese niemals wirklich "sichtbar" werden - in diesem Fall eben weil der Zugriff eigentlich verboten ist. Soweit alles in Ordnung. ABER: Die "verbotenen" Daten wandern auf diese Art und Weise wohl in den CPU-Cache, von wo aus sie anschließend mit einer Side-Channel-Attacke ausgelesen werden können. Ziemlich abgefahren. Da mag man sich drüber streiten, ob das wirklich ein Hardware "Bug" ist

Quote from Moritz Lipp et al.

From a security perspective, one observation is particularly significant: Out-of-order; vulnerable CPUs allow an unprivileged process to load data from a privileged (kernel or physical) address into a temporary CPU register. Moreover, the CPU even performs further computations based on this register value, e.g., access to an array based on the register value. The processor ensures correct program execution, by simply discarding the results of the memory lookups (e.g., the modified register states), if it turns out that an instruction should not have been executed. Hence, on the architectural level (e.g., the abstract definition of how the processor should perform computations), no security problem arises.

However, we observed that out-of-order memory lookups influence the cache, which in turn can be detected through the cache side channel. As a result, an attacker can dump the entire kernel memory by reading privileged memory in an out-of-order execution stream, and transmit the data from this elusive state via a microarchitectural covert channel (e.g., Flush+Reload) to the outside world. On the receiving end of the covert channel, the register value is reconstructed. Hence, on the microarchitectural level (e.g., the actual hardware implementation), there is an exploitable security problem.

Hier eine IMO ziemlich gute Zusammenfassung von Meltdown und Spectre vom Prozessorflüsterer a. D.:
https://www.heise.de/newsticker/mel…au-3935124.html

MPEG-2 ist wie ac3 und mp3 ab heute Patent frei,..
http://www.mpegla.com/main/programs/M2/Pages/PatentList.aspx
-> besteht noch Hoffnung, dass x262 noch mal was wird?

Quote from Selur

besteht noch Hoffnung, dass x262 noch mal was wird?

Warum? Wer braucht das denn noch?

Ja, so ein klein wenig verschlüsselt ist die Website der Arbeitsagentur schon; mehr oder weniger.

Bei 40 günstigen Android-Smartphones ist ein Trojaner ab Werk inklusive

Quote from heise.de

Sicherheitsforscher listen über 40 Android-Smartphones auf, die einen von Angreifern modifizierbaren Trojaner an Bord haben. Dieser soll sich nicht ohne Weiteres entfernen lassen.

Quelle

So schleusten die Hacker Daten aus dem Auswärtigen Amt

• Über das Mailprogramm Outlook ist es Hackern gelungen, Daten aus den Regierungsnetzen zu kopieren
• Das Vorgehen beschreibt ein IT-Sicherheitsforscher als "elegant, weil es unauffällig ist."
• Die Technik deutet auf eine Gruppe von Hackern hin, die nach Ansicht von Sicherheitsbehörden im Auftrag der russischen Regierung agieren soll
  („deutet hin‟ und „agieren soll‟ ist manipulativ, da offenbar keine harten Fakten vorliegen)

Quelle SZ

Überraschung: Die Förderung von Vektoring als Zwischenlösung war eine blöde Idee

Telekom kündigt mir nach 5 Jahren 50 MBit VDSL und bietet mir 16 MBit an

Quote from Fefe

Punchline: Das war nie eine Vectoring-Förderung, das war für den Glasfaser-Ausbau gedacht. Die Telekom hat die Formulierung zurechtlobbyiert, um die Förderkohle abgreifen zu können, und dann nicht Glasfaser ausgebaut sondern ihre Kupferinfrastruktur per Vectoring hochgeschummelt. Übrigens, zur Erinnerung: Die Kupfer-Infrastruktur hat damals der Steuerzahler finanziert.

Stattdessen verzögert sich die Förderung echter Glasfaserlösungen (FTTH) z.B. in der Altmark immer noch, wodurch die Telekom ihre Chance bekam, als einzig verfügbarer Anbieter hier noch mal teure Technik zu verbauen. Super zuverlässige Technik, ich muss aller 1,5-3 Tage unseren Router rebooten, und das Technikerteam ohne Durchwahl ruft nicht zurück.
_

Oder liegt es nur an einem Vertragsstreit mit Konkurrenten (wie EWE in Niedersachsen)?

Wie auch immer: Die Bundesnetzagentur hat Quasi-Monopolismus zugelassen, nun sehen wir die Auswirkungen.

Forscher der RWTH Aachen fanden heraus: Wer Kryptowährungen benutzt, könnte dadurch unwissentlich in den Besitz strafrechtlich relevanter Inhalte gelangen...

Child abuse imagery found within bitcoin's blockchain

Die Blockchain ist ein ewiges Protokoll aller Transaktionen, eine "verteilte Buchführung", und wird bei Kryptowährungen zur Überprüfung verwendet, ob zwei Teilnehmer einer Transaktion vom gleichen Systemzustand ausgehen, z.B. hinsichtlich Kontendeckung. Offenbar konnten Zusatzfelder, wie der Anlass der Buchung, zum Speichern oder Verlinken von Daten missbraucht werden, deren Besitz u.a. in Deutschland strafbar ist, wie Darstellungen von Kindesmissbrauch.

Die Security der Telekom Austria ist so gut, warum sollte die keine Klartext-Passwörter in ihre Datenbank speichern? Da kann wirklich nichts passieren, 100%* sicher!

*na, fast...

DE-CIX: Stromausfall legte deutsches Internet lahm

Quote

Der vom Datendurchsatz her als größter Internetknotenpunkt der Welt geltende DE-CIX war durch den Stromausfall in Mitleidenschaft gezogen worden. Betroffen war ein Switch am DE-CIX6 im Datenzentrum FRA5 von Interxion. In der Folge waren eine Vielzahl an Webseiten nicht erreichbar und der Datendurchsatz für DSL-Nutzer sank.

Mit einer einfachen USV ist es da wohl nicht getan ... (Vorsicht Kalauer) Ob die wohl ihre Diesel-Generatoren umrüsten wollten?!
_

P.S.: Antwort eines Bekannten:

Quote

Oder smarte Stromzähler einbauen

Man muss wissen, wann man verloren hat... :redface:

BGH-Grundsatzentscheidung: Werbeblocker sind erlaubt

:daumen:

Es muss ja doch noch andere Finanzierungsmodelle geben als unverlangte Werbung...

Liebe Deutsche Telekommunikationsunternehmen... fällt euch was auf?

Kürzlich korrigiert: Submodule für git konnten aus dem Projekt-Verzeichniszweig ausbrechen

Quote

The most prominent issue resolved is CVE-2018-11235 and comes down to the untrusted .gitmodules file blindly accepting submodule "names" to append to the on-disk repository paths. If inserting relative paths outside of the directory using ../, data on the system could be unknowingly compromised. Git is now protected against the possibility of malicious names being introduced to the Git modules file.

Microsoft kauft github für 7,5 Mrd. $

Es gibt daraufhin teilweise relativ drastische Reaktionen, wenn man bedenkt, dass man in Zukunft wohl eher mit seiner Privatsphäre bezahlen dürfte.

Quote from LigH

Microsoft kauft github für 7,5 Mrd. $

Es gibt daraufhin teilweise relativ drastische Reaktionen, wenn man bedenkt, dass man in Zukunft wohl eher mit seiner Privatsphäre bezahlen dürfte.

Ist ja nicht so als hätte M$ nicht erst kürzlich seinen eigenen GitHub-Clone gegen die Wand gefahren

Zum Glück ist dank der dezentralen Natur von Git der Umzug der kompletten Projekt-History auf eine andere Plattform stets nur ein "git push" entfernt.

(BTW: Nachdem sich SourceForge.net ja auch mit einigen Aktionen "unbeliebt" gemacht hat, ist OSDN.net einen Blick wert)

Außerdem erfreut sich GitLab steigender Beliebtheit...

Quote from LigH

Außerdem erfreut sich GitLab steigender Beliebtheit...

GitLab.com ist okay, wenn man wirklich nur SourceCode hosten will. Leider haben die bis heute kein brauchbares "Release" System. Oder sie haben es gut versteckt :zunge:

(Ja, ich weiß, man kann für Tags einen "Changelog" erzeugen und dann über den Umweg von "Attachments" auch Release-Dateien anheften. Aber max. 10 MB pro Datei, zumindest in der kostenlosen Version, ist zu wenig)

PayPal schränkt die Auswahl unterstützter Webbrowser ein

Ab dem 30. Juni ist die Unterstützung moderner Transportverschlüsselung durch mindestens TLS 1.2 erforderlich. Hinweise zum Testen und Updaten des Browsers (auf englisch)
__

Apropos GitLab vs. GitHub...

[Blocked Image: https://frupic.frubar.net/thumbs/36946.png]