TOP
SSV Software Systems Register  Register
Log in to check your private messages  Log in to check your private messages
Startseite FAQ Search Mitglieder Profile  Log in 
SSV Support-Forum
Von Spectre betroffen …

 
Post new topic   Reply to topic    SSV-Forum Forum Index >>> eSOM/3517
<<< Previous topic - Next topic >>>  
Display posts from previous:   
Author Message
kdw



Joined: 05 May 2006
Posts: 1460

PostPosted: 10.01.2018, 12:41    Post subject: Von Spectre betroffen … Reply with quote

Hallo Forum.

Der eSOM/3517 ist auf Grund des zum Einsatz kommenden Cortex A8-basierten ARM-Prozessors von der Hardware-Sicherheitslücke Spectre betroffen. Siehe hierzu auch:

https://developer.arm.com/support/security-update

Spectre ist aus ARM-Sicht ein „Cache Timing Side-Channel“-Problem. Grundsätzlich ist es einer Anwendung dadurch möglich, auf die eigentlich durch Hardware-Mechanismen geschützten Daten des Betriebssystems oder anderer Anwendungen zuzugreifen.

Wir sind dabei, die Details zu untersuchen, die Auswirkungen zu bewerten und nach Möglichkeiten der Gefahrenabwehr zu suchen. Weitere Informationen zu diesem Thema folgen in den nächsten Tagen.

VG KDW
Back to top
View user's profile Send private message
kdw



Joined: 05 May 2006
Posts: 1460

PostPosted: 11.01.2018, 12:12    Post subject: SSV x86-Produkte nicht betroffen … Reply with quote

Hallo Forum.

Für den ADNP/1520 läuft die Überprüfung zwar noch. Bzgl. der SSV-Produkte, die auf Vortex-Prozessoren basieren, gibt es aber eine erfreuliche Nachricht. Sie sind nicht betroffen. Das hat uns nun auch der Hersteller der Chips bestätigt. Siehe:

https://ssv-embedded.de/doks/infos/DMP_Ann_180108_Meltdown.pdf

VG KDW
Back to top
View user's profile Send private message
kdw



Joined: 05 May 2006
Posts: 1460

PostPosted: 16.01.2018, 07:48    Post subject: Was ist mit Meltdown? Reply with quote

Hallo Forum.

Die als „Meltdown“ betitelte Sicherheitslücke ist in erster Linie ein Problem der Prozessoren mit Intel-Architektur (x86/IA-32). Ursache ist ein Architekturfehler in den „Speculative Execution“-Funktionen (Out-of-order Execution).

Die Sicherheitslücke besteht konkret darin, dass im Rahmen der Out-of-order Execution der Prozessor vorläufig den Inhalt einer Speicherzelle ausliest und weiterverarbeitet, obwohl der aufrufende Prozess für diesen Speicherabschnitt keine Rechte hat. Dies verändert das Laufzeitverhalten bei Zugriff auf den Cache und erlaubt mittels einer genauen Zeitmessung unter bestimmten Bedingungen einen eindeutigen Rückschluss auf den Dateninhalt, auch nachdem das Ergebnis der spekulativen Ausführung verworfen wurde. Im Prinzip stellt dieses Verfahren eine in der Kryptoanalyse als Seitenkanalattacke bekanntes Verfahren dar [Quelle: Wikipedia].

Bisher konnten wir kein von SSV gefertigtes Produkt identifizieren, das von Meltdown betroffen wäre. Die Serversysteme (z. B. ein OpenVPN-Server), die unsere Kunden verwenden, sind allerdings betroffen. Daher folgender Tipp:

1. Wenn Sie selbst Server mit x86/IA-32-Prozessoren betreiben, ziehen Sie einen Experten hinzu, um durch Betriebssystem-Updates das Problem zu lösen.

2. Wenn Sie einen Server bei einem ISP (Hoster) nutzen, nehmen Sie Kontakt zum Support auf und lassen sich informieren, wann dort die entsprechenden Updates eingespielt werden.

VG KDW
Back to top
View user's profile Send private message
kdw



Joined: 05 May 2006
Posts: 1460

PostPosted: 16.01.2018, 17:52    Post subject: ANDP/1520 nicht betroffen ... Reply with quote

Hallo Forum.

Der ANDP/1520 ist gemäß unseren Prüfungen architekturbedingt nicht betroffen. Siehe https://ssv-comm.de/forum/viewtopic.php?t=1418

Hier einige weitere Hintergrund-Infos zur Prüfung des ANDP/1520:

Fakt1: Siehe Wikipedia: https://de.wikipedia.org/wiki/Out-of-order_execution Dort steht u.a. "Fast alle modernen x86-Prozessoren ab dem Intel Pentium Pro bzw. AMD K5 können Befehle out-of-order ausführen." Somit muss die CPU-Microarchitektur "superscalar" sein, ansonsten kann Meltdon nicht existieren. Das ist ab der Pentium-Architektur (1993) der Fall.

Fakt2: Laut Datenblatt hat der ELAN SC520 einen "Am5x86 CPU core". Dieser beruht noch auf der 486er-Architektur und kann deshalb nur In-Order Execution. Siehe Seite 14 in https://people.apache.org/~xli/presentations/history_Intel_CPU.pdf

Daher unser Fazit: Der ADNP/1520 (SC520) ist nicht betroffen, weil die OoO-Pipeline-Execution fehlt. Der ADNP/1520 (SC520) unterstützt auch keine "clflush instruction“.

VG KDW


Last edited by kdw on 17.01.2018, 17:39; edited 2 times in total
Back to top
View user's profile Send private message
kdw



Joined: 05 May 2006
Posts: 1460

PostPosted: 16.01.2018, 17:57    Post subject: SSR/525 ... Reply with quote

Hallo Forum.

Für den SSR/525 prüfen wir noch, ob hier ein Risiko durch Meltdown besteht.

VG KDW
Back to top
View user's profile Send private message
kdw



Joined: 05 May 2006
Posts: 1460

PostPosted: 24.01.2018, 11:16    Post subject: Warum ist bisher nicht passiert? Reply with quote

Hallo Forum.

Unsere Untersuchungen zu den Auswirkungen und möglichen Schutzmaßnahmen, die auch auf lange Sicht die gewünschte Wirkung zeigen, kommen nur langsam voran. Uns wundert inwischen die Aussage des Google Project Zero Teams unter:

https://googleprojectzero.blogspot.de/2018/01/reading-privileged-memory-with-side.html

Die haben den Prozessorherstellern bereits am 1.6.2017 ihre Entdeckung übermittelt. Siehe den Textbaustein (grob ins Deutsche übersetzt):

Wir haben herausgefunden, dass das CPU Data Cache Timing dazu missbraucht werden kann, Informationen aus falsch spezifizierter Ausführung effizient zu „lecken“, was im schlimmsten Fall zu willkürlichen Lese-Schwachstellen im virtuellen Speicher über lokale Sicherheitsgrenzen hinweg in verschiedenen Kontexten führt. Varianten dieses Problems sind bekannt dafür, dass sie viele moderne Prozessoren betreffen, einschließlich bestimmter Prozessoren von Intel, AMD und ARM. Für einige wenige Intel und AMD CPU-Modelle haben wir Exploits, die gegen echte Software arbeiten. Wir haben dieses Problem Intel, AMD und ARM am 01.06.2017 gemeldet.

VG KDW
Back to top
View user's profile Send private message
kdw



Joined: 05 May 2006
Posts: 1460

PostPosted: 28.01.2018, 13:46    Post subject: Meltdown Proof-of-Concept … Reply with quote

Hallo Forum.

Hier https://github.com/IAIK/meltdown findet man Code, um sich auf den eigenen Systemen und bei Providern gemieteten Linux-Root-Servern intensiver mit Meltdown zu beschäftigen.

Der Proof-of-Concept-Code eignet sich aber nur für x86-Prozessoren und nicht für ARM-basierte Cortex-A8-Baugruppen. Die sind ja nicht von Meltdown, sondern von Spectre betroffen.

VG KDW

P.S. Siehe auch https://meltdownattack.com/ Warum fehlt da eigentlich TI als Hersteller des von uns benutzten Cortex-A8-Chips?
Back to top
View user's profile Send private message
Display posts from previous:   
Post new topic   Reply to topic    SSV-Forum Forum Index >>> eSOM/3517 All times are GMT + 1 Hour
Page 1 of 1

 
Jump to:  
You cannot post new topics in this forum
You cannot reply to topics in this forum
You cannot edit your posts in this forum
You cannot delete your posts in this forum
You cannot vote in polls in this forum

SSV Software Systems GmbH

Dünenweg 5
30419 Hannover

Fon: +49(0)511  ·  40 000-0
Fax: +49(0)511  ·  40 000-40

sales@ssv-embedded.de


Impressum    ·    Datenschutz    ·    AGB

© 2023 SSV SOFTWARE SYSTEMS GmbH. Alle Rechte vorbehalten.

ISO 9001:2015