Security Professionals
- ipfw add deny all from eindgebruikers to any
Verontrustende stilte rondom Meltdown & Spectre
Kan iemand nieuwe kennis en achtergronden delen omtrent Meltdown en Spectre? Ik vind de stilte rondom dit "wereldnieuws" toch wat beangstigend. Ik probeer voor mijn klanten patches te vinden en te downloaden. Maar bijvoorbeeld HP en Dell hebben al bijna 3 weken geen patches meer uitgegeven.
En zijn er wellicht al exploits bekend gemaakt waar ik (nog) geen weet van heb?
Dank jullie wel!
En zijn er wellicht al exploits bekend gemaakt waar ik (nog) geen weet van heb?
Dank jullie wel!
Reacties (10)
En zijn er wellicht al exploits bekend gemaak waar ik (nog) geen weet van heb?
Niet zo gek veel, hieronder de resultaten van VirusTotal Intelligence
VirusTotal Intelligence / exploit.meltdown OR CVE-2017-5754 = 15 samples
VirusTotal Intelligence / exploit.spectre OR CVE-2017-5753 = 159 samples
Vanuit NCSC zijn er regelmatige updates over bij de beveiligingsadviezen pagina.
De laatste die ik gezien heb zijn
Meltdown update 13
https://www.ncsc.nl/dienstverlening/response-op-dreigingen-en-incidenten/beveiligingsadviezen/NCSC-2018-0010+1.13+Kwetsbaarheid+ontdekt+in+Intel-processoren+Meltdown.html
Spectre update 22
https://www.ncsc.nl/dienstverlening/response-op-dreigingen-en-incidenten/beveiligingsadviezen/NCSC-2018-0009+1.22+Kwetsbaarheden+in+processoren+ontdekt+Spectre.html
De laatste die ik gezien heb zijn
Meltdown update 13
https://www.ncsc.nl/dienstverlening/response-op-dreigingen-en-incidenten/beveiligingsadviezen/NCSC-2018-0010+1.13+Kwetsbaarheid+ontdekt+in+Intel-processoren+Meltdown.html
Spectre update 22
https://www.ncsc.nl/dienstverlening/response-op-dreigingen-en-incidenten/beveiligingsadviezen/NCSC-2018-0009+1.22+Kwetsbaarheden+in+processoren+ontdekt+Spectre.html
Wat is er verontrustend aan stilte ? Was het minder verontrustend geweest indien deze exploits veel problemen hadden opgeleverd ?
Door Anoniem: Wat is er verontrustend aan stilte ? Was het minder verontrustend geweest indien deze exploits veel problemen hadden opgeleverd ?
Dicht je het gewicht van je retorische opmerking een hogere orde van grootte toe dan het relevante belang van het onderwerp? Vraag je dat a.u.b. eens af voor je elders neerbuigende opmerkingen van gelijke orde post.
Voel je wat ik bedoel...?
Het is een zéér relevante vraag en ik ben blij dat iemand weer eens de aandacht vestigt op dit onderwerp.
@ DK_Security, Dank!
09-04-2018, 18:10 door
karma4
In de risico analyse van deze issues was ook beschreven waar het echt opspeeld. Dat is het shared services model multi tenancy in de cloud waar je met compleet onbekenden een machine deelt. Zeg dat aivd servers huurt waar ook de Russen van gebruik maken. Dan moet je op de zelfde processor data van een ander gaan afsnoepen.
Als je de machines dedicated in eigen beheer hebt, dan heb je andere zaken waar meer risico's zitten dan deze specifieke hardware zaken.
Als je de machines dedicated in eigen beheer hebt, dan heb je andere zaken waar meer risico's zitten dan deze specifieke hardware zaken.
Vraagje: worden intel-processoren van voor 2012 nog gepatcht?
en geld dit dan ook voor alle andere merken processoren?
groeten
Jan
en geld dit dan ook voor alle andere merken processoren?
groeten
Jan
Ik denk dat de realiteit is, dat je er niets aan kan doen.
Het zal nog wel een of twee generaties duren voor er veilige CPU's worden uitgebracht door Intel en AMD (en ARM). De CPU's die dit jaar nog uitkomen zullen in ieder geval niet veilig zijn.
Als je een recent moederbord hebt, zou daar een microcode patch voor kunnen komen. Oude processors en moederborden zullen niet gepatched worden door de fabrikanten. De 486, die geloof ik niet kwetsbaar is, is te oud om iets nuttigs mee te kunnen doen op het internet.
In Firefox en Windows zit bescherming tegen Meltdown/Spectre (door de timers daarin minder nauwkeurig te maken zodat malware de tijd niet precies genoeg kan meten om een aanval te doen).
Ik begrijp dat de microcode bij het booten ook in het Linux operating system geladen kan worden, en dus ook in Windows en OSX in theorie (maar dat is volgens mij nog niet gebeurd). Dan hoef je niet zoiets risicovols als een firmware update van je moederbord te doen.
Wat je wel kan doen is onveilige sites vermijden. En dus heel strikt alleen sites als security.nl bezoeken. De kans dat een kwaadaardig stuk javascript dan je geheugen uitleest is dan een stuk kleiner.
Het zal nog wel een of twee generaties duren voor er veilige CPU's worden uitgebracht door Intel en AMD (en ARM). De CPU's die dit jaar nog uitkomen zullen in ieder geval niet veilig zijn.
Als je een recent moederbord hebt, zou daar een microcode patch voor kunnen komen. Oude processors en moederborden zullen niet gepatched worden door de fabrikanten. De 486, die geloof ik niet kwetsbaar is, is te oud om iets nuttigs mee te kunnen doen op het internet.
In Firefox en Windows zit bescherming tegen Meltdown/Spectre (door de timers daarin minder nauwkeurig te maken zodat malware de tijd niet precies genoeg kan meten om een aanval te doen).
Ik begrijp dat de microcode bij het booten ook in het Linux operating system geladen kan worden, en dus ook in Windows en OSX in theorie (maar dat is volgens mij nog niet gebeurd). Dan hoef je niet zoiets risicovols als een firmware update van je moederbord te doen.
Wat je wel kan doen is onveilige sites vermijden. En dus heel strikt alleen sites als security.nl bezoeken. De kans dat een kwaadaardig stuk javascript dan je geheugen uitleest is dan een stuk kleiner.
10-04-2018, 10:31 door
Spiff has left the building
Door Anoniem, ma.09-04, 19:05 uur:
Vraagje: worden intel-processoren van voor 2012 nog gepatcht?
Hier Intel's overzicht van 2 april met "availability for microcode updates currently planned by Intel":Vraagje: worden intel-processoren van voor 2012 nog gepatcht?
https://newsroom.intel.com/wp-content/uploads/sites/11/2018/04/microcode-update-guidance.pdf
Voor diverse oudere series geldt sinds 2 april "Production Status: Stopped".
Ik weet niet wat uw zakelijke bezigheden zijn maar spectre en meltdown vereisen om (bijna) volledig beschermd te zijn
* Het hercompileren van een hele hoop software ( onwaarschijnlijk dat dit snel gebeurt )
* Het installeren van een BIOS update ( enkel mogelijk voor de meer recente processoren )
* Het installeren van OS/Kernel updates (meestal beschikbaar)
* Het installeren van applications updates ( browsers, runtimes, JIT engines etc.)
* Het installeren van library updates (dll en dergelijke)
Maar, je kan er zeker van zijn dat het side channel verhaal pas is begonnen. Er zijn iet minder dan drie extra Spectre en Meltdown varianten gevonden bovenop de drie reeds gekende varianten.
Het verhaal is dat meltdown ten gronde werd gepatched en spectre eigenlijk onpatchbaar is, zie ook hierboven.
Bezoek www.commandline.be voor de link naar een google document met een hoop patch informatie.
* Het hercompileren van een hele hoop software ( onwaarschijnlijk dat dit snel gebeurt )
* Het installeren van een BIOS update ( enkel mogelijk voor de meer recente processoren )
* Het installeren van OS/Kernel updates (meestal beschikbaar)
* Het installeren van applications updates ( browsers, runtimes, JIT engines etc.)
* Het installeren van library updates (dll en dergelijke)
Maar, je kan er zeker van zijn dat het side channel verhaal pas is begonnen. Er zijn iet minder dan drie extra Spectre en Meltdown varianten gevonden bovenop de drie reeds gekende varianten.
Het verhaal is dat meltdown ten gronde werd gepatched en spectre eigenlijk onpatchbaar is, zie ook hierboven.
Bezoek www.commandline.be voor de link naar een google document met een hoop patch informatie.
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
