Google en Microsoft waarschuwen voor nieuwe processor-aanvallen
Google en Microsoft waarschuwen voor nieuwe Spectre- en Meltdown-aanvallen waardoor aanvallers toegang tot gevoelige informatie kunnen krijgen. De aanvallen, Speculative Store Bypass (SSB) en Rogue System Register Read (RSRE), zijn zogenaamde "speculative execution side channel" aanvallen en maken misbruik van de architectuur die ontwikkeld is om de prestaties van processors te verbeteren.
Via RSRE, wat een variant van de Meltdown-aanval is, kan een aanvaller die al lokale toegang tot een systeem heeft via side-channel analyse systeemparameters uitlezen en gevoelige informatie verkrijgen. SSB is een aanval die misbruik maakt van "speculatieve bypass" en maakt het mogelijk voor een aanvaller om oudere geheugenwaarden in de cpu-stack of andere geheugenlocaties uit te lezen. Zodoende kan code met lagere rechten toegang tot data met hogere rechten krijgen en oudere commando's speculatief uitvoeren.
Systemen met processors van AMD, ARM en Intel zijn kwetsbaar. De fabrikanten laten weten dat er updates worden ontwikkeld. Volgens Microsoft vormt de SSB-aanval een klein risico voor gebruikers. Daarnaast heeft Microsoft al eerder updates voor Spectre en Meltdown uitgerold die ook in bepaalde gevallen tegen SSB helpen. AMD laat weten dat Microsoft op dit moment aan AMD-specifieke updates werkt die via Windows Update zullen worden uitgerold en tegen de SSB-aanval bescherming bieden. AMD-processors zijn niet kwetsbaar voor de RSRE-aanval.
Het Computer Emergency Readiness Team van de Amerikaanse overheid (US-CERT), het het CERT Coordination Center (CERT/CC) van de Carnegie Mellon Universiteit en Red Hat hebben meer informatie over de kwetsbaarheden gepubliceerd.
Mei 2018 - Het is nog erger en nog meer risico's.
Smart devices moeten wij hebben,en moeten worden geproduceerd.
De oude domme hardware en chipsets en cpu's van voor 2011,dat kan echt niet meer
daar moeten we van af.
Ter leering ende vermaeck:
Is het waar dat er nooit een komma voor en mag staan?
Nee. Zo geformuleerd is deze regel veel te algemeen en daardoor onjuist. Als en de laatste twee elementen van een opsomming koppelt, zoals in 'A, B, C en D', gaat de regel meestal wel op. Maar en komt niet uitsluitend in opsommingen voor.
Een komma geeft een (kleine) rust aan, maar kan ook de interpretatie van een zin bepalen. In sommige zinnen is een komma voor en daarom noodzakelijk. Het ontbreken ervan kan tot twee soorten misverstanden leiden: een niet-bedoelde betekenis of een zinsstructuur die de lezer even op het verkeerde been zet. Van beide soorten misverstanden geven we enkele voorbeelden.
https://onzetaal.nl/taaladvies/komma-voor-en/
https://www.redhat.com/en/blog/speculative-store-bypass-explained-what-it-how-it-works
Ja een CPU moet vooruit kijken en kan in de tussentijd niet zitten te duimen draaien,
dus er komen nog meer gaten, die data lekken.
Alhoewel we wel nooit exact zullen weten hoeveel er oorspronkelijk bij de NSA bekend zullen zijn geweest.
Zij leven van data lekken en raken ook op termijn wat van hun zero-days kwijt,
doordat die door anderen worden ontdekt.
Maar men zal al bij het ontstaan van deze ellende aan de wieg van deze route hebben gestaan.
Nu breekt pas langzamerhand bij anderen het besef door, dat van alles op kwaadaardige wijze kan worden gebruikt.
En als dat mogelijk is, dit ook werkelijk gedaan gaat worden. Goed voor tijdens de inmiddels hot cyberwar.
Software, hardware en de snelheid waarmee het geproduceerd moet worden, doet de rest.
Jodocus Oyevaer
Mei 2018 - Het is nog erger en nog meer risico's.
Smart devices moeten wij hebben,en moeten worden geproduceerd.
De oude domme hardware en chipsets en cpu's van voor 2011,dat kan echt niet meer
daar moeten we van af.
Geef mij maar een desktop of laptop ben je tenminste nog een klein beetje baas over je systeem, en
met lunix nog meer.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
