Connect with us

Datenschutz & Sicherheit

Neue Sicherheitslücken in verschiedenen modernen Ryzen und Epyc Prozessoren AMDs


Eine Reihe moderner x86-Prozessoren der aktuellen und letzten Generationen weist neue Sicherheitslücken auf, durch die Angreifer sensible Informationen abgreifen könnten. Da diese vier entweder als wenig oder mittelmäßig gefährlich eingestuften Schwachstellen von Microsoft präventiv gefunden wurden, wurden sie bislang offenbar nicht ausgenutzt. AMD hat die betroffenen CPU-Modelle der Athlon-, Ryzen- und Epyc-Serien genannt, aber ob Intel-Prozessoren betroffen sind, ist noch offen.

Bereits letzten Monat hat AMD Updates gegen Sicherheitslecks in Krypto-Coprozessor und TPM der eigenen Prozessoren und Plattformen veröffentlicht, doch dabei handelt es sich um hochriskante Sicherheitslücken. Die jetzt gefundenen „Transient Scheduler Attacks“ (TSA) stuft AMD dagegen als lediglich mittelmäßig gefährlich ein (CVE-2024-36350 und CVE-2024-36357). Durch sogenannte Seitenkanalangriffe könnten Daten aus nicht für das eigentliche Programm reservierten Speicherstellen oder aus dem L1D-Cache abgegriffen werden, was zum Abfluss sensibler Informationen führen könnte.

Den beiden weiteren Lücken (CVE-2024-36348 und CVE-2024-36349) gibt AMD einen niedrigeren Schweregrad, auch wenn diese ebenfalls zu unberechtigtem Datenabfluss führen könnten. Doch in diesen Fällen müssten Prozesse spekulativ ins Kontrollregister eingreifen oder einen bestimmten Befehl zum Auslesen von Informationen ausführen, obwohl dieses eigentlich unterbunden wurde. In diesen zwei Fällen verzichtet AMD auf Patches, denn laut Hersteller sind dabei keine sensiblen Informationen betroffen. Für die beiden zuvor genannten Schwachstellen gibt es hingegen neue Firmware-Versionen, die AMD seinen Partnern für entsprechende BIOS-Updates zur Verfügung gestellt hat.

Sollten darüber hinaus Betriebssystem-Updates notwendig sein, verweist AMD auf die entsprechenden Anbieter. Die Linux-Community hat bereits reagiert und einen Kernel-Patch gegen TSA freigegeben, schreibt Phoronix. Dabei wurden die Sicherheitslücken von Microsoft gefunden. Der Software-Konzern hat ein Programm entwickelt, um x86-Prozessoren auf Lecks in der Mikroarchitektur zu untersuchen. Dabei wurden diese vier neuen Lecks entdeckt. Mit diesem Tool will Microsoft präventive Sicherheitsprüfungen in CPU-Designs bieten, statt wie oftmals mit Patches auf Lücken reagieren zu müssen.

Bei den von den beiden als mittel gefährlich eingestuften Sicherheitslücken betroffenen AMD-Prozessoren handelt es sich überwiegend um Modelle mit den Architekturen Zen 3 und 4. Allerdings sind nicht alle CPUs dieser Mikroarchitekturen berührt. So sind laut AMD nur Epyc-Prozessoren der dritten (Milan) und vierten Generation (Genoa, Bergamo und Siena) betroffen, mit Ausnahme der Epyc Gen.4 mit dem Codenamen Raphael. Die beiden vorherigen Epyc-Generationen (Naples und Rome) haben diese Schwachstellen nicht, schreibt AMD.

Ähnlich sieht es bei den Desktop- und Mobilprozessoren aus. CPUs der Serien Ryzen 3000, Athlon 3000 und Ryzen 4000 sind von diesen beiden Lücken nicht betroffen, für Ryzen 5000, 6000, 7000 und 8000 gibt es Firmware-Updates. Bei den High-End-Desktop- und Workstation-CPUs von AMD ist nur die Ryzen Threadripper Pro 7000 WX-Serie betroffen (Codename: Storm Peak). Die Ryzen Threadripper 3000, Pro 3000WX und Pro 5000WX Prozessoren spricht AMD von diesen Schwachstellen frei.

Lesen Sie auch

Intel hat sich bislang nicht zu diesen Sicherheitslücken geäußert, sodass unklar ist, ob auch Core- und Xeon-Prozessoren davon betroffen sein könnten. Die jüngste Liste von Sicherheitsinformationen zu Intel-Produkten enthält keinerlei Angaben zu diesen TSA-Schwachstellen.


(fds)



Source link

Weiterlesen
Kommentar schreiben

Leave a Reply

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

Datenschutz & Sicherheit

Ameos-Kliniken: Wegen IT-Ausfall keine Röntgen- & Laboruntersuchungen möglich


Der Klinikkonzern Ameos kämpft aktuell mit einem massiven IT-Ausfall, der alle deutschen Standorte betrifft. Eine Sprecherin der Schweizer Konzerngruppe bestätigte auf Anfrage der dpa, dass alle deutschen Einrichtungen von einer Netzwerkstörung betroffen seien. Diese sei bereits Montagabend aufgetreten, auch bei heise online war ein entsprechender Hinweis eingegangen – auf eine Anfrage hatte das Unternehmen nicht reagiert.

Die Technik habe das Problem identifiziert, es sei aber noch nicht klar, wann die Störung behoben werden könne. Details nannte die Unternehmenssprecherin laut dpa nicht. Untersuchungen könnten teilweise nicht vorgenommen werden, die Patientenversorgung insgesamt sei nicht gefährdet.

Die Folgen sind spürbar: In mehreren Bundesländern, darunter Sachsen-Anhalt, können Rettungsdienste Ameos-Kliniken derzeit nur eingeschränkt anfahren. Teilweise könnten unter anderem keine Röntgen- oder Laboruntersuchungen mehr vorgenommen werden, hieß es. Das Unternehmen war hierzu zunächst nicht erreichbar.

Ameos zählt mit mehr als 100 Einrichtungen an über 50 Standorten und rund 18.000 Beschäftigten zu den größten privaten Klinikbetreibern in Deutschland. Jährlich werden nach eigenen Angaben über 500.000 Patientinnen und Patienten behandelt. So betreibt der Konzern etwa Kliniken in Aschersleben, Bernburg, Haldensleben, Halberstadt und Schönebeck, daneben auch mehrere Polikliniken. Mehr als 18.000 Menschen sind bei Ameos beschäftigt.


(mack)



Source link

Weiterlesen

Datenschutz & Sicherheit

Mehr WLAN oder mehr Mobilfunk?


Man kann sie mit bloßem Auge nicht sehen, trotzdem ist ihre Nutzung genau reguliert: elektromagnetische Wellen für kabellose Kommunikation. Das betrifft etwa WLAN, Mobilfunk, Bluetooth, Rundfunk oder Radar. Damit sich die Technologien nicht in die Quere kommen, sind ihnen eigene Frequenzbereiche zugeteilt. Das heißt, sie funken mit verschiedenen Wellenlängen. Jetzt ringen Politik und Wirtschaft darum, wer einen bestimmten Frequenzbereich nutzen darf.

Dabei geht es um das obere 6-GHz-Frequenzband, konkret um den Bereich zwischen 6.425 und 7.125 MHz. Die Bundesregierung hält weiterhin daran fest, dieses Frequenzband gemeinsam durch „WLAN und Mobilfunk sowie durch die bestehenden Dienste“ nutzen zu lassen. Das geht aus einer Antwort des Bundesministeriums für Digitales und Staatsmodernisierung (BMDS) auf eine parlamentarische Frage der Linken-Abgeordneten Donata Vogtschmidt hervor.

Über diesen Bereich haben Fachleute unter anderem auf der Weltfunkkonferenz in Dubai im Jahr 2023 (WRC-23) diskutiert. Diese von der Internationalen Fernmeldeunion (ITU) veranstalteten Treffen koordinieren auf internationaler Ebene die Verteilung der knappen Ressource „Funkspektrum“. Eine abschließende Regelung des betroffenen Bereichs ging daraus indes nicht hervor. Es wurde lediglich festgeschrieben, dass sich das Frequenzband künftig für WLAN und Mobilfunk und, wie bisher, unter anderem für gewisse Satellitenfunkdienste nutzen lassen soll. Diese Position hatte auch die damals amtierende Ampelkoalition vertreten, die in Dubai an den Verhandlungen beteiligt war.

Lobbyschlacht um Frequenzband

Seitdem ist eine Lobbyschlacht rund um den Frequenzbereich ausgebrochen. Auf der einen Seite drängen Hardware-Hersteller darauf, den Bereich vollständig für WLAN freizugeben, etwa AVM oder Broadcom, sowie verhältnismäßig kleine Netzbetreiber und Interessenvertretungen wie das FTTH Council Europe. Die lizenzfreie Funktechnik eigne sich ideal dazu, um etwa billig hochleistungsfähige Anwendungen zu ermöglichen, schrieb ein breites Industriebündnis im Mai an die EU-Digitalkommissarin Henna Virkkunen.

Auf der anderen Seite warnen vor allem große europäische Mobilfunkanbieter wie die Deutsche Telekom, Orange und Vodafone davor, dass eine geteilte Nutzung die Wirtschaftlichkeit des Mobilfunkausbaus gefährden würde und reklamieren ihrerseits den gesamten Bereich für sich. „Ohne uneingeschränkten Zugang zu den gesamten 700 MHz im oberen 6-GHz-Band für die Mobilfunkindustrie würde das Potenzial dieses Bandes für die europäische Gesellschaft verloren gehen“, appellierten sie im Oktober des Vorjahres und zuletzt im Mai an die EU.

Dort wird derzeit um Klärung gerungen. Zuständig ist die Radio Spectrum Policy Group (RSPG), in die auch Deutschland Vertreter:innen entsendet. Auf ein vollständiges Überlassen des Bandes für den Mobilfunk deutet vorerst nichts hin: So könnte dies beispielsweise satellitengestützte Messungen wie jenen der Meerestemperatur stören, schrieb die Arbeitsgruppe in ihrem letzten Bericht aus dem Juni. Entschieden ist jedoch noch nichts; bis Ende August läuft eine Konsultation rund um den begehrten Frequenzbereich.

Ansatz der Regierung berge „sozialen Sprengstoff“

Aus Sicht der Linken-Abgeordneten Vogtschmidt sollte sich die Bundesregierung dafür einsetzen, das obere 6 GHz-Frequenzband für WLAN zu sichern. Selbst eine teilweise Nutzung dieser Frequenzen durch Mobilfunk sei „nicht nur technisch gesehen unsinnig, sondern es birgt sozialen Sprengstoff“, sagt Vogtschmidt gegenüber netzpolitik.org.

So wird der Löwenanteil des Datenverkehrs weiterhin über Festnetzanschlüsse und damit wohl auch zu einem guten Teil über WLAN abgewickelt, wie aus Berichten der Bundesnetzagentur hervorgeht. Solche Anschlüsse sind in aller Regel günstiger und leistungsfähiger als mobile Verbindungen. Doch derart kostengünstiger Datenverkehr für Verbraucher:innen, öffentliche Einrichtungen, für Bildung und Gesundheit sowie „die Wirksamkeit des Gigabit-Ausbaus an sich“ hänge unmittelbar davon ab, dass entsprechende Frequenzbänder für WLAN „großzügig bereitgestellt“ werden, so Vogtschmidt.

Statt den Mobilfunkern unter die Arme zu greifen, sollte die Bundesregierung lieber „zuverlässige Mobilfunkversorgung auch im ländlichen Raum“ priorisieren, auch mit Hilfe von nationalem Roaming. Für eine Flächenversorgung seien die fraglichen Frequenzbereiche ohnehin denkbar ungeeignet, weil die Reichweite und Gebäude-Durchdringung im oberen 6 GHz-Frequenzbereich besonders schlecht sei. „Funklöcher wird man so kaum stopfen können“, sagt Vogtschmidt.

Frage nach Lobby-Treffen unbeantwortet

Warum die Bundesregierung diese Strategie verfolgt, konnte oder wollte sie zumindest kurzfristig nicht beantworten. Eine zeitgleich, also Anfang Juli, ebenfalls an den parlamentarischen Staatssekretär Thomas Jarzombek (CDU) gestellte schriftliche Frage nach Kontakten mit Unternehmen, Verbänden oder anderen Interessenvertretern seit der Weltfunkkonferenz 2023 blieb unbeantwortet – „aufgrund des abgefragten Zeitraums von mehreren Jahren, des breiten Abfragekreises (…) sowie der erbetenen Detailtiefe“.

Tatsächlich hat die Regierung nur wenige Tage Zeit, sogenannte schriftliche Fragen zu beantworten, anders als etwa bei Kleinen oder Großen Anfragen. Deshalb werde Vogtschmidt weitere parlamentarische Anfragen nachlegen, um „Licht ins Dunkel“ zu bringen, kündigt die Abgeordnete an. Schließlich hatte der neu bestellte Digitalminister Karsten Wildberger (CDU) vor seiner Zeit in der Politik unter anderem für die Mobilfunkanbieter T-Mobile und Vodafone gearbeitet.

Warum die Bundesregierung eine so „unplausible Strategie“ rund um das obere 6-GHz-Frequenzband verfolge, wisse Vogtschmidt nicht. Aber sie äußert eine Vermutung: „Die Kontakte Herrn Wildbergers in die Mobilfunkbranche dürften sich als hervorragend bezeichnen lassen.“ Jedenfalls sei die ausgebliebene Antwort „entlarvend“, sagt die Linken-Abgeordnete. „Anstatt Geheimniskrämerei muss Lobbyismus schonungslos transparent gemacht und eine unsoziale Digitalisierung verhindert werden.“



Source link

Weiterlesen

Datenschutz & Sicherheit

Jobs für IT-Security-Experten: Berufsausbildung wird attraktiver


Bei Stellenausschreibungen für IT-Sicherheits-Experten sind die Arbeitgeber laut dem aktuellen Dekra-Arbeitsmarktreport nicht mehr so sehr auf Hochschulabsolventen fixiert. Zwar werde ein Informatik-Studium in rund 61 Prozent der Stellenanzeigen immer noch am häufigsten als Qualifikation genannt. Die IT-Berufsausbildung folge darauf aber mit fast 43 Prozent und in rund 37 Prozent der Fälle komme eine Berufsausbildung auch als Alternative zu einem Studium infrage. Bei der dualen IT-Ausbildung präzisierten Arbeitgeber oft auch nicht, welche Spezialisierung sie wünschen.

2018 sah das laut Dekra noch ganz anders aus – nur ein Viertel der IT-Security-Stellen habe damals Bewerbern ohne Studium offen gestanden. Berufserfahrung falle inzwischen einfach mehr ins Gewicht als formale Abschlüsse, folgert die Prüfgesellschaft. Für die Analyse des Security-Jobmarkts, die Teil eines umfassenderen Arbeitsmarktreports ist, hat die Dekra eigenen Angaben nach 250 Stellenangebote untersucht.

Unabhängig vom Abschluss sind Zertifizierungen und Weiterbildungen für Bewerber im Security-Bereich von Vorteil: In jedem fünften Fall müssten Jobinteressierte IT-Security-Weiterbildungen und Zertifizierungen vorweisen. Die internationalen Zertifizierungen CISSP Certified Information Systems Security Professional (14 Prozent) sowie CISM Certified Information Security Manager (11 Prozent) führten als konkrete Nennungen die Liste an.

Trotz des allgegenwärtigen Hypes spielt KI in den Ausschreibungen für Security-Pros weder bei den Kenntnissen noch bei den Aufgaben eine Rolle. Am häufigsten würden bei den Kenntnissen „Allgemeinwissen“ in der IT und Cybersicherheit verlangt (84 Prozent), ferner in Normen, Gesetze und Standards (63 Prozent) sowie in Netzwerktechnik (59 Prozent). In 44 Prozent der Fälle werde von Jobsuchenden auch erwartet, mit dem Konzept eines Managementsystems für Informationssicherheit vertraut zu sein sowie mit der ISO/IEC-27000-Reihe. In den Stellenangeboten finden sich einige weitere Normen und Standards, wie IT-Grundschutz (BSI), NIST, ITIL, NIS2 und vereinzelt branchenspezifische Standards.

Bei den gefragten Softskills hat die Dekra leichte Verschiebungen festgestellt: 2018 waren Eigenschaften wie Durchsetzungsfähigkeit und sicheres Auftreten noch bei einem Drittel der Anzeigen gewünscht – inzwischen aber noch bei 17 Prozent. Auch die früher bei fast einem Viertel geforderte Reisebereitschaft wird derzeit nur noch bei rund 10 Prozent gefragt – was der veränderten Bürokultur mit Videotelefonaten und Homeoffice geschuldet sein dürfte. Weiterhin gefragt sind Kommunikationsstärke, Teamfähigkeit, analytisches Denken, strukturiertes Arbeiten und inzwischen mit 32 Prozent doppelt so häufig wie 2018: Verantwortungsbewusstsein.

Um die potenziellen Kandidaten von sich zu überzeugen, stellen die Arbeitgeber laut Dekra vor allem Work-Life-Balance und die persönliche Weiterentwicklung in den Vordergrund. Flexible Arbeitszeiten (fast 63 Prozent), Homeoffice (62 Prozent) sowie Gesundheits- und Fitnessangeboten (43 Prozent) sollen bei den begehrten Fachkräften punkten. Mehr als die Hälfte (58 Prozent) verspricht auch, bei Weiterbildung und Entwicklung zu unterstützen. Mit 27 Prozent stellen allerdings bemerkenswert wenige Unternehmen ein „attraktives Gehalt“ in Aussicht, obwohl dies laut verschiedenen Umfragen meist der wichtigste Faktor für Jobinteressenten und Wechselwillige ist. Die IT ist aber ohnehin eins der Berufsfelder, in denen Arbeitgeber selten Gehaltsangaben machen.

Insgesamt sieht die Dekra rosige Zeiten für IT-Sicherheits-Fachleute. „Wer hier sein Handwerk beherrscht, muss sich keine Sorgen um die berufliche Zukunft machen“, schätzt Katrin Haupt, Geschäftsführerin der Dekra-Akademie, die Arbeitsmarktlage ein.


(axk)



Source link

Weiterlesen

Beliebt