Da die (berechtigte) Frage nach den wirklich von der "Heartbleed"-Lücke betroffenen Diensten aufgekommen ist, wollen wir dafür auch eine Antwort geben. Die nachfolgende Liste ist natürlich unvollständig – maßgeblich wegen der unzureichenden Informationspolitik der Anbieter – gibt aber wenigstens teilweise eine Antwort darauf, ob die Anbieter diverser Internet-Dienste, Betriebssysteme und Programme betroffen sind. Mit notiert wurden auch Dienste, Betriebssysteme & Programme, welche nicht betroffen sind – da auch diese Information wertvoll ist. Die grunsätzliche Empfehlung angesichts der unsicheren Informationslage – in welcher die meisten Anbieter nach wie vor zuerst an ihre Außendarstellung anstatt den Informationsbedarf der Anwender denken – lautet jedoch nach wie vor darauf, eher lieber alle Online benutzten Passwörter zu ändern.

	sicher/unsicher vor Heartbleed		notwendige Maßnahmen
3DCenter-Forum		frühere OpenSSL-Version in Verwendung	keine Aktion notwendig
Amazon			keine Aktion notwendig
Android		völlig widersprüchliche Aussagen seitens des Anbieters	sicherheitshalber: Passwort ändern!
Apple		sowohl MacOS/iOS als auch die Apple-Services benutzen kein OpenSSL	keine Aktion notwendig
AOL eMail		frühere OpenSSL-Version in Verwendung	keine Aktion notwendig
Dropbox			Passwort ändern!
eBay		frühere OpenSSL-Version in Verwendung	keine Aktion notwendig
Chrome & ChromeOS			keine Aktion notwendig
Facebook			Passwort ändern!
Firefox & Thunderbird		benutzt kein OpenSSL	keine Aktion notwendig
GMX eMail		benutzt kein OpenSSL	keine Aktion notwendig
Google-Dienste (Suche, GMail, YouTube, Wallet, Play-Store, Google-Apps)			Passwort ändern!
Groupon		frühere OpenSSL-Version in Verwendung	keine Aktion notwendig
Instagram			Passwort ändern!
LinkedIn		frühere OpenSSL-Version in Verwendung	keine Aktion notwendig
Linux			Passwort ändern!
Outlook.com eMail		benutzt kein OpenSSL	keine Aktion notwendig
PayPal		angeblich ist bei PayPal alles immer total sicher gewesen ...	keine Aktion notwendig
Pinterest			Passwort ändern!
Skype		benutzt kein OpenSSL	keine Aktion notwendig
T-Online eMail		benutzt kein OpenSSL	keine Aktion notwendig
Twitter		völlig widersprüchliche Aussagen seitens des Anbieters	sicherheitshalber: Passwort ändern!
Web.de eMail			Passwort ändern!
Windows (inkl. IE)		benutzt kein OpenSSL	keine Aktion notwendig
Yahoo-Dienste (eMail, Flickr & Tumblr)			Passwort ändern!

Die ComputerBase hat sich noch einmal mit dem 337.50er nVidia-Treiber beschäftigt, um eine Erklärung für dessen Performance-Verhalten zu finden. Im Nebensatz hat man dabei der These, der Treiber hätte das Temperatur-Limit der GeForce GTX 780 Ti angehoben, eine Absage erteilt. Dies steht zwar weiterhin im Gegensatz zu dem, was HardOCP notiert haben – andererseits spricht die unter vielen Benchmarks völig gleich gebliebene Performance auch nicht zwingend für eine solche Hardware-Änderung, welche schließlich unter allen Performance-Messungen für irgendeinen Effekt sorgen sollte. Schön wäre natürlich noch eine Bestätigung seitens einer dritten Partei, da es sich hierbei immer noch um zwei widersprüchliche Aussagen handelt (und selbst die reinen Meßwerte der ComputerBase einen Temperatur-Anstieg um 2°C anzeigen).

Die zum Ende des März geäußerte These über das Auslassen der 20nm-Fertigung seitens der Grafikchip-Entwickler verführt durchaus zum Gedanken, was speziell nVidia mit der Maxwell-Architektur noch innerhalb der 28nm-Fertigung möglich sein könnte. Lustigerweise hatten wir uns über diesen Punkt im Februar schon ein paar Gedanken gemacht – zwar ausgehend allein von der beim bisherigen Maxwell-Chip verbrauchten niedrigen Chipfläche, aber dies ist durchaus ein solider Ansatzpunkt (ein anderer guter Ansatzpunkt läge im Stromverbrauch). Schon "seinerzeit" ließ sich prophezeien, daß nVidia mit einem 28nm Maxwell-Chip von nur 350mm² Chipfläche die Performance von GeForce GTX 780 Ti & Titan Black wohl erreichen würde können – was bedeutet, daß sich das ganze produktionstechnisch sogar lohnen sollte, denn der bisher für diese Grafikkarten benutzte GK110-Chip ist immerhin 561mm² groß.

Auch der im Performance-Bereich breit eingesetzte GK104-Chip (294mm²) würde sich weitestgehend mit einem Maxwell-Chip unter 28nm ersetzen lassen: Der dabei herauskommende hypothetische Maxwell Performance-Grafikchip wäre mit 230mm² Chipfläche ausreichend genug kleiner, um wirtschaftlich für nVidia interessant zu sein. Die eigentliche Frage dieses Gedankenansatzes ist aber natürlich, ob der Markt weitere 28nm-Grafikchips und -karten – egal ob sie sehr effizient sind – überhaupt goutieren würde, wenn es an der Leistungsspitze keine neuen, schnelleren Grafikkarten gibt. Allerdings ist selbiges durchaus realisierbar – dann aber wahrscheinlich nur, wenn man die für professionelle Zwecke benötigten Transistoren wegläßt, sprich einen Enthusiasten-Grafikchip auflegt, welcher nicht mehr gut für Quadro- oder Tesla-Grafikkarte benutzbar ist.

Rechnet man dies hoch, läßt sich sehr viel mit der Maxwell-Architektur auch noch unter 28nm erreichen: Am Ende könnte ein Maxwell Enthusiasten-Grafikchip ohne Profi-Ballast auf eine Performance in der Nähe der DualChip-Grafikkarten Radeon R9 295X2 und GeForce GTX Titan Z kommen – bei ungefähr immerhin 60% Mehrperformance gegenüber einer GeForce GTX 780 Ti. Ob nVidia diesen Weg geht, ist aber natürlich extrem ungewiß, es handelt sich immerhin nur um eine reine Spekulation basierend auf einer unbewiesenen These. Aber es ist augenscheinlich mit der Effizienz der Maxwell-Architektur möglich, selbst unter der 28nm-Fertigung noch eine neue Grafikkarten-Generation aufzulegen, welche durch ihren erheblichen Performance-Sprung gegenüber den bisherigen Grafikkarten den Terminus "neue Generation" zu Recht tragen würde.

Die am Wochenanfang gemeldete Heartbleed-Lücke in OpenSSL entwickelte sich im Laufe der letzten Tage immer mehr zum IT-Sicherheits-Super-GAU, welcher nun auch die normalen Anwender ultimativ zum Handeln zwingt. OpenSSL wird als Kryptographie-Lösung in vielen Programmen verwendet, hauptsächlicher Einsatzzweck besteht in der Verarbeitung von verschlüsselten https-Verbindungen, beispielsweise zu Online-Diensten, Mail-Servern, Online-Banken, usw. Dabei ermöglicht die Lücke zum einen das Auslesen der Nutzer-Passwörter im Klartext (je nachdem wer sich zuletzt eingeloggt hat), zum anderen aber auch das Auslesen des SSL-Zertifikats der jeweiligen Webseiten, womit Geheimdienste und Internetkriminelle den Datenverkehr mitlesen können, selbst wenn dieser verschlüsselt ist.

Damit ergeben sich zwei Aufgaben: Die erste betrifft die Anwender, jene müssen umgehend ihre Passwörter ändern. Dies betrifft alle Passwörter, welche für Online-Dienste gleich welcher Art angelegt wurden. Sicher benutzt nicht jeder Online-Dienst die bugbehafteten OpenSSL-Versionen (das 3DCenter-Forum beispielsweise nicht, hierfür muß man keine Passwörter ändern), aber generell dürfte es zu aufwendig sein, dies für jeden Dienst extra festzustellen – ergo gilt die glatte Regel: Alle auf Online bezogenen Passwörter sind umgehend zu ändern. Hier und da dürften sich noch einige Programme ergeben, welche in neuer, Bug-bereinigter Version aufgelegt werden. Glücklicherweise wird OpenSSL nicht von den wichtigen Browsern und Anwendungsprogrammen benutzt, sondern meist nur bei Server-seitigen Programmen und Betriebssystemen.

Gleichzeitig müssen die Online-Anbieter auf ihren Servern sowohl eine fehlerbereinigte OpenSSL-Version einspielen als auch sich neue SSL-Zertifikate ausstellen lassen – und hier hakt es, wie Heise Security ausführen. Viele Anbieter haben erst recht spät reagiert, einige Anbieter bislang noch gar nicht – was dann eine zusätzliche erhebliche Gefahr für die Anwender darstellt. Von wirklich sicherheitskritischen Webseiten – wie Online-Banking – sollte man derzeit die Finger lassen, bis der jeweilige Dienst explizite Entwarnung gegeben hat. Wichtig ist dabei wie gesagt nicht nur die fehlerbereinigte OpenSSL-Version, sondern auch das neue SSL-Zertifikat – denn schließlich kann der Schlüssel des bisherigen Zertifikats durch die Heartbleed-Lücke ausgelesen und damit in der Welt verbreitet worden sein.

Da diese zweite wesentliche Maßnahme zur Bekämpfung der Heartbleed-Lücke letztlich nicht durch den normalen Anwender im vollen Umfang kontrollierbar ist, kann man durchaus darüber nachdenken, das ganze Passwort-Wechseldich-Spiel in zwei bis drei Wochen – dann, wenn man annehmen darf, daß wirklich alle Anbieter von Online-Diensten reagiert haben – nochmals durchzuführen. Dies mag sich umständlich anhören, ist aber die einzige Lösung, die wirklich sicher ist – außer, sich derzeit nirgendwo mehr einzuloggen oder aber das Internet gleich ganz ausgeschaltet zu lassen. Immerhin kann man die Gelegenheit nutzen, um sich über sichere Passwörter sowie Passwort-Manager Gedanken zu machen.

(Un)passenderweise einen Tag vor den Launch der Radeon R9 295X2 hat nVidia den neuen Beta-Treiber 337.50 veröffentlicht, welcher aufgrund der von nVidia versprochenen Performance-Zugewinne von bis zu 64% bei einer einzelne GPU und bis zu 71% im SLI-Einsatz auch schon einmal als "Wundertreiber" bezeichnet wird. Hauptgrund des Performance-Gewinns sollen hierbei nicht Anpassungen bzw. Optimierungen auf einzelne Spiele sein, sondern eine Anpassung des Treibers im Sinne der Mantle-API – sprich, unter Vermeidung von zu vielen DirectX-Calls zugunsten der Performance in eher oder wenigstens teilweise CPU-limitierten Szenarien. nVidia unterstützt zwar kein Mantle, will aber rein durch Treiber-Anpassungen ähnliches wie bei Mantle erreichen und vergleicht sich in den offiziellen Präsentationen zum neuen Treiber auch direkt mit AMDs Mantle.

Die vorliegenden unabhängigen Benchmarks sehen die Sache weit weniger euphorisch: Auf das gesamte Testfeld gerechnet bringt der neue Treiber in etwa 4-5 Prozentpunkte mehr Performance mit sich. Einzelne Spiele laufen teilweise deutlich schneller, aber gerechnet auf ein großes Testfeld ergibt sich nur dieser Durchschnitt. Bemerkenswerte Ausreißer gibt es unter Battlefield 4, Thief, Sleeping Dogs, Hitman, BioShock Infinite, Total War: Rome 2 und der StarSwarm-Demo – also mehrheitlich dort, wo auch AMDs Mantle-API ihre Stärken hat. Die allgemeine Wertung zum neuen nVidia-Treiber ist allerdings eher geprägt vom schwachen durchschnittlichen Performance-Gewinn – was interessant ist, denn bei AMDs Mantle-API ist dies nicht viel anders, dort konzentrierte sich die breite Berichterstattung bislang aber eher auf die einzelnen Performance-Ausreißer und nicht auf das Gesamtbild.

Daneben hat nVidia in den neuen Treiber zumindest bei der (für die meisten Treiber-Tests bemühten) GeForce GTX 780 Ti noch eine kleine "Überraschung" eingebaut: Die maximal erreichbare Grafikchip-Temperatur der GeForce GTX 780 Ti wurde seitens nVidia beim 337.50er Treiber offenbar leicht um 2-3°C nach oben gesetzt. Dies läßt sich einem Posting im Forum der ComputerBase sowie auch dem Treiber-Test bei HardOCP entnehmen. Da die Performance heutiger Grafikkarten maßgeblich an ihren jeweiligen Temperatur-Limits hängt, ergibt sich hiermit auch eine automatische Performance-Verbesserung – ohne aber das deswegen der Treiber wirklich etwas besser machen würde. Angesichts der geringen Größe der Veränderung ist nVidia allerdings kaum ein Vorwurf zu machen, der Langlebigkeit der Hardware zu schaden. Bedenklich ist die Sache eher deswegen, weil die Grafikkarten-Käufer sicherlich keinen Wettstreit der Grafikchip-Entwickler mit solchen Mitteln wünschen – jene nVidia-Maßnahme beim 337.50er Treiber jedoch bei AMD die Hemmschwelle senkt, zukünftig ähnlich vorzugehen. Aus dieser Betrachtungsweise sind solcherart "Hardware-Tweaks" – vor allem wenn sie undokumentiert passieren – eher kritisch zu sehen.

Nachtrag vom 10. April 2014

Die ComputerBase hat sich noch einmal mit dem 337.50er nVidia-Treiber beschäftigt, um eine Erklärung für dessen Performance-Verhalten zu finden. Im Nebensatz hat man dabei der These, der Treiber hätte das Temperatur-Limit der GeForce GTX 780 Ti angehoben, eine Absage erteilt. Dies steht zwar weiterhin im Gegensatz zu dem, was HardOCP notiert haben – andererseits spricht die unter vielen Benchmarks völig gleich gebliebene Performance auch nicht zwingend für eine solche Hardware-Änderung, welche schließlich unter allen Performance-Messungen für irgendeinen Effekt sorgen sollte. Schön wäre natürlich noch eine Bestätigung seitens einer dritten Partei, da es sich hierbei immer noch um zwei widersprüchliche Aussagen handelt (und selbst die reinen Meßwerte der ComputerBase einen Temperatur-Anstieg um 2°C anzeigen).

HT4U vermelden eine neue LowCost-Grafikkarten seitens AMD: Die Radeon R5 230 ist für absolute Billig-Bedürfnisse gedacht und basiert dafür auch nur auf dem RV910/Caicos-Chip der Radeon HD 6400 Serie mit nur 160 VLIW Shader-Einheiten samt 64 Bit DDR Speicherinterface. Auf 625 MHz Chiptakt ergibt sich ein perfektes Rebranding der seinerzeitigen Radeon HD 6450 – welche interessanterweise selbst noch im Handel erhältlich ist. Nach Performance sollte man bei dieser Ansetzung natürlich besser nicht fragen (Perf.Index ~30%), die Karte taugt faktisch nur zum Ersatz in Fällen, wo keinerlei 3D-Performance erforderlich ist, da selbst die integrierten Grafiklösungen heutiger AMD-APUs schneller sind als jene Radeon R5 230. Interessant ist, daß solcherart Grafikkarten noch so weit nachgefragt werden, daß AMD einen Anlaß zur Neuauflage jener Radeon HD 6450 sieht – normalerweise dachte man, daß sich das LowCost-Segment mit dem Aufkommen (relativ) leistungsstarker integrierter Grafiklösungen in den heutigen Prozessoren komplett erledigt hätte.

Der Heise Newsticker berichtet über die Vorstellung von Qualcomms nächster SoC-Generation in Form der Snapdragon 808 und 810 Prozessoren, welche acht ARM v8 basierte Kerne mit 64-Bit, teilweise DDR4-Support und in der 20nm-Fertigung mit sich bringen. Hierbei setzte Qualcomm allerdings nicht auf die eigene Krait-Architektur, welche eine ARM-Abwandlung mit wesentlich mehr Leistungsfähigkeit darstellt, sondern setzte mit ARM Cortex A57 & A53 nur Standardware an – wahrscheinlich weil die Weiterentwicklung der Krait-Architektur einfach noch etwas länger dauert. Interessant ist die 20nm-Fertigung (wahrscheinlich bei TSMC), damit sind diese SoCs erst das zweite Chipprojekt neben Apples A8-Prozessor, welches jene neue Fertigung nutzt. Nachdem der Apple A8 jedoch voraussichtlich auch nicht vor dem Herbst 2014 in kaufbaren Geräten zu finden sein wird, zieht sich die Sache bei Qualcomms 20nm-SoCs noch länger hin: Muster gibt es zwar schon im dritten Quartal 2014, kaufbare Geräte werden aber erst im ersten Halbjahr 2015 erwartet. Dies sieht nicht unbedingt danach aus, als würde TSMCs 20nm-Fertigung all zu bald jene Kapazitäten erreichen, welche für zwei entsprechende 20nm Grafikchip-Serien von AMD und nVidia Bedingung wären.

Die vom Europäischen Gerichtshof gefällte Entscheidung gegen die Vorratsdatenspeicherung ist sicherlich ein freudiges Ereignis – allerdings wetzen im Hintergrund die Scharfmacher schon wieder die Messer und werden es sicherlich bei der nächsten besten Gelegenheit erneut probieren. Bedenklich ist da alleine schon, wenn Verfechter der Vorratsdatenspeicherung in dem EuGH-Urteil "grünes Licht für die verfassungskonforme Vorratsdatenspeicherung" sehen wollen – so gesehen ist die Kuh noch lange nicht vom Eis, sondern sind in Zukunft weitere Streitigkeiten zum Thema inklusive entsprechender Gesetzesvorhaben zu erwarten. Ausreichend Schlupflöcher und "Gestaltungsspielraum" hat das EuGH-Urteil sicherlich gelassen: Beispielsweise ist mit einiger Sicherheit nun eine QuickFreeze-Maßnahme zu erwarten, wo also auf Zuruf der Ermittlungsbehörden im konkreten Fall auf Vorrat gespeichert wird. Auch mit diesem Instrument läßt sich natürlich Schindluder treiben – ganz besonders, wenn die Anforderungen hierfür niedrig gesetzt werden und keine effektive Kontrolle stattfindet. Die Provider werden zudem auch für QuickFreeze eine komplette Speicher-Architektur bereithalten müssen – und natürlich ermöglicht auch QuickFreeze dann die massenhafte Datenspeicherung vieler Bürger aufgrund eines Anfangsverdachts gegen einzelne Bürger.

Hier liegt eine wichtige Crux aus dem EuGH-Urteil verborgen: Das Problem der EU-Richter bezog sich primär darauf, daß diese massenhafte Datenspeicherung von Normalbürgern dauerhaft stattfinden sollte. Mit dem Fall, daß jene anlaßbezogen – sprich, im Rahmen von Strafermittlungen – stattfindet, haben die EU-Richter offenbar keine Probleme. Es bleibt aber dabei, daß hierbei massenhaft Daten von Unbeteiligten erfasst werden – egal ob man es dauerhaft mittels der Vorratsdatenspeicherung oder fallbezogen mittels QuickFreeze löst. Dabei wird gern in der Diskussion über das Thema vergessen, daß es sich hierbei nicht um das legale Abhören von identifizierten Verdächtigen handelt, dafür gibt es eigene gesetzliche Regelungen. Es handelt sich hierbei vielmehr immer nur um das Abhören einer ganze Masse von Personen (mit dementsprechendem Datenberg) auf den reinen Verdacht hin, es könnte sich daraus mal ein Fall gegen einzelne Personen entwickeln.

Golem notieren eine interessante Anekdote im Zusammenhang mit dem Support-Ende von Windows XP: Danach fordert ein US-Jurist, ausgelaufene Software-Produkt mittels einer Gesetzesänderung ähnlich wie ein Hardware-Produkt zu behandeln, wo natürlich auch fremde Firmen Support liefern können. Im Fall eines Betriebssystems würde dies allerdings wohl auch Zugang zum Quellcode bedeuten, was nun nicht gerade im Sinne Microsofts sein wird. Die Gegen-Idee wäre sowieso, Microsoft angesichts der Bedeutung von Windows XP und auch angesichts der Rolle von Microsoft als faktischem Monopolist für PC-Betriebssystemen so etwas wie eine Supporteinstellung generell zu untersagen. Es läuft einfach viel zu viel an wichtigen PCs noch unter Windows XP, dies kann man somit als Aufgabe von "nationaler Bedeutung" ansehen – und unter diesem Vorzeichen sind die Rechte von Microsoft, den Lebenszyklus eines Produkts beenden zu wollen, dann nur noch zweitrangig. Das ganze sind natürlich eher nur theoretische Überlegungen, in der heutigen Zeit wird sich kein Politiker mit so einem Schwergewicht wie Microsoft unnötigerweise anlegen wollen.

Mit der Radeon R9 295X2 schickt AMD nun endlich auch seine DualChip-Lösung auf Basis des Hawaii-Grafikchips ins Rennen. Wie in der Vorlaunch-Berichterstattung schon herausgearbeitet, geht AMD dabei vollkommen ans Limit mit zwei Grafikchips ohne Abspeckungen, hohen Taktraten, 500 Watt TDP und einer leistungsstarken Hybrid-Kühlung, um die entstehende Abwärme schnell abzuführen und nicht die Grafikkarten ausbremsen zu lassen. Das dabei herausgekommene Produkt ist laut den ersten Testberichten sicherlich beeindruckend, kommt aber auch mit einem für AMD untypisch hohen Preispunkt von satten 1499 Dollar daher – was die Zielgruppe sicherlich effektiv einengt. Nichts desto trotz ist die Diskussion zur Radeon R9 295X2 natürlich schon am Laufen, eine Launch-Analyse unsererseits folgt später nach.