12 Feb

Gravierende Sicherheitslücken in Prozessoren – Meltdown und Spectre

Meltdown und Spectre, Begriffe die in der IT-Welt seit kurzer Zeit viel Wirbel verursacht haben. Im Prinzip handelt es sich in beiden Fällen um eine Hardware-Sicherheitslücke bei Mikroprozessoren. Was eigentlich die genauen Unterschiede und Gefahren der jeweiligen Sicherheitslücken sind, wird hier im Einzelnen beleuchtet:

In den momentanen Prozessoren werden drei wichtige Techniken verwendet, die für diese Schwachstelle relevant sind. Die spekulative Befehlsausführung (Speculation-Execution), Branch Prediction und out-of-order Execution. Die Out-of-Order Execution verwendet eine optimierte Rangfolge um Befehle abzuarbeiten, statt die Reihenfolge zu verwenden die vom Code vorgegeben wird. Programmcode beinhalten Bedingungen, die den gesamten Prozess sehr verschachtelt. Um dabei keine Leistungseinbußen in der Prozessorleistung zu erhalten, spekuliert der Prozessor welche Speicheradresse als nächstes angelaufen wird (Branch Prediction). Wenn Ressourcen frei sind, werden die Befehle spekulativ schon einmal ausgeführt, auch wenn die Ausführung sich am Ende als unnötig herausstellen sollte.

Meltdown gibt einem Angreifer die Möglichkeit den Kernelspeicher auszulesen, da sich dieser einen Cache mit dem Userspace teilt und somit sensible Daten aus dem jeweils anderen Bereich extrahiert werden kann. Eigentlich ist dies nicht möglich, da beide Bereiche voneinander isoliert sind, doch über die spekulative Befehlsausführung kann diese Isolation umgangen werden. Nach einem versuchten Zugriff auf die Daten im Kernelspeicher können die Datenreste aus der spekulativen Ausführung im Userspace gefunden werden. Mithilfe dieser Datenreste ist es möglich auf die gewollten Daten zurückzuschließen.

Von Meltdown sind vor allem Intel Prozessoren seit 1995 außer dem Atom-Prozessor, die vor 2013 gebaut wurden und dem Itanium-Prozessor betroffen. Einige ARM Prozessoren sind ebenfalls von Meltdown betroffen. Laut AMD ist die Nutzung von Meltdown sehr schwer bei ihren Prozessoren anzuwenden, sodass eine Riskiochance gegen Null geht.

Um die Meltdown-Lücke zu stopfen wurden von Microsoft und Intel Updates herausgegeben, die den Kernelspeicher vom Userspace gründlicher isoliert. Allerdings senkt sich die Prozessorleistung maginal. Je älter der Prozessor desto größer der Leistungsabfall. Trotz allem sollte der Abfall kaum bis gar nicht spürbar sein. Wesentlich spürbarer ist der Leistungsverlust bei einigen Serveranwendungen. So kann es passieren, dass der Ressourcenbedarf bei den Servern steigt, wodurch es zu Leistungsengpässen und höheren Stromverbrauch kommt.

Die Sicherheitslücke-Spectre gibt es in zwei Variationen und verhält sich ähnlich wie Meltdown mit dem Unterschied, dass hierbei Applikation, die erlaubten Zugang zum Speicher besitzen, manipuliert werden um auf den Speicher zuzugreifen.

Aktuell kann die erste Variante von Spectre (BCB=Bounds Check Bypass) in Windows und macOS als weitgehend entschärft gesehen werden. Auch unter Linux sollte mit der Kernelversion 4.16 das Problem soweit eingedämmt sein. Die zweite Version der Spectre Lücke (BTI=Branch Target Injection) ist deutlich schwieriger zu Lösen. Die BIOS- und Microcode-Updates von Intel haben zu Komplikationen mit mehreren Core-I-Generationen und Xeons geführt, wie z.B. spontane Neustarts, wodurch die Patches zurückgezogen wurden. An AMD-Prozessoren konnte zwar bisher noch nicht BTI angewendet werden, dennoch sollen Updates dazu geliefert werden. Einige Linux-Distributions und die Hypervisor VMware ESXI benötigen keine BIOS-Updates und erhalten das Microcode Update über die jeweilige DIstribution. Allerdings wurden auch diese Patches zurückgezogen und stellt dadurch einige Rechenzentren vor Probleme. Für Tablets und Smartphones hat sich in den letzten Wochen nichts verändert. Zu den neueren Android Versionen wird es Updates geben, bei älteren Versionen gibt es von den Herstellern keine Äußerungen. Apple gibt mit dem iOS 11.2 und weiteren Updates den nötigen Schutz belässt aber ältere Versionen ungeschützt.

Die Meltdown Lücke ist vorerst geschlossen. Anders sieht es bei Specter aus, vor allem bei BTI ist noch einiges an Arbeit zu erledigen. Trotz allem sollte diese Sicherheitslücke nicht überbewertet werden. In Betriebsystemen, BIOS, Browsern und Anwendungssoftware finden sich regelmäßig neue Lücken, die zum Teil leichter zu nutzen sind als BTI und erst Wochen oder Monate später geschlossen werden. Um Schäden so gering wie möglich zu halten und zu vermeiden, empfiehlt es sich die Updates so schnell wie möglich einzuspielen, sichere und unterschiedliche Passwörter für diverse Onlinedienste zu nutzen bzw. auch Multt-Faktor-Authentifizierung zu verwenden. Skriptblocker können den Schutz während dem Browsen verbessern. Wichtig ist es Risiken zu entgehen, indem dubiosen Webseiten und Software aus fraglichen Quellen vermieden werden.

Haben Sie weitere Fragen oder Unsicherheiten?

Melden Sie sich bei uns über das Kontaktformular wir helfen ihnen gerne weiter.