Meltdown und Spectre | So funktionieren die CPU Sicherheitslücken auf Intel Prozessoren

Meltdown und Spectre sind die Bezeichnungen zweier Sicherheitslücken der letzten Jahre, die Intel-CPUs betreffen. Zu Beginn von 2018 wurde die Sicherheitslücken auch einem breiteren Publikum bekannt. Um zu verstehen, wie Sie sich gegen die beiden verwandten, aber im Kern doch unterschiedlichen Lücken schützen können, ist ein etwas tieferer Blick in die Materie notwendig.

Was sind Meltdown und Spectre?

Meltdown ist ein hardwareseitiger Bug, der in allen Intel-CPUs seit 1995 existiert (mit Ausnahme der Itanium-Reihe sowie Atom-CPUs, die vor 2013 gefertigt wurden). Einige ARM-Prozessoren sind von dem Bug ebenfalls betroffen. Er wirkt sich so aus, dass bestimmte Speicherbereiche geladen werden, ohne dass vorher eine Prüfung der Rechte von Prozessen, die auf den Speicher zugreifen, stattfindet. Prozesse könnten dadurch auf Speicherbereiche zugreifen, indem sich auch sehr wichtige Daten befinden. Besonders betroffen von diesem Bug sind z.B. Cloud-Anbieter wie Amazon, Microsoft oder Google: Programme werden dort in der Regel auf denselben Servern ausgeführt, auf denen auch Daten speichert werden. Um einen Zugriff auf jene Daten zu verhindern, verlassen sich die Unternehmen auf den CPU-Schutz - der durch Meltdown jedoch ausgehebelt wird.

Spectre hingegen besteht aus zwei Varianten und wurde im Zug von Meltdown ebenfalls entdeckt. Dieser Bug betrifft sowohl CPUs von Intel als auch AMD sowie ARM-basierte CPUs und auch Produkte von IBM. Spectre ist zwar ein Bug, der schwieriger angreifbar ist; allerdings ist es auch komplizierter, den Fehler zu beheben. Im Kern geht es darum, dass bestimmte Instruktionen in modernen CPUs ausgeführt werden, bevor sie notwendig sind. Im realen Einsatz sorgt dies für Performancegewinn. Werden jene Instruktionen dann doch nicht benötigt, werden sie rückgängig gemacht - aber wohl nicht zu 100 %, wie Spectre bewiesen hat. Theoretisch könnten Angreifer dies ausnutzen, um z.B. JavaScript-Code auf einer Webseite in den Speicherbereich der CPU zu laden, wo dann beliebige Effekte hervorrufbar sind. Das Auslesen von Passwörtern wäre ein Worst-Case-Szenario.

Wer ist betroffen?

Inzwischen gibt es einige Methoden, um herauszufinden, ob Meltdown und Spectre in den eigenen Geräten für Ärger sorgen können. Meltdown sowie Spectre 2 lassen sich z.B. über die PowerShell auf Windows-Systemen testen. Microsoft stellt dafür eine Anleitung auf den hauseigenen Support-Webseiten unter https://support.microsoft.com/en-us/help/4073119/protect-against-speculative-execution-side-channel-vulnerabilities-in bereit. Alternativ existieren auch fertige .exe-Dateien, wie z.B. SpecuCheck unter https://ionescu007.github.io/SpecuCheck.


Schutzmaßnahmen und Konsequenzen

Hardwareseitig wird es nicht einfach sein, Spectre und Meltdown in kurzer Zeit zu beheben. Wir würden daher nicht vor Ende 2018 oder gar 2019 auf sichere CPU-Revisionen hoffen. Sehr wohl gibt es jedoch sowohl von Microsoft als auch Apple sowie für diverse Linux-Distributionen Software-Patches gegen das Problem, die über automatische Update-Dienste auch schon verteilt werden. Das Problem daran ist, dass diese Updates allesamt zu Geschwindigkeitseinbußen führen. Da etwa im beschriebenen Fall von Spectre die spekulative Code-Ausführung gestoppt wird, leidet darunter die Performance. Intel hatte ebenfalls kurzfristig einen Patch veröffentlicht, der jedoch inzwischen zurückgezogen wurde, da die Qualität des Updates mangelhaft war.

Mit anderen Worten: Aktuell wählt der Anwender zwischen Performance oder Sicherheit, beide Eigenschaften in einem Paket sind noch nicht am Horizont.

Weitere Informationen

  • Kategorie: News
  • Thema: Cyber Security

Aktuelle Meldungen und News