zurück zur Übersicht

Fehler in fast allen CPUs, was nun?

Am Mittwoch, dem 3. Dezember tauchten Berichte über eine Schwachstelle in Intel CPUs auf, die es Angreifern erlaubt, den Systemspeicher auszulesen, wenn es ihnen gelingt, jemanden dazu zu bringen ihren Code auszuführen. Dieser Mechanismus könnte z.B. genutzt werden, um Geheimnisse wie Passwörter oder kryptografische Schlüssel direkt aus dem Memory zu extrahieren. Wer als sicherheitsbewusster Anwender einen Passwort-Manager verwendet, läuft Gefahr, dass diese Passwörter theoretisch ausgelesen werden können. Genauso wie der Inhalt von E-Mails und alles andere auch…

Die Schwachstelle wurde anfänglich frustriert mit „f*ckwit“ tituliert, dann aber in „Meltdown“ umbenannt. Sie überwindet die Isolation zwischen den geschützten Betriebssystem- und den Applikationsschichten im Speicher. Der zugehörige Gegenpart namens „Spectre“ überwindet die Isolation zwischen einzelnen Anwendungen. Es ist nicht nur Intel betroffen, sondern auch so ziemlich alle anderen Architekturen, obwohl ARM wohl nur anfällig für „Spectre“ ist. In diesem Zusammenhang wird oft von “Cumulative speculation” gesprochen. Doch was bedeutet das eigentlich?

DNS-Guru Bert Hubert beschrieb das Thema in einem niederländischen Blog-Posting ungefähr so: „Du kochst eine Mahlzeit und das Rezept enthält eine Bedingung: Wenn es Süßigkeiten im geheimen Schrank gibt, dann gibst du Butter in die Pfanne. Weil Sie das Rezept im Voraus gelesen haben, können Sie den geheimen Schrank überprüfen und die Süßigkeiten finden. Sie wissen jetzt, wenn es ein Stück Butter gibt, sind Süßigkeiten im Geheimschrank ohne jemals direkt reingesehen zu haben.“

Also, was bedeutet das? Und was ist relevant?

  1. Ja, so ziemlich jeder Computer ist verwundbar – PCs, Macs, iPhones und Android Telefone. Wahrscheinlich auch das, auf dem Sie diesen Post lesen.
  2. Ein Angreifer muss Sie jedoch dazu bewegen, seinen Code auszuführen.
  3. Nein, man kann aktuell nichts dagegen tun. Es ist ein Hardwarefehler, auch wenn Sie Ihre CPU ersetzen könnten, CPUs ohne den Fehler gibt es derzeit nicht.
  4. Nette Leute bei Microsoft, der Linux-Community, Android und Apple kommen zu Hilfe. Sie sind gerade dabei, OS-Workarounds zu testen. Sie werden dieses Problem auf Kosten einer Leistungsverschlechterung umgehen. Diese Workarounds wurden als Betriebssystem-Update bereits heute veröffentlicht.
  5. Updaten ist angesagt. Tippen Sie in den kommenden Wochen etwas öfter auf den Button „Suche nach Update“ als gewohnt. Das ist momentan alles was Sie tun können. Es scheint einige Probleme mit einigen Antiviren-Anwendungen und einigen Updates zu geben, wir beobachten dies weiter.
  6. Sie sollten Sie sich darüber im Klaren sein, dass dieses dringende Update die Leistung Ihres Systems beeinträchtigen kann (5 bis 30 Prozent laut Berichten). Wenn Sie Datenbanken, Cloud-Umgebungen und Echtzeitlösungen betreiben, ist das ein bisschen wie die Wahl zwischen Pest und Cholera und man ist gezwungen zwischen Performance und Sicherheit zu wählen. Viele werden hier jedoch die Auswirkungen auf die Performance als weniger schlimm erachten.
  7. Zu guter Letzt hatten wir vor wenigen Wochen KRACK, eine weitere große Schwachstelle in der WIFI-Sicherheit, gegen die man nichts unternehmen kann den und Hardwarefehler ROCA.
    Die Welt hat sich trotzdem weitergedreht und Mobiltelefone funktionieren immer noch. Es gibt unzählig viele unbekannten Schwachstellen, denn sie befinden sich in Dingen die offensichtlich funktionieren und niemand hat sie bisher entdeckt. Da Forscher nicht müde werden nach ihnen zu suchen, werden bestimmt noch mehr von ihnen entdeckt. Haben wir Mitgefühl mit den Entwicklern der verschiedenen Betriebssysteme, die jetzt frustriert sind, weil sie gezwungen sind Hardwarefehler zu umgehen. Aber das Wichtigste ist, dass sie entdeckt und behoben werden.

Ja, es ist besorgniserregend, riskant und nicht sonderlich amüsant, aber wenn man nicht gerade Kernel Security Architect ist, kann man nichts anderes tun, als sich zu sorgen, was die Zukunft so bringen mag. Unser Ratschlag dazu lautet: Machen Sie sich nicht zu viele Sorgen. Es ist eine holprige Straße, auf der wir uns gerade befinden, aber die Reise lohnt sich.

Schreibe einen Kommentar

Wir nehmen Datenschutz ernst! Deshalb informieren wir Sie, was mit Ihren Daten geschieht:

  • Daten aus Formularen und Webseiten-Tracking können von uns zur Analyse gespeichert werden
  • Die Daten können zur Optimierung der Webseite ausgewertet werden. Das ermöglicht es uns, besser zu verstehen, wo das Interesse unserer Besucher liegt. Wir benutzen primär Hubspot für dieses Tracking (mehr dazu finden Sie in der Erklärung auf unserer Datenschutzseite, siehe unten)
  • Wir geben Ihre Daten nicht an Dritte weiter. Im Rahmen von Veranstaltungen, an denen Sie teilnehmen möchten, kann es nötig sein, dass Ihre Daten an Vertragspartner übermittelt werden.
  • Sie haben jederzeit ein Recht auf die Herausgabe, Berichtigung oder Löschung persönlicher Daten.
  • Sie können Ihre Einwilligung, mit uns in Kontakt zu treten, jederzeit mit sofortiger Wirkung widerrufen.

Weitere Details dazu, was wir mit den Daten tun und nicht tun finden Sie auf unserer Datenschutzseite, oder schreiben Sie mich bei Fragen direkt an!

Felix Möckel
Data Protection Officer