Vorsicht vor Meltdown & Spectre

Kernschmelze: Große Sicherheitslücke bei Prozessoren von Intel, AMD & Co

Dominik Mohilo

© Shutterstock.com / alice-photo

Das Jahr 2018 beginnt nicht besonders gut. Kaum ist die Welt dem Neujahrsdunst entstiegen, schlägt die Meldung wie eine Bombe ein, dass praktisch sämtliche Rechner und Geräte, die einen Intel-Prozessor verwenden, eine kritische Sicherheitslücke aufweisen. Egal ist es auch, welches Betriebssystem aufgespielt ist, da alle von dem Bug betroffen sind. Mittlerweile gibt es eine Lösung für das Problem, doch die kommt nicht ohne einen gewissen Preis…

Es klingt wie die Posaune zum jüngsten Gericht: Ein Bug in Intels Chips ermöglicht es Hackern, auf sensible Daten aus dem privaten Kernel Memory zuzugreifen. Zu den sensiblen Daten, von denen hier die Rede ist, gehören zum Beispiel Passwörter, was das Ganze besonders kritisch macht. Betroffen sollen praktisch alle Chips des Herstellers sein, die in den letzten zehn Jahren produziert wurden, wie The Register berichtet.

Der Hardwarebug ermöglicht drei unterschiedliche Varianten des Exploits, die bei der MITRE Corporation unter den Seriennummern CVE-2017-5753, CVE-2017-5715 und CVE-2017-5754 offiziell gelistet sind. Etwas griffiger sind die Namen Spectre für die ersten beiden und Meltdown für die dritte Variante der Schwachstelle.

KPTI – Teure Lösung

Das Problem kann allerdings, das sind die guten Nachrichten, durch ein Update des Betriebssystems behoben werden. Doch einen Haken hat die Sache, denn die Sicherheit der Daten kommt mit einem Performance-Preisschild. Es ist die Rede von Leistungseibußen im doppelstelligen Prozentbereich, im schlimmsten Fall soll ein Verlust von 30 Prozent möglich sein.

Der drohende Performanceverlust geht auf die Art und Weise zurück, wie Computersysteme aufgebaut sind. Will ein laufendes Programm zum Beispiel eine Netzwerkverbindung öffnen, wird vom Programm die Kontrolle über den Prozessor an den Kernel übertragen. Um diesen Wechsel (und die Rückgabe der Kontrolle an das Programm) möglichst schnell zu machen, ist der Kernel im virtuellen Adressspeicher aller Prozesse präsent, wenn auch unsichtbar.

Lesen Sie auch: Schatten in der Smart Factory: Fabriken im Hackerzugriff

Damit keine Prozesse (also auch keine Malware) auf den Kernel zugreifen können, wird ein Redesign des Betriebssystem-Kernels nötig, der den Speicher des Kernels komplett von Nutzerprozessen trennt. Das nennt sich Kernel Page Table Isolation (KPTI). Durch die Trennung wird der Kernel in einen komplett anderen Adressraum verschoben, sodass er nicht mehr nur unsichtbar für den Prozess ist, sondern gar nicht mehr existent an dieser Stelle.

Natürlich muss der Kernel trotzdem mit Dingen wie dem Öffnen einer Netzwerkverbindung beauftragt werden, wodurch ein Wechsel des Adressraums nötig wird, der vorher noch umgangen werden konnte. Die Folge ist, dass der Prozessor Daten aus dem Cache löschen und die gleichen Informationen wieder aus dem Speicher neu laden muss. Das alles kostet Zeit und damit Leistung, wodurch zu befürchten ist, dass der Computer langsamer wird. Wie Meltdown / Spectre in Aktion aussehen, ist auf YouTube dokumentiert:

Meltdown in the Clouds – Ein Kommentar von Christoph Engelbert

Endlich hat Nostradamus doch Mal recht, 2018 geht die Welt unter. Zumindest für Intel. Während der Chip-Riese immer noch mit Problemen in seiner Intel Management Engine kämpft, steht bereits der nächste Kampf an und der ist verheerend.

Ein Hardwarebug, vermutlich seit einigen Chip-Generationen enthalten, ermöglicht es, die Speicher-Isolation zwischen Programmen aber vermutlich auch virtuellen Maschinen zu umgehen und so auf fremde Daten wie Passwörter, Encryption Keys oder auch vielleicht nur Kundendaten zuzugreifen. Ein POC greift dabei sogar per JavaScript aus dem Browser heraus auf fremden Speicher zu – schlimmer geht es kaum.

Ein Fix wird derzeit für Linux und Windows erarbeitet bzw. bereits ausgeliefert (Windows 10 heute, Windows 7 und 8 nächsten Dienstag). Der „Fix“ trennt dabei Kernel- und Anwendungsspeicher komplett ab, anders als das bisher der Fall war. Der zusätzliche Aufwand wird je nach Workload 20 bis 30 Prozent Performanceeinbuße kosten – ein teurer Spaß! So teuer, dass die Linux-Entwickler der Änderung den Beinamen (FUCKWIT – Forcefully Unmap Complete Kernel With Interrupt Trampolines) gegeben haben.

Alle namhaften Cloudanbieter reagieren, Amazon und Microsoft haben weitgreifende Neustarts angekündigt (10. Januar und 5. Januar) und auch Google hat eine Überichtsseite eingerichtet (hier).

Im Internet kursieren bereits die ersten Witze zum Thema, ob Serverless-Systeme jetzt wohl auch betroffen wären, denn: Wo kein Server, da keine CPU 😉

Alles in Allem werden Meltdown und Spectre, wie die beiden gefundenen Lücken genannt werden, vermutlich noch einiges an Aufsehen erzeugen. Wer weiß, vielleicht ist 2018 ja doch das Jahr von AMD?

Christoph Engelbert ist Open Source Enthusiast und immer am Java-Next interessiert. Am liebsten kämpft er mit Performance-Optimierungen, dem JVM-Interna oder dem Garbage Collector. Weiterhin glaubt er fest an Polyglot und ist im Umfeld von Java, Kotlin, Go, TypeScript und anderen Sprachen unterwegs.

Nicht nur Intel betroffen?

An dieser Stelle ist deutlich zu betonen, dass nicht nur Intel in Verbindung mit Microsofts Betriebssystem Windows betroffen ist. Auch die Prozessoren von AMD und ARM sind betroffen und auch Linux-Nutzer müssen ein Sicherheitsupdate einspielen. Mac-User haben Glück: Das Problem wurde offenbar schon in einem früheren Update behoben.

Wie Intel berichtet, sollten „normale“ Computernutzer im Übrigen kaum etwas an Geschwindigkeitsverlust bemerken. Man arbeite außerdem bereits mit AMD und ARM sowie den Anbietern einiger Betriebssysteme an Lösungen für das Problem:

Recent reports that these exploits are caused by a “bug” or a “flaw” and are unique to Intel products are incorrect. Based on the analysis to date, many types of computing devices — with many different vendors’ processors and operating systems — are susceptible to these exploits.

Intel is committed to product and customer security and is working closely with many other technology companies, including AMD, ARM Holdings and several operating system vendors, to develop an industry-wide approach to resolve this issue promptly and constructively.

Intel has begun providing software and firmware updates to mitigate these exploits. Contrary to some reports, any performance impacts are workload-dependent, and, for the average computer user, should not be significant and will be mitigated over time.

Quelle: Intel Newsroom

Natürlich haben sich auch AMD und ARM zur Sachlage geäußert und auf ihren Webseiten Stellung bezogen. AMD gibt an, dass von den drei Arten möglicher Exploits, nur eine überhaupt ein Risiko für AMD-Prozessoren darstelle, allerdings sei das Risiko verschwindend gering („near zero risk of exploitation“). Die anderen Schwachstellen seien entweder durch OS-Updates gefixt worden, oder wegen der anderen Architektur von AMD-Prozessoren durch Hacker nicht nutzbar.

Auch ARM beteuert, dass die Mehrzahl der Prozessoren nicht von dem kritischen Bug betroffen ist. Auf der Homepage des Herstellers wurde eine Liste mit betroffenen Chips veröffentlicht mit der Information, welche der drei Varianten für Nutzer gefährlich werden könnte. ARM liefert auch gleich die entsprechenden Problemlösungen mit.

Lesen Sie auch: Ab ins Internet der Dinge – vom Klebezettel zum Prototyp

Die großen Cloud-Anbieter (Amazon AWS, Google Cloud, Microsoft Azure) haben sich auf den jeweiligen Unternehmensseiten ebenfalls geäußert und versichern ihren Kunden, dass deren Daten in jedem Fall sicher sind, es kann allerdings zu kurzen Downtimes kommen.

Weitere Informationen zu Meltdown und Spectre gibt es auf der Webseite für die Bugs, gehostet von der Universität Graz. Dort gibt es auch jeweils eine wissenschaftliche Abhandlung über die Sicherheitslücken. Alles Wissenswerte zu den Patches von Linux gibt es auf der Linux Kernel Mailing Liste, Windows-Nutzer werden bei Microsoft fündig.

Verwandte Themen:

Geschrieben von
Dominik Mohilo
Dominik Mohilo
Dominik Mohilo studierte Germanistik und Soziologie an der Goethe-Universität in Frankfurt. Seit 2015 ist er Redakteur bei S&S-Media.
Kommentare

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht.