Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus [Update]

Die in Intel-Prozessoren gefundene Sicherheitslücke zieht nun größere Kreise. Intel hat nun erstmals in einer Stellungnahme auf die Berichte reagiert und bestätigt, dass die eigenen Prozessoren von der Sicherheitslücke betroffen sind. Gleichzeitig betont man, dass auch andere Hersteller betroffen sein müssen und dass man nicht glaubt, dass die Sicherheitslücke bereits aktiv ausgenutzt werde. Konkret hatte AMD bereits gesagt, dass man selbst nicht betroffen sei, aber das stimmt wohl nicht ganz. Auch AMD-Prozessoren sind für eine spezielle Art des Angriffs (Bounds Check Bypass) anfällig und können so erfolgreich angegriffen werden.

AMD ist damit aber nicht alleine, denn auch ARM muss eingestehen, dass Teile des Portfolios von der Sicherheitslücke betroffen sind, vor allem die Cortex-M-Prozessoren. Da aber auch Hersteller von Android-Geräten betroffen sind, werden wohl auch Prozessoren befallen sein, die dort zum Einsatz kommen und auf ARM-Technologie basieren. Hierzu würde mit den Anbietern zusammengearbeitet, die auch schon Updates erhalten hätten und diese nun ausliefern müssten. Das dürfte im fragmentierten Android-Markt noch spannend werden.

Apropos Zusammenarbeit: AMD, ARM und Intel wollen bei dem Thema auch zusammenarbeiten, um die Bedrohung schnell aus der Welt zu schaffen. Für Linux gibt es bereits gepatchte Kernels und das Update für Windows 10 soll heute in den normalen Verteilkanal aufgenommen werden (Teil des kumulativen Updates KB4056892). Wie meist üblich werden solche Updates peu à peu verteilt. In Previews ist es bereits verfügbar. Windows 7 und Windows 8 sollen kommenden Dienstag versorgt werden, sind aber manuell bereits erhältlich (KB4056897, KB4056898). In einer Stellungnahme von Google heißt es, dass die eigenen Geräte bereits mit Patches versorgt sind, jedoch prinzipiell viele Geräte der drei großen Prozessoranbieter betroffen sind. Google arbeitet derzeit an einem Report von Project Zero (Teil der unabhängigen Entdecker). Auch Microsoft bestätigte die Lücke und betont, dass gerade an allen Fronten Patches ausgeliefert werden - also von Windows für Clients bis hin zu den hauseigenen Cloudservern.

Inline-Update: Ganz interessant ist die Information, dass die Sicherheitslücke schon seit Juni 2017 bekannt gewesen sein muss. Bisher hatte man aufgrund der Vorgänge von spätestens November geredet. Googles IT-Sicherheitsabteilung Project Zero hat aber nun verraten, dass die Sicherheitslücken bereits am 1. Juni bekannt waren und auch übermittelt wurden.

Meltdown und Spectre - klingt nach Bond-Filmen

Die Zusammenarbeit jedenfalls hat bisher gut geklappt, denn die beiden relevanten Sicherheitslücken namens Meltdown und Spectre sind seit mindestens November letzten Jahres bekannt. Wäre die Nummer jetzt nicht entdeckt worden und durch die Medien gegangen, wäre der Nutzer erst kommende Woche mit dem Microsoft Patchday informiert worden und hätte vielleicht kaum Notiz genommen, weil da permanent Sicherheitslücken gestopft werden.

Im Detail werden aktuell die Sicherheitslücken Meltdown und Spectre genannt:

• Meltdown lässt sich über das Betriebssystem ganz gut schließen, was aber Leistung kostet. Einbußen wird es aber wahrscheinlich vor allem auf Servern geben. Betroffen sind alle Prozessoren seit dem Pentium MMX aus dem Jahr 1995 außer Itanium und Atom. Angreifer können bei Meltdown unkontrolliert auf den Speicher zugreifen und Daten auslesen, weil die Trennung zwischen Programm und Betriebssystem aufgebrochen wird.

• Spectre ist als Konzeptfehler nicht ganz so einfach abzudichten und erfordert Hardware-Änderungen. Für Angreifer ist die Schwachstelle aber schwieriger auszunutzen, da zum Auslesen des Speicherbereiches ein weiterer Angriff namens Seitenkanalattacke ausgeführt werden muss. Ein wenig Schutz bietet hier möglicherweise Software, die solche Angriffe unterbindet. Prinzipiell können sich über Spectre Programme im Speicher gegenseitig ausspionieren, indem hier die Trennung zwischen Programmen umgangen wird. Hier sind quasi alle gängigen Prozessoren anfällig.

Leistungseinbußen wahrscheinlich vor allem auf Servern und älteren CPUs

Nutzer müssen durch die Patches mit Leistungsverlusten rechnen. Wie groß diese ausfallen, lässt sich nicht einfach beantworten und ist je nach Modell und Anwendung unterschiedlich. Erste Tests zeigten, dass in speziellen Szenarien durchaus Leistungsverluste entstehen können. Ob die mit weiterer Optimierung reduziert werden können, wird sich zeigen müssen. Bei Intel heißt es, dass ältere Prozessoren vor Skylake stärker einknicken können als ein neueres Modell, die Leistungsreduktion aber prinzipiell von der Arbeitslast abhängt.

Krzanich verkauft im November so viele Aktien wie möglich

Die schnelle Verfügbarkeit von Patches dürfte jedenfalls klar machen, dass die wichtigen Spieler in diesem Thema, also die Prozessorhersteller und die OS-Anbieter, bereits seit geraumer Zeit von der Sicherheitslücke wissen. Interessantes Detail ist dabei, das Intel-CEO Brian Krzanich Ende November so viele Aktionen verkaufte, wie er konnte. Und was meinen Sie, wie sich die Aktie nach dem allgemeinen Bekanntwerden der Sicherheitslücke entwickelt hat? Korrekt. Zugegeben hält sich der finanzielle Vorteil von damals zu heute in Grenzen, aber es hätte ja auch anders laufen können. Gut verdient hat Krzanich auf jeden Fall, denn es handelte sich weitestgehend um zum Vorzugspreis erhaltene Mitarbeiterpapiere (Verkaufsvolumen ca. 11 Millionen US-Dollar). Auffällig bleibt der Verkauf der Hälfte seiner Aktien bis zum betrieblich auferlegten Minimum allemal.

Inline-Update: Intel hat zum Aktientransfer seines CEOs nun Stellung genommen und betont, dass es sich bei dem Verkauf nicht um Insiderhandel gehandelt hat. Eine andere Stellungnahme war diesbezüglich auch nicht zu erwarten. Die Börsenaufsicht wird im Bedarfsfall Ermittlungen einleiten.

Alle Infos zu Meltdown und Spectre:
• Meltdown und Spectre: Updates zu Apple, Microsoft, Mozilla und Intel
• Meltdown und Spectre: Google und Mozilla mit Schnellschüssen für Chrome und Firefox
• Meltdown und Spectre: Intel könnten Klagen wegen Coffee Lake und Krzanich drohen
• Meltdown: Erste Spiele-Benchmarks mit neuem Linux-Kernel auf Geforce-Grafikkarten

Artikel teilen

Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus [Update] Anfangs war nur von einer Sicherheitslücke in Intel-Prozessoren die Rede. Die war schon verdächtig groß und ist klar als Bug zu definieren. Nun aber weitet sich das Thema aus, denn zu "Meltdown" kommt auch "Spectre" und diese Konzeptschwäche betrifft auch AMD und ARM.

Per E-Mail versenden

538