Zen 3: AMD weist auf neue Schwachstelle hin, ähnelt Spectre
Das Jahr 2018 hat angerufen und will seine Schwachstellen zurück: In einem Whitepaper zur Markteinführung der Server-Version von Zen 3 hat AMD auf einen neuen Exploit hingewiesen, der der Spectre-Schwachstelle ähnelt. Über ein bestimmtes Feature soll es Angreifern möglich sein, sensible Daten abzugreifen.
2018 wurden eine ganze Reihe von Schwachstellen in modernen Prozessoren aufgedeckt, durch die Angreifer an Daten gelangen könnten. Gemeint sind hier die Exploits Spectre und Meltdown, die vor durch leistungssteigernde Features der Prozessoren Zugriff auf sensible Daten gewähren. So könnten Angreifer etwa Prozesse auslesen oder sogar Passwörter und Rechte erhaschen. Mittlerweile gibt es viele verschiedene Varianten von Meltdown und Spectre, die alle unterschiedliche Angriffsziele bearbeiten.
Schwachstelle in Zen 3 entdeckt
AMD hat jetzt selbst auf eine Sicherheitslücke bei Zen 3 hingewiesen. In einem Whitepaper zur Markteinführung der Server-Version von Zen 3 beschreibt das Unternehmen einen Exploit, der wohl mit Spectre V4 verglichen werden kann. Das Leck bietet das Feature Predictive Store Forwarding (PSF), durch das der Prozessor versucht, spekulativ Daten weiter vorausberechnen und die Leistung zu erhöhen. Dieses Feature soll jedoch auch eine Möglichkeit für Seitenkanal-Angriffe bieten.
AMD untersucht diese Schwachstelle, stuft das Risiko derzeit jedoch als niedrig ein. Für Nutzer mit Sicherheitsbedenken wird in dem Paper trotzdem beschrieben, wie das PSF-Feature deaktiviert werden kann. AMD rät jedoch dazu, Predictive Store Forwarding trotzdem aktiviert zu lassen.
Den Unterschied zwischen eingeschaltetem und deaktiviertem PSF hat derweil die auf Linux spezialisierte Seite Phoronix getestet. Im Mittelwert unterschied sich die Performance nicht einmal um einen Prozent. Es könnte jedoch trotzdem sein, dass die Auswirkungen bei einzelnen Aufgaben deutlich größer ausfallen würden.
Quelle: Planet3DNow, Phoronix
Der Punkt ist, dass jede andere Methode unglaublich viel schneller, einfacher sowie billiger ist und auch noch deutlich bessere Ergebnisse liefert. Egal ob es andere Sicherheitslücken, ein physischer Einbruch oder ein Maulwurf ist.
Da liegt es ja nahe, das solche Sicherheitslücken eher gewollt, als aus Versehen geschaffen wurden/werden.
Die europäische CPU wirds dann wohl in Europa richten müßen.
Kriminelle Banden wollen mit geringem Einzelaufwand eine breite Palette potenzieller Ziele angreifen, um große Mengen Daten abzugreifen, von denen dann hoffentlich ein Teil verkaufbar ist. Bei mittelständischen Unternehmen oder internationalen Konzernen kommt man da mit simplen Phishing-Mails oft nicht mehr weit und wir haben in den letzten Jahren genug Attacken mit ausgereiften Trojanern gesehen um zu wissen, dass Kriminelle mittlerweile gezielt Technik entwickeln. Spectre-Attacken in immer populärer werdenden Cloud-Umgebungen wäre der nächste logische Schritt. Zwar sind sie in der Entwicklung aufwendiger als bisherige Methoden, aber sie sind bei weitem nicht so komplex wie eine persönliche Infiltration von hunderten Zielen. Und: Sie sind nicht detektierbar, also theoretisch über sehr lange Zeiträume einsetzbar.
Das gilt aber nur solange, wie sich niemand um die Bekämfung von Spectre-like Exploits bemüht. Ein zeitiges Stopfen ist nicht wichtig, weil Kriminielle mit in ein paar mehr Wochen zwischen Entdeckung und Patch großen Schaden anrichten könnten, sondern zur Abschreckung: Solange nicht die Aussicht besteht, ein einmal entwickeltes Tool über Jahre einzusetzen, versucht sich auch niemand daran. Und das ist dann auch für Privatanwender wichtig, denn einmal entwickelte Exploits würden irgendwann auch gegen Tante Erna in Stellung gebracht werden, obwohl die keine Admin-Zugangsdaten hat und ihre Kontoinformationen bereitweillig jedem Phisher gibt.
Übrigens sind die Sandkisten diverser Browser nur bedingt Spectre-sicher. Sie bieten zwar keinen ausreichend präzisen Timer mehr an, aber alle Routinen die nötig sind, um einen zu bauen. Entsprechende PoC für Timer wurde auch schon erstellt und ein funktionierender Exploit würde mutmaßlich nur ein paar Wochen bis Monate Entwicklungsarbeit erfordern. Aber das ist immer noch viel für einen Angriff, der für das Deployment dutzende gehackter Webseiten (oder rückverfolgbare Werbebuchungen) erfordern würde und binnen weniger Stunden wegen der erzeugten Hardware-Last auffiele.
Interessant werden diese Lücken erst, wenn es nichtmehr anders geht. Beim iranischen Atomproramm werden die Leute vermutlich extrem gründlich kontrolliert, Spezialisten aus den Ausland (besonders dem westlichen) werden nicht angeworben, das sind eher Eigengewächse und der iranische Gemeindienst wird sich wohl im klaren sein, was der Mossad und die CIA wollen (also ist es schwer die Leute zu korrumpieren). Schlechte Voraussetzungen. Wenn man da irgendwo einen virtuellen Server unter Kontrolle bekommen hätte, dann wäre dies die ideale Gelegenheit für Spectre und Meltdown.
Am Ende würde aber selbst bei Vergleichbarkeit der Listen gelten: 17 statt 150 Hackingmöglichkeiten ist nicht "nur ein bisschen unsicher". Weil es das genauso wenig gibt, wie "ein bisschen schwanger". Schaden entsteht immer durch genau eine Sicherheitslücke und wichtig ist, wie lange Angreifer für deren Ausnutzung und wie lange Hersteller für deren Schließung brauchen. Dass die Lücke bekannt wird, ist dabei in der Regel schon der positivere Teil der Geschichte.
Wenn man nicht zufällig am iranischen Atomprogramm o.ä. arbeitet, dann kann man diese Lücken getrost ignorieren. Ein Problem ist es nur für Cloudanbieter, die dann nur noch sagen können "ihre Daten sind sicher, bis auf diese kleine theoretische Lücke...", statt "ihre Daten sind sicher".
Trotzdem schön zu sehen dass dies offen kommuniziert wird.