Sicherheitslücke: Supergau bei Prozessorherstellern

meltdown_spectre.png


haben kürzlich mehrere schwere in zahlreichen Computer-Prozessoren (CPUs) entdeckt, die ein Auslesen von geschützten Inhalten durch normale Programme sogar aus der ermöglichen. Dadurch ist es theoretisch möglich, dass eine Webseite mittels Javascript auf Passwörter und andere sensible Inhalte des Computers eines Besuchers zugreifen kann, die sich gerade in seinem Arbeitsspeicher befinden.

Besonders schlimm hat es getroffen, da hier gleich zwei verschiedene Hardware-Bugs entdeckt wurden. Der Intel-spezifische Fehler wird als (“Kernschmelze”) bezeichnet und befindet sich in Prozessoren der letzten 20 Jahre bis zurück zum Pentium Pro. Der andere Fehler, der teilweise auch und die Hersteller von ARM-CPUs betrifft, wird (“Gespenst”) genannt. Insbesondere Spectre wird sich nicht vollständig durch Software beheben lassen. Die beiden Namen wurden übrigens wegen der Dramatik der Fehler aus entnommen.

[h=3]Betriebssystem-Hersteller arbeiten fieberhaft an einer Lösung[/h]

Seit Tagen arbeiten und zahlreiche Linux-Entwickler mit Hochdruck an ihren Produkten, um Notfall-Patches zu entwickeln und die Fehler durch neue Software des innersten Bereichs des Betriebssystems – den Kernel – zu beheben. hält sich mit Aussagen etwas bedeckt, doch auch deren CPUs, unter anderem von ARM und Intel, enthalten den Fehler.
Die neue Kernel-Software bringt je nach Prozessor auch erhebliche Geschwindigkeitseinbußen von bis zu 30% mit sich, was insbesondere für Netzwerk- und Datei-intensive Programme gilt, bei denen häufig Funktionen des Betriebssystems aufgerufen werden. Diese sogenannten Kontext-Wechsel zwischen Benutzer-Programmen und Kernel können durch die geflickte Software sehr verlangsamt werden – sehr zum Ärger der Benutzer.

[h=3]Fehlerhafte Hardware ist verantwortlich[/h]

Normalerweise werden Fehler in Computern durch neue Software behoben, doch in diesem Fall ist die Hardware schuld, was eine Reparatur mit Software-Updates sehr erschwert. Daher wäre es wesentlich sinnvoller, den Fehler direkt zu beseitigen, statt an der Software herumzudoktern. Doch leider gibt es noch keine fehlerfreie Hardware, weil die erst entwickelt werden muss. Bis dahin wird man mit geflickten Betriebssystemen vorlieb nehmen müssen, sofern diese überhaupt zur Verfügung gestellt werden. Insbesondere für ältere Geräte mit fester Firmware wird das zum Problem. Betroffen ist der komplette Sektor von Smartphones und Routern, über Unterhaltungselektronik, Industrie-Maschinen und alles was als bezeichnet wird oder irgendwie am Internet hängt und mit defekten CPUs arbeitet.

[h=3]Intel-Führung hat bereits ihre Firmenaktien verkauft[/h]

Wohl in weiser Voraussicht des kommenden Schadens hat die bereits Ende letzten Jahres die an der Firma zu Geld gemacht, um einem drohenden Kursverlust zu entgehen. Der Chef bestreitet natürlich die . Das ist die hässliche Seite des Problems. Andere Firmen werden möglicherweise auch bald folgen…
Zwischen dem 5. und 10. Januar beabsichtigen und schrittweise ihre großen Cloudserver herunterzufahren, um Notfall-Patches zu installieren, da auch deren riesige Computerfarmen betroffen sind.



Autor: Kati Mueller
 
Das "Ausbremsen" von KPTI hängt stark davon ab, was du machst. Rechen-intensive Sachen / Spiele bekommen davon nichts mit, IO/Syscall-intensive Anwendungen (wie bspw. Datenbanken) schon eher:
 
Steht in der Mitte vom Artikel und im letzen Absatz. Überschrift gelesen?
 
Wohl eher, dass fast alle Prozessoren betroffen sind... Also PCs und Notebooks daheim, zumindest alle mit Intel und manche mit AMD, Server und Smartphones sowie IoT.
Für Android-Smartphones gabs am 2.1. ein Security Patch, was aber vermutlich noch nicht überall ausgerollt ist.
Windows-Patch läuft nicht mit allen Antivirensoftwaren.
Ach ja, Azure Cloud und Amazon Cloud haben auch Wartungsarbeiten.

Edit: aus dem Meltdown-Paper

Meltdown allows an unprivileged process to read data mapped in the kernel address space, including the entire physical memory on Linux and OS
X, and a large fraction of the physical memory on Windows. This may include physical memory of other processes, the kernel, and in case of kernel-sharing sand-box solutions (e.g., Docker, LXC) or Xen in paravirtualization mode, memory of the kernel (or hypervisor), and other co-located instances

Edit2: aus dem Spectre-Paper

Experiments were performed on multiple x86 processor architectures, including Intel Ivy Bridge (i7-3630QM), Intel Haswell (i7-4650U), Intel Skylake (unspecified Xeon on Google Cloud), and AMD Ryzen. The Spectre vulnerability was observed on all of these CPUs. Similar results were observed on both 32- and 64-bit modes, and both Linux and Windows.
 
Zuletzt bearbeitet:
Ich bin zwar kein BWLer, aber mit Updates für schon verkaufte Geräte macht man doch keine Kohle mehr. Ich würde sagen die sollen sich lieber alle ein neues Gerät kaufen, oder zwei. Das ist doch eine Win-Situation für alle.
 
Es ist ja nicht nur so dass die Hersteller keine Updates anbieten sondern auch noch das aufspielen von fremden Roms verhindern.
Fragt sich also ob man hier nicht eine Haftung konstruieren kann

Edit: oder schlimmeres, das verhindern aktueller aber fremder Roms geschieht ja vorsätzlich
 
Bei gibts eine Liste an Prozessoren, die von den verschiedenen Varianten betroffen sind.

Wenn man weiß, welchen das Smartphone einsetzt, kann man schauen, ob man betroffen ist. Raspberries sind übrigens nicht betroffen laut aktuellem Stand (mein Smartphone auch nicht :D ).

Edit: FireTV Version 2 (2015) müsste betroffen sein durch 2x ARM Cortex A72. Die anderen Versionen verwenden andere Prozessoren.
 
Bei meinem One+ One ist nicht schwer herauszufinden, dass ein Qualcomm Snapdragon 801 drin steckt - aber auf welchem ARM basiert dieser jetzt? :unknown:
 
Ich lese das so, dass es nicht der gleiche Prozessor ist, aber darauf "basiert". Würde also damit rechnen, dass er die gleichen Sicherheitslücken hat.
 
Laut der Liste von ARM sind auch Redmi 4 Geräte nicht betroffen. Und damit vermutlich keine oder kaum Xiaomis.

Also brauch ich keinen Patch für mein Handy. Best case.
 
Und eine allgemein Übersicht bei bzgl. Browser.
Danke für den Tipp
Als Reaktion auf die schwerwiegende Prozesor-Sicherheitslücke, für die es bereits Angriffsszenarien gibt, haben nun Google und Mozilla für ihre Browser erste Gegenmaßnahmen angekündigt. Nutzern von Chromium (und damit Chrome) wird geraten, die Option "Website-Isolierung" zu aktivieren. Dazu muss man chrome://flags/#enable-site-per-process in die Adressleiste eingeben und hinter "Strict site isolation" auf den Button "Aktivieren" klicken. Ist diese Option aktiv, rendert Chrome den Inhalt jeder geöffneten Website in einem eigenen Prozess, was es Angreifern erschweren soll, das Sicherheitsproblem auszunutzen.
 
Zurück
Oben