Hardware-Bug "Rowhammer" sorgt für große Unsicherheit

IT-Abteilungen in aller Welt sind momentan mit einem Problem konfrontiert, dessen Folgen derzeit noch gar nicht richtig abgeschätzt werden können. Moderne DRAM-Chips, der Arbeitsspeicher von PCs, Laptops und Servern, weisen offenbar eine Schwäche auf, die "Rowhammer"-Bug genannt wird. Durch diese Schwachstelle könnte sich ein Angreifer sämtliche Zugriffsrechte auf den physischen Speicher verschaffen. Die Möglichkeiten zur Manipulation eines Computers sind dadurch vielfältig.

Wie Rowhammer genau funktioniert, ist schwierig zu vermitteln. Details dazu stellen auch für IT-Profis eine große Herausforderung dar. Selbst Google, dessen Bastlerabteilung Project Zero sich des Problems angenommen hat, kann derzeit nur begrenzt sichere Aussagen dazu treffen.

Schloss zerstören statt Schlüssel finden

Im Prinzip funktioniert Rowhammer so: Durch beständige Abfrage einer Reihe von Speicherbausteinen im Arbeitsspeicher kann es dazu kommen, dass die Speicherwerte (0 oder 1) in einer benachbarten Reihe verändert werden. Das nennt man "Bit-Flip". Handelt es sich bei den Werten in der benachbarten Reihe etwa um Zugriffsberechtigungen, so können diese verändert werden.

Der Angreifer modifiziert also quasi das Schloss, anstatt den richtigen Schlüssel zu finden. Um sicherzugehen, dass das Schloss auch gründlich manipuliert wird, kann auch ein sogenanner "Double-Rowhammer" eingesetzt werden. Dabei wird eine Speicherreihe quasi beidseitig in die Zange genommen.

Problem Miniaturisierung

Möglich wird diese Angriffsstrategie durch die fortschreitende Miniaturisierung von Speicherbausteinen. Die enge Bauweise in modernen DRAM-Chips drängt Speicherreihen so dicht aneinander, dass es zu Bit-Flips kommen kann - selbst im normalen Betrieb. Einige DRAM-Chips haben eigene Mechanismen eingebaut, um solche Speicherfehler zu korrigieren. Andere Chips jedoch nicht.

Welche Chips nun genau von dem Problem betroffen sind, das versuchen IT-Sicherheitsforscher derzeit herauszufinden. Wie Google in den Ergebnissen einer Testreihe mit DRAMs verschiedener Hersteller und mit verschiedenen Architekturen zeigt, ist derzeit kein eindeutiges Muster an potentiellen Opfern erkennbar. Die Hersteller von DRAM-Chips sind sich unterdessen noch uneins darüber, ob es sich bei Rowhammer um ein Zuverlässigkeitsproblem handelt, oder um eine Sicherheitslücke.

Betreiber sollten Server testen

"Vor allem Virtualisierungsdienstleister sollten sich mit Rowhammer auseinandersetzen", meint Aaron Kaplan vom Computer Emergency Response Team Austria (CERT.at). Sie bieten virtuelle Server an, die Kunden mieten können. Oftmals werden diese Server etwa von Cloud-Anbietern gemietet. Durch Rowhammer könnte es dazu kommen, dass Angreifer aus der virtuellen Serverumgebung ausbrechen können und den Server dahinter manipulieren können.

Würde solch ein Angriff gelingen, wären plötzlich nicht nur IT-Unternehmen von Rowhammer betroffen, sondern auch Privatpersonen, die ihre Daten in der Cloud speichern. "Man sollte lieber gleich als Anbieter testen, ob die eigenen Systeme verwundbar sind oder nicht", meint Kaplan. "Der Code ist veröffentlicht, jeder kann ausprobieren, ob die eigenen Server davon betroffen sind."

Für einige DRAM-Chips sind bereits Firmwareupdates entwickelt worden, um die Rowhammer-Problematik in den Griff zu bekommen. Andere Chips bleiben vorerst weiterhin manipulierbar. "Die Angelegenheit ist schwierig. Das Ganze ist nicht so leicht erklärbar wie etwa Heartbleed. Es handelt sich da genau um die Schnittstelle zwischen Hard- und Software. Das ist nicht leicht fassbar", meint Kaplan.

Ermittlungsstand wird mitgeteilt

Der deutsche Server-Anbieter Hetzner hat versucht, einen zuvor geglückten Rowhammer-Angriff auf einem seiner Server zu reproduzieren und ist daran gescheitert. "Da nach aktuellem Kenntnisstand sehr viele ungünstige Faktoren vorhanden sein müssen, um diese Problematik auszunutzen, ist momentan von keinem akuten Risko für unsere Kunden auszugehen", lautet eine Stellungnahme von Hetzner dazu.

"Unsere Techniker führen weitere Tests durch und stehen mit den Mainboardherstellern in Kontakt". Über den Fortschritt der Ermittlungen wolle man Kunden auf der Unternehmenswebseite informieren.