Was die Prozessor-Sicherheitslücken für die User bedeuten

Die kürzlich entdeckten Sicherheitslücken haben weitreichende Folgen, schließlich sind nahezu alle namhaften CPU-Hersteller betroffen. Doch was bedeutet das für den Endkonsumenten und wie kann man reagieren, wenn man über ein betroffenes Modell verfügt? Die futurezone hat die wichtigsten Fragen und Antworten zusammengetragen.

„Meltdown“ und „Spectre“ sind Sicherheitslücken, die nahezu alle modernen CPUs der Hersteller Intel, AMD und ARM bedrohen. Sie wurden von Sicherheitsforschern von Google, der TU Graz, der Unternehmen Rambus und Cyberus sowie der Universitäten Pennsylvania, Maryland und Adelaide entdeckt.

Die wohl schwerwiegendste Lücke stellt „Meltdown“ dar. Dazu machen sich die Sicherheitsforscher Intels aggressiven Umgang mit der virtuellen Speicherverwaltung zunutze. Eigentlich sollen Kernel-Prozesse durch das zufällige Zuordnen von virtuellen Speicheradressen geschützt werden – dieser Prozess ist als sogenanntes "kernel address space layout randomization" (KASLR) bekannt. Doch bei „Meltdown“ können auch andere Prozesse, die eigentlich über keine Berechtigung verfügen, den geschützten Speicherbereich laden und so auf sensible Daten auf Kernel-Ebene zugreifen.

Diese Sicherheitslücke ist vor allem für Cloud-Computing-Dienste sowie Virtualisierungssoftware (Software, mit der ein Computer in einer Sandbox emuliert werden kann) problematisch. So könnten Angreifer heikle Daten auf Cloud-Computing-Diensten abgreifen. Zahlreiche große Unternehmen setzen Cloud-Computing-Dienste zum Hosting ihrer Dienste ein. Eine Lösung für das Problem wurde mit der sogenannten Kernel Page-Table Isolation (KPTI) gefunden, bei der die Seitentabellen mit den virtuellen Speicheradressen nach Kernel- und Nutzer-Prozessen getrennt werden. Dadurch werden die Prozessoren aber auch erheblich verlangsamt.

„Spectre“ ist ähnlich aufgebaut, betrifft aber auch AMD-Prozessoren und ist schwerer auszunutzen. Hierbei wird das sogenannte „speculative execution“-Verfahren ausgenutzt. Dabei führt ein Prozessor bestimmte Operationen „spekulativ“ im Vorhinein aus, weil dieser erwartet, dass diese bald benötigt werden könnten. Eigentlich sollten fälschlich ausgeführte Befehle rasch wieder rückgängig gemacht werden und der geschützte Speicher unberührt bleiben. Doch die Sicherheitsforscher haben eine Möglichkeit gefunden, dabei über eine „side channel attack“ geschützten Speicher abzurufen. So könnte ein Angreifer mithilfe von JavaScript Passwörter im Browser auslesen, obwohl diese Informationen eigentlich in einem geschützten Speicherbereich liegen.

Im Gegensatz zu „Meltdown“ lässt sich dieses Problem nicht auf Betriebssystem-Ebene beheben, sondern muss von den Entwicklern der Software geschlossen werden. Daher rechnen auch die Sicherheitsforscher damit, dass uns „Spectre“ noch lange Zeit beschäftigen wird.

Am schwersten ist wohl CPU-Marktführer Intel betroffen: Nahezu alle Modelle seit 1995, mit Ausnahme des Intel Itanium sowie Intel Atom-Modellen vor 2013 (ab Bay Trail gab es auch „Out-of-order execution“), sind möglicherweise von „Meltdown“ betroffen. Mit Sicherheit betroffen sind alle Intel-CPUs ab 2011 (Sandy-Bridge-Generation, erkennbar an einer mit der Zahl 2 beginnenden Modellnummer). Die Modelle von AMD können vorerst nicht mit „Meltdown“ angegriffen werden. Allerdings räumen die Sicherheitsforscher ein, dass man durchaus noch einen Weg finden könnte, „Out-of-order execution“ bei den CPUs des Intel-Konkurrenten auszunutzen. AMD gibt aber selbst in einer Stellungnahme an, dass „null Gefahr besteht, da die AMD-Architektur grundlegend anders sei“.

Vor „Spectre“ ist aber niemand gefeit: Sowohl Intel als auch AMD und ARM sind von der Sicherheitslücke betroffen. Hier ist allerdings das Ausmaß derzeit unklar. Den Sicherheitsforschern gelang der Angriff mit einem Intel Xeon der Haswell-Generation, aber auch AMDs FX und Pro. Es sollen aber auch AMDs Ryzen-Chips betroffen sein. AMD selbst versucht in einer öffentlichen Mitteilung zu beschwichtigen: Der erste Angriffsvektor werde durch Softwareupdates behoben und beim zweiten Angriffsvektor bestehe „nahezu null Risiko“, da die CPU-Architektur grundlegend anders sei. Zudem konnte man die Lücke bislang noch nicht auf AMD-Modellen ausnutzen.

Chip-Designer ARMhat eine Liste aller betroffenen Modelle veröffentlicht. Im Gegensatz zu Intel und AMD produziert ARM selbst keine Chips, sondern lizenziert lediglich Chip-Designs an Dritthersteller. Besonders kritisch: Neben den meist in Smartphones, Tablets und Smartwatches verwendeten Cortex-Kernen sind auch Cortex-R-Modelle betroffen. Diese finden üblicherweise in kritischen Bereichen, beispielsweise der Medizintechnik und Robotik, aber auch für Modems und Festplatten-Controller Anwendung. Laut ARM sei es deutlich schwerer, die Sicherheitslücken auf derartigen Geräten auszunutzen, doch die Gefahren sind trotz des hohen Aufwandes deutlich höher.

Derzeit sind keine Fälle bekannt, nach Bekanntwerden des „Proof of Concept“ dürfte es aber nur eine Frage der Zeit sein, bis Angreifer diese Methode nutzen. Daher raten Sicherheitsforscher, die Software möglichst aktuell zu halten und Schutzmaßnahmen, wie Antivirensoftware, einzurichten. Dadurch, dass bei den Lücken jeweils drei Forscherteams unabhängig voneinander draufgekommen sind, könnte das auch darauf hindeuten, dass die Lücken von Kriminellen "mit hohem Budget" bereits bekannt war, wie das österreichische Cert.at-Team der futurezone mitgeteilt hat. "Aufgrund der Struktur von Spectre und Meltdown lässt sich das in den Logfiles nicht nachweisen, es ist aber nicht auszuschließen", so Cert.at, die mittlerweile auch einen Blogeintrag dazu veröffentlicht haben.

Derzeit nur per Update. Sowohl für Microsofts Windows als auch für Apples macOS und Linux gibt es bereits entsprechende Sicherheits-Updates, die zumindest „Meltdown“ schließen. Auch unter Android wurde mit dem aktuellen Jänner-Sicherheits-Update (Patch Level: 5. Jänner) die Lücke geschlossen. Dieses hat aber bislang nur Nutzer von Googles Nexus- und Pixel-Geräten erreicht, andere Hersteller müssen erst entsprechende Updates veröffentlichen. Einige Cloud-Computing-Plattformen, unter anderem Amazons Web Services, Googles Cloud Platform sowie Microsofts Azure, sind ebenfalls gerade damit beschäftigt, die Lücke zu schließen.

Wer unter Windows 10 bereits das sogenannte Fall Creator Update (Version 1709) installiert hat, muss das Update KB4056892 installieren, um vor „Meltdown“ sicher zu sein. Nutzer des Creator Updates müssen KB4056891 installieren. Um zu überprüfen, ob die notwendigen Updates installiert wurden, muss der Nutzer lediglich den Befehl „winver“ im Startmenü eingeben und Enter drücken. Die Build-Version sollte zumindest 15063.850 (Creators Update) oder 16299.192 (Fall Creators Update) betragen. Windows 7 und Windows 8(.1) erhalten im Laufe des Dienstags ein entsprechendes Update.

Unter macOS wurde mit Version 10.13.2 das Problem behoben. Das Update wurde bereits am 6. Dezember an High-Sierra-Nutzer ausgeliefert. Vor „Spectre“ gibt es aktuell keinen verlässlichen Schutz. Sicherheitsforscher raten jedoch, im Browser „Site Isolation“ zu aktivieren, sodass Angreifer keine Passwörter im Browser auslesen können.

Inwieweit Apples iOS von der Lücke betroffen ist, ist unklar. Auch Apples Chips setzen auf ARM-Design und wären somit zumindest für „Meltdown“ und „Spectre“ anfällig.Die betroffenen ARM-Chip-Designskommen bei iPhone 4 bis iPhone 5c, den ersten drei Generationen des iPads, Apple TV (zweite und dritte Generation) sowie dem iPod Touch der vierten und fünften Generation zum Einsatz.

All diese Geräte werden zumindest von Apple selbst nicht mehr verkauft, ein Update ist für ältere Modelle eher unwahrscheinlich. Ob sich die Sicherheitslücke aber überhaupt unter iOS ausnutzen lässt, ist unklar. Laut AppleInsider müsste ein Gerät über einen „Jailbreak“ verfügen, sodass der Nutzer Apps außerhalb des App Stores installieren kann, um theoretisch überhaupt in Gefahr zu sein.

Ratschläge für Unternehmen

Unternehmen rät das Team von Cert.at, nicht von den "üblichen Patch-Prozessen" abzuweichen und gegebenenfalls bei den Herstellern nach entsprechenden Patches fragen. "Keine Panik", rät Cert.at. "Man sollte zuerst evaluieren, wie hoch das Risiko ist und was für Probleme beim Patchen auftreten könnten. Hier gilt die Regel: Immer vorher testen und dann entscheiden, was die richtige Lösung ist", heißt es seitens CERT.at. "Diese Arbeit können wir Unternehmen nicht abnehmen."

Das US-CERT hatte in seiner Sicherheitsempfehlung den Ratschlag "CPU tauschen" herausgegeben. Hierzu das lokale CERT.at-Team: "Es ist immer eine Frage, ob man alles erwischt, wenn man ein Hardware-Problem mit Software zu patchen versucht. Bei Spectre wird es sich erst weisen, wie die konkrete Problemlösung aussehen wird."

Vielleicht. Der durchschnittliche PC-Nutzer wird von den Anpassungen kaum etwas bemerken, doch in einigen spezifischen Szenarien können die Performanceverluste signifikant ausfallen. Linux-Entwickler rechnen durch das Aktivieren von Kernel Page-Table Isolation (KPTI) mit Performance-Einbußen zwischen fünf und 50 Prozent. Das ist ein durchaus schmerzhafter Wert, allerdings muss man diese Zahlen auch in Kontext setzen. Denn Einbußen in diesem Ausmaß sind lediglich bei CPU-lastigen Aufgaben spürbar – Gaming ist damit kaum davon betroffen, auch einfache Alltagsaufgaben, wie Surfen im Internet, Verfassen von E-Mails oder das Erstellen einer Powerpoint-Präsentation, werden dadurch kaum langsamer ausgeführt. Nur bei Aufgaben, die den Kernel erfordern, beispielsweise beim Kopieren oder Bearbeiten von großen Datenmengen, dürfte es zu Problemen kommen.

Die deutsche News-Plattform ComputerBase hat Benchmarks mit mehreren Intel-Prozessoren durchgeführt und konnte dabei kaum Leistungseinbußen messen. So fielen die Ergebnisse nach einem Update auf Windows-10-Version 17063 nahezu ident zu früheren Versionen aus. Auch bei Spielen gab es nahezu keine Veränderungen. Meist lagen die Verluste im niedrigen einstelligen Prozentbereich. Lediglich bei einem SSD-Benchmark gab es signifikant niedrigere Werte, doch laut ComputerBase muss das nicht im Zusammenhang mit dem Security-Update stehen. News-Plattform Phoronix stellte ebenfalls keine Performance-Verluste beim Gaming unter Linux fest.

Microsoft gab bei der Veröffentlichung eines Updates bekannt, dass Intel-Prozessoren der Skylake-Generation (ab Ende 2015 verkaufte Modelle – erkennbar an der Zahl 6 zu Beginn der Modellnummer) „keine signifikanten Performance-Einbußen erleiden werden“. Das dürfte daran liegen, dass diese Modelle bereits das Intel-eigenen „process-context identifier“ (PCID) unterstützen, die den Wechsel zwischen Seitentabellen spürbar beschleunigen und die Performance-Verluste so ausgleichen. Bei Modellen früherer Generationen könnte sich das Update aber durchaus bemerkbar machen.