Meltdown und Spectre Kernschmelze der CPU-Sicherheit

Die beiden Sicherheitslücken Meltdown und Spectre haben die IT-Welt in Aufruhr versetzt. Bislang sind zwar keine konkreten Fälle nachgewiesen, bei denen die Schwachstellen außerhalb der forschenden Community ausgenutzt wurden, aber die bekannt gewordenen CPU-Sicherheitslücken verunsichern eine ganze Branche. So wie es aussieht, ist ein Praxisnachweis nämlich gar nicht möglich.

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

FTAPI Software GmbH

ESET Deutschland GmbH

Jetzt hat die Cyberbedrohung auch das Herzstück von IT-Systemen erfasst: die Prozessoren. Eine Sicherheitslücke in Prozessoren führt dazu, dass im Rahmen einer „Out-of-order execution“ der Prozessor den Inhalt einer Speicherzelle ausliest und weiterverarbeitet, obwohl der aufrufende Prozess für diesen Speicherabschnitt keine Rechte hat.

Diese Schwachstelle könnte ausgenutzt werden, um Daten „abzugreifen“ – sei es durch private Hacker, Kriminelle oder staatliche Geheimdienste. Eine Out-of-order execution bezeichnet die Möglichkeit, Befehle in einer anderen Reihenfolge auszuführen, als sie eigentlich via Programmcode vorgesehen sind, was zu Performance-Vorteilen führt. (Und zu Security-Nachteilen, wie man jetzt weiß.)

Praxisnachweis schwierig

Erst hieß es, „nur“ Intel-Prozessoren seien betroffen, dann rückten auch AMD- und ARM-Prozessoren in den Fokus. Inwieweit AMD-CPUs betroffen sind, wird von Intel und AMD derzeit noch unterschiedlich eingeschätzt. Auch inwieweit ARM-CPUs betroffen sind, wird noch kontrovers diskutiert. Klar ist hingegen, dass auch Apple-Devices – vom Mac-Computer bis zu iPhones und iPads – von der Sicherheitslücke betroffen sind. Der US-Konzern betont aber, dass bisher keine Schadsoftware bekannt ist, die die Schwachstelle ausnutzt. Diesen Punkt haben aber alle betroffenen Hersteller – also im Grunde genommen die gesamte CPU-Branche – gemein.

Werden keine Spuren hinterlassen?

Bislang ist die Schwachstelle eine theoretische. Aber: Die Ausnutzung der Sicherheitslücke hinterlässt nach jetzigem Stand der Dinge zumindest in herkömmlichen Logs keine Spuren, was einen Praxisnachweis unmöglich machen würde. Gefunden hat die klaffende Sicherheitslücke eine zehnköpfige Forschergruppe, bei der unter anderem Forscher der TU Graz beteiligt waren. Die gemeinsam publizierten Paper zu Meltdown und Spectre sorgen in IT-Sicherheitskreisen für Furore. Dabei handelt es sich um zwei Angriffsmethoden. Während „Meltdown“ bislang nur bei Intel-Chips durchgeführt werden konnte, soll „Spectre“ auch auf anderen CPUs ausgeführt werden können.

Einschätzung ESET

Thomas Uhlemann, Security Specialist bei ESET, erklärt, für wen die Schwachstelle besonders gefährlich ist: „Da es sich um einen Kernel-Exploit handelt, betrifft die Sicherheitslücke alle Geräte, unabhängig vom Betriebssystem. Zeitnah sollten Updates und Patches für Windows, MacOS, Linux und Android genutzt werden, um PC und Co. ausreichend zu schützen.“ Die Bedrohung sei zudem vor allem für Server, Smartphones und IoT-Geräte wie Router von größerer Bedeutung. Entgegen vieler alarmistischer Stimmen wägt Uhlemann ab: „Ein Szenario mit umfassenden Angriffen auf die Prozessoren ist aber nicht zu erwarten, denn die dafür nötigen Voraussetzungen zu schaffen wäre für Cyberkriminelle sehr kompliziert und zeitaufwendig.“

DsiN sieht Gefahr für Unternehmen

Dr. Michael Littger, Geschäftsführer des Verein Deutschland sicher im Netz (DsiN) erklärt zu den Schwachstellen: „Aus unserer Sicht können vor allem Unternehmen ins Visier von Angreifern geraten. Über das Angriffsszenario namens Spectre könnten Programme ausgespäht werden, ohne dass dies bislang durch Software-Updates verhindert werden kann. Allerdings ist diese Vorgehensweise relativ aufwändig, so dass diese eher als gezielte Angriffe gegen Unternehmen zu erwarten sind.“ DsiN empfiehlt in jedem Fall allen Anwendern, auf aktuelle Updates ihrer Betriebssysteme zu achten und diese einzuspielen, sobald sie von Herstellern bereitgestellt werden.

Sicherheitsmaßnahmen

Die Schwachstelle wurde bereits im Sommer vergangenen Jahres entdeckt und von den Forschern großen IT-Akteuren gemeldet. Die großen Cloud-Anbieter Google, Microsoft und Amazon geben an, ihre Cloud-Services daraufhin abgesichert zu haben. Wegen der womöglich unmöglichen Nachweisbarkeit von Angriffen auf Endgeräten durch Hacker oder Geheimdienste ist dennoch angebracht, sich zu schützen. Von Microsoft wird es einen Notfall-Patch geben, der entweder automatisch beim Rechnerneustart installiert wird, oder bei Windows-10-Rechnern manuell über „Start“ > „Einstellungen“ > „Updates und Sicherheit“ > „Windows Update“ angestoßen werden kann.

(ID:45074736)