Sicherheitslücke im Prozessor-Design. Am Ende der Woche wird deutlich wie groß das Problem mit einer Sicherheitslücke im Prozessor-Design moderner Prozessoren der vergangenen zwanzig Jahre von Intel aber auch neueren Chips von AMD und ARM ist.
Meltdown und Spectre nutzen kritische Schwachstellen in modernen Prozessoren aus. Diese Hardwarefehler ermöglichen es Programmen, Daten zu stehlen, die gerade auf dem Computer verarbeitet werden. Normalerweise ist Programmen nicht erlaubt, Daten von anderen Programmen zu lesen. Aber durch sogenanntes speculative execution lesen Prozessoren mehr Daten ein, als tatsächlich benötigt. Und auf eben diese Daten kann von bösartigen Programmen zugegriffen werden.
Wer ist betroffen?
Angreifbar sind alle moderneren Computer. Auch Smartphones. Sowie Cloud-Anwendungen. Apple bestätigt, alle Macs und iOS-Geräte sind betroffen:
Security researchers have recently uncovered security issues known by two names, Meltdown and Spectre. These issues apply to all modern processors and affect nearly all computing devices and operating systems. All Mac systems and iOS devices are affected, but there are no known exploits impacting customers at this time. Since exploiting many of these issues requires a malicious app to be loaded on your Mac or iOS device, we recommend downloading software only from trusted sources such as the App Store. Apple has already released mitigations in iOS 11.2, macOS 10.13.2, and tvOS 11.2 to help defend against Meltdown. Apple Watch is not affected by Meltdown. In the coming days we plan to release mitigations in Safari to help defend against Spectre. We continue to develop and test further mitigations for these issues and will release them in upcoming updates of iOS, macOS, tvOS, and watchOS.
[ About speculative execution vulnerabilities in ARM-based and Intel CPUs ]
Apple Watch ist nicht von Meltdown wohl aber von Spectre betroffen.
iOS 11.2, macOS 10.13.2 und tvOS 11.2 sichern bereits seit Anfang Dezember gegen mögliche Folgen. Weitere Updates sollen aber noch folgen. Zudem soll Safari in einem Update gegen Spectre gesichert werden.
Sonderrolle von Intel
Intel nimmt eine Sonderrolle ein. Denn der Hersteller beschwichtigte zunächst und spricht von einem Bug – nicht von einem Design-Fehler, der möglicherweise einen teuren Rückruf von Millionen von CPUs und Server-Systemen nötig machen lässt.
Sollte sich bewahrheiten, dass Server-Systeme im Cloud-Computing um bis zu 30 Prozent langsamer werden, dann hätte dies Folgen für alle Rechenzentren etwa bei Amazon, Apple und anderen. Serverfarmen benötigen dann 30 Prozent mehr Energie. Zudem sind Neuanschaffungen nötig.
Auf Intel könnten hohe Schadenersatzforderungen zukommen. Sehr hohe.
Der Intel CEO Brian Krzanich verkaufte vorsorglich schon mal alle seine Intel-Aktien, die er Ende November verkaufen durfte. 245.743 Stück zum Kurs von fast 11 Millionen US-Dollar [ fool.com ].
Wie wurde speculative execution vulnerabilities entdeckt
Im Mai 2017 entdecken Programmierer an der TU Graz den möglichen Angriffsvektor Meltdown. Sie berichteten bei der Hackerkonferenz Black Hat in Las Vegas (22-27.7) [ Moritz Lipp ].
In Juni 2017 dokumentiert Jann Horn für Google Project Zero einen möglichen Angriff mittels Spectre. Die Hersteller Intel, ARM und AMD wurden informiert [ googleprojectzero.blogspot.de ].
theregister.co.uk: Kernel-memory-leaking Intel processor design flaw forces Linux, Windows redesign.
Die Sicherheitslücke ist massiv und bietet Hackern bisher ungeahnte Möglichkeiten. Leichte Beute – low hanging fruit – sind dabei Rechenzentren mit Cloud-Daten. Für die Branche jedenfalls ist der Meltdown Attack so etwas wie eine Kernschmelze. Intel dürfte Federn lassen durch zu erwartende Sammelklagen. Apple steigt eventuell um auf eigenen CPUs für die Macs.
Auf jeden Fall kommen eine Reihe von Updates für Windows, Linux, Raspberry Pi und Android sowie Macintosh und iOS.
< update />
Oliver P. Bayer hat eine Bohrschablone entwickelt, mit der Anwender fehlerhafte Prozessoren selbst und schnell reparieren können [ @kreon_nrw ].