Meltdown und Spectre: Prozessorlücke trifft nicht nur Intel

Aus den Sicherheitslücken Meltdown und Spectre ergeben sich über ein Dutzend Angriffsmöglichkeiten. Vor allem Intel, aber auch andere CPU-Hersteller sind betroffen.

Meltdown und Spectre: Designfehler ermöglicht Sicherheitslücke

Bereits seit 10 Jahren existiert in Intel-Prozessoren ein schwerer Designfehler. Windows-Entwickler sowie Linux-Kernel-Programmierer arbeiten mit Hochdruck an Updates für die beiden Betriebssysteme. Patches für Linux stehen schon bereit, Microsoft verteilt ebenfalls Patches.

Die Sicherheitslücke spendiert Angreifern wie Malware oder Hackern Zugang zu sensiblen Nutzerdaten, beispielsweise auf Passwörter. Cloud-Computing-Lösungen, darunter Amazons AWS, Microsofts Azure oder Googles Compute Engine, sind besonders betroffen. Amazon warnt seine Nutzer in einer E-Mail und kündigte bereits ein Sicherheitsupdate an.

Meltdown und Spectre: Was ist geschehen?

Die Sicherheitslücken Meltdown und Spectre erlauben das Auslesen des Speichers, auf die der User-Prozess erst gar nicht zugreifen können dürfte. Man spricht vom Bruch der Memory Isolation. Moderne Out-of-Order-Prozessoren tun, was ihr Name bereits vorgibt: sie agieren „out of order“ („außer Betrieb“). Das bedeutet:

Die Prozessoren führen spekulativ einige Befehle aus, die beispielsweise Translation Lookaside Buffer (TLBs) aktualisieren, die für die Adressberechnung notwendig sind oder die eventuell benötigte Daten in Caches laden. Warum das geschieht? Um Performancevorteile zu sichern – dafür ist Out-of-Order ideal. So werden also Befehle ausgeführt, die im realen Programmfluss möglicherweise eben doch nicht ausgeführt werden müssen.

Und genau da liegt das Problem: Hier werden Tür und Tor für etliche Angriffsszenarien geöffnet. Die Forscher, die die Sicherheitslücken Meltdown und Spectre entdeckt haben, sorgen in ihren Angriffsszenarien dafür, dass das Spekulieren bei bestimmten Befehlen grundsätzlich schiefgeht. So erhöht sich die Zeit, die der Prozessor benötigt, um die fehlerhafte Spekulation zu erkennen. In dieser Zeit können Folgebefehle „transient“ (also als Puffer) ausgeführt werden. Diese transienten Befehle werden ausschließlich spekulativ mit internen Registern, nie aber mit Architekturregistern ausgeführt.

Wie genau Meltdown und Spectre ausgenutzt werden können, erklärt Heise in diesem umfassenden Beitrag.

Intel nimmt Stellung

Intel war der erste CPU-Hersteller, der zu den Berichten über Meltdown und Spectre Stellung nahm. Klarheit schaffte der CPU-Hersteller damit jedoch nicht. Worin die Lücke genau besteht und welche Auswirkungen sie haben kann, darüber lässt Intel in der Stellungnahme leider im Unklaren. Jedoch erklärt der Prozessorhersteller, dass die Lücke das Potenzial habe, dass Angreifer sensible Daten auf den Systemen abgreifen können. Bei Intel gehe man jedoch nicht davon aus, dass die Lücke das Korrumpieren, Manipulieren oder Löschen der Daten erlaube.

Intel betont, dass nicht nur die hauseigenen CPUs betroffen seien. Das Leck könne auf vielen Systemen mit verschiedenen Prozessoren und Betriebssystemen ausgenutzt werden, heißt es in der Stellungnahme. Damit das Problem allgemein gelöst werden könne, arbeite Intel mit anderen CPU-Herstellern wie AMD und ARM zusammen.

Auch Google hat etwas zu sagen

Neben Intel sah sich auch Google zur Aufklärung veranlasst. Der Suchmaschinenriese bläst ins selbe Horn und erklärt, dass nicht nur die CPUs von Intel, sondern auch die von AMD und ARM betroffen wären. Auch Android-Systeme seien gefährdet, jedoch mit dem Security-Update vom 02. Januar geschützt.

Google aktualisierte bereits die hauseigenen Systeme und betroffenen Produkte. Um die Systeme sowie die User umfassend zu schützen, habe der Konzern mit weiteren Hardware- und Software-Herstellern zusammengearbeitet. In seinem Blogbeitrag gibt Google detaillierte Hinweise zum Status einzelner Services und Produkte sowie dazu, ob der User aktiv werden muss, um sich vor dem Ausnutzen der Lücke zu schützen.

Neben Google haben auch Microsoft und Amazon damit begonnen, die hauseigenen Cloud-Dienste durch Updates abzusichern. Microsoft hat bereits ein Security-Update für Windows veröffentlicht. Auch Apple hat bereits nachgezogen. In der Zwischenzeit hat auch Googles Projekt Zero Details zu der Sicherheitslücke und deren Auswirkungen veröffentlicht. Die Sicherheitsforscher verweisen darin auf die beiden Angriffsszenarien, die Meltdown und Spectre getauft wurden.

AMD erklärt eingeschränkte Verwundbarkeit

Auch AMD hat sich mittlerweile zu einer Stellungnahme hinreißen lassen. Der CPU-Hersteller erklärt, dass eigene Prozessoren nach bisherigen Untersuchungen nur in einem Fall nach den in Googles Project Zero beschriebenen Angriffsvarianten betroffen wären (Variant One, Bounds Check Bypass).

Für die zweite Variante (Branch Target Injection) sieht AMD aufgrund der unterschiedlichen Architektur keinerlei Gefahr, dass die Lücke ausgenutzt werden könnte. Aufgrund der Architekturunterschiede könne Variante 3 (Rogua Data Cache Load) keinesfalls ausgenutzt werden.

Für den normalen User ist die Situation aktuell sehr undurchsichtig. Die Lücke wird als sehr gravierend eingeschätzt und sämtliche Hersteller bemühen sich um schnelle Lösungen. Googles Analysen jedenfalls zeigen, dass man lokal Code ausführen können muss, um einen Angriff zu starten. Welche Auswirkungen die Lücke tatsächlich hat und wie sich die Gegenmaßnahmen auswirken, muss sich erst noch zeigen.

Microsoft-Updates bringen Probleme

Microsoft hat bereits ein Windows-Update herausgegeben. Leider kommen nicht alle Windows-User in den Genuss: Es zeigen sich einige Probleme mit diversen Antivirus-Produkten. Laut Microsoft ist jene AV-Software betroffen, die nicht unterstützte Aufrufe in den Windows-Kernelspeicher macht. Microsoft warnt davor, das Update zu installieren, solange User nicht kompatible AV-Software einsetzen. Einige Hersteller, darunter Avast und Kaspersky, reagieren bereits mit entsprechenden Updates.

Neben Updates sind für Windows Server gegebenenfalls noch Zusatzmaßnahmen erforderlich. In seinem Support-Dokument „Windows Server guidance to protect against speculative execution side-channel vulnerabilities“ beschreibt der Software-Riese notwendige Änderungen an der Registry. Microsoft warnt zudem davor, dass weitere Prozessor-Microcode-Updates nötig werden. Die beschriebenen Fixes können darüber hinaus Performance-Einbußen zur Folge haben; dies sei jedoch stark von der Server-Anwendung und dem Workload abhängig.

Leistungen sollen sich kaum unterscheiden

Intel möchte schnellstmöglich rund 90 % aller Prozessoren mit Patches ausgestattet haben, die in den vergangenen fünf Jahren auf den Markt kamen. Der Einfluss auf die Leistung aktualisierter Systeme hänge laut Intel stark von der jeweiligen Rechenlast ab. Der durchschnittliche Computernutzer werde kaum einen Unterschied spüren, heißt es. Mit weiteren Updates sollen sich im Laufe der Zeit die Leistungseinbußen weiter verringern.

Auch Googles Project-Zero-Team vertritt diese Meinung. Der Konzern hat unter dem Namen Retpoline eine binäre Modifikationstechnik entwickelt, die gegen den Spectre-Teil Branch Target Injection schützt. Erste Tests bestätigen, dass das Update mit minimalen Leistungseinbußen einhergeht.

Für Linux wurden bereits diverse Kernel-Page-Table-Isolation-Patches (KPTI) veröffentlicht, die Meltdown und Spectre verhindern sollen. Die NVIDIA-Karten Geforce 1060 sowie GTX 1080 Ti mit Kernel-Version 4.14.11 und AMD Vega 64 mit Kernel-Version 4.15 funktionieren wohl ohne spürbare Leistungseinbußen. Lediglich bei starken Input-Output-Lasten mit aktivierter KPTI gab es messbare Unterschiede.

Performance-Einbußen führen zu Klagen

Dass, wie Intel behauptet, durchschnittliche Computer-User kaum Performance-Einbußen spüren würden, sehen einige Nutzer anders: Bereits in drei US-Staaten wurden Klagen eingereicht, unter anderem wegen den Performance-Einbußen. Die Kläger werfen Intel die Sicherheitslücke selbst vor, aber auch die viel zu späte Information der Öffentlichkeit. Man möchte den Status der Sammelklage erreichen.

Die Klagen zielen ausdrücklich auf die durch die Patches entstandenen Leistungseinbußen ab. Die Kunden hätten in der Folge spürbare Nachteile erlitten. Intel und die Anwender haben stark abweichende Meinungen: Der Gaming-Anbieter Epic Games veröffentlichte Zahlen, nach denen die Performance um sagenhafte 20 % eingebrochen sei.

AMD-Anwender müssen sich mit weiteren Problemen herumschlagen. Nutzerberichte über das von Microsoft bereitgestellte Update KB4056892 zeigen Bootfehler auf einigen AMD-Systemen. Auf anderen Rechnern lässt sich das Update erst gar nicht installieren.

Microsoft veröffentlicht Prüfwerkzeug

Ungepacht sind praktisch sämtliche aktuellen Windows-Rechner anfällig für die verschiedenen Varianten der Angriffe, die Meltdown und Spectre ausnutzen. Das gilt für Client- und Server-Systeme gleichermaßen. Um zu prüfen, ob eine Windows-Maschine anfällig für die Angriffe ist, ob sie bereits gepacht ist oder vorgesehene Abhilfen aktiviert sind, kann mithilfe eines PowerShell-Moduls geprüft werden. Dafür hat Microsoft eine Anleitung (KB4073119) veröffentlicht.

Ist der NuGet-Provider für PowerShellGet installiert und wurde Microsofts PowerShell Gallery als vertrauenswürdige Modulquelle eingetragen, sind die Voraussetzungen fürs Nutzen erfüllt. Mit dem Befehl „install-Module SpeculationControl“ installiert sich das Modul selbst. Sind die Voraussetzungen nicht erfüllt, schlägt das Modul vor, sich selbst darum zu kümmern. Dafür sind Admin-Rechte notwendig. Der Anwender muss einmal den Befehl „Set-ExecutionPolicy RemoteSigned“ ausgeführt haben, um die PowerShell überhaupt Skripte ausführen zu lassen.

Die gewünschten Informationen werden mit dem Befehl „Get-SpeculationControlSettings“ ausgelesen. Rot markierte Maßnahmen erfordern noch eine Aktion, nicht notwendige Maßnahmen sind in grün gehalten. In einer Zusammenfassung sieht der Nutzer schließlich, was er weiterführend zu tun hat oder wo er weitere Informationen findet.

TU Graz veröffentlicht FAQ

Forscher der TU Graz waren maßgeblich an der Entdeckung von Meltdown und Spectre beteiligt. Auf einer Übersichtsseite beantworten die Forscher die wichtigsten Fragen rund um die Sicherheitslücke.