Spectre und Meltdown: Der Super-GAU für Prozessoren
Als Informatiker sind Sicherheitslücken Alltag, das perfekte Betriebssystem gibt es noch nicht- doch dieses Mal verschluckte ich fast meinen Tee, als ich die Nachrichten las. Dieses Problem war anders, hier ging es an die Wurzel aller Berechnungen, den Prozessor selbst. Und es war nicht nur ein Prozessor in den Schlagzeilen, sondern praktisch alle, ob sie nun in PCs, Handys oder den Servern weltweit eingebaut sind. Hier musste kein Browser einfach geflickt werden, es war schlicht kein Betriebssystem mehr sicher, kein Apple-Nutzer konnte über die notorische Windows-Unsicherheit lästern, alle waren gefährdet. Selbst wer keinen der genannten Prozessoren hatte, konnte sich nicht entspannt zurücklehnen. Die Server, die über unser aller Daten und Konten wachen, konnten ja ebenfalls betroffen sein. Was passiert ist und wie die Hersteller darauf reagierten, möchte ich Ihnen gerne schildern.
Alles begann mit einer guten Idee. Um Prozessoren schneller zu machen, sollten sie nicht nur das berechnen, was gerade anliegt, sondern praktisch schon vorausahnen bzw. vorbereiten, was bald von ihnen gefordert sein könnte. Was man in Fachkreisen „Speculative Execution" nennt und wo die Schwächen liegen, ist leicht erklärt: Stellen Sie sich Ihren Computer wie ein beliebtes Restaurant mit vielen Stammgästen vor. Das Restaurant kennt seine Kunden und weiß, dass bestimmte Gerichte immer wieder genommen werden und bereitet die Gerichte schon entsprechend vor. Sollten sich die Kunden anders entscheiden, müssen die Gerichte entsorgt werden, der Müllhaufen ist aber nicht ausreichend gesichert. Oder es nimmt eine Hilfskraft das Essen, die eigentlich nicht dazu berechtigt ist. Bevor der Koch das merkt, kann sie aber schon einen Blick auf das Essen werfen, bevor man es der Hilfskraft wieder wegnimmt. Die dritte Möglichkeit: Man bringt den Koch dazu, Gerichte auf Vorrat zu kochen, um sie vor dem Entsorgen einzusehen oder Rückschlüsse auf die Zubereitung zu ziehen. Ähnlich wie das Restaurant arbeitet Ihr Prozessor, denn er versucht schon vorzubereiten, welche Aufgaben anstehen könnten und lädt entsprechende Daten schon für möglichen Gebrauch. Dafür braucht der Prozessor natürlich auch sensible Daten: Passwörter, Verschlüsselungen, Ihre kompletten Eingaben, sie könnten ja gebraucht werden. Werden Sie nicht gebraucht, so verschiebt der Rechner diese Daten in den Müll. Meltdown und Spectre gelangen über Tricks, wie gerade beschrieben, an genau diese Daten.
Entstanden ist dieses Problem vor Jahrzehnten. Bei Rechnern, die nicht miteinander vernetzt sind und isoliert in Schränken stehen, muss der Abfallort auch nicht besonders geschützt werden – heute schon! Meltdown kann durch Updates recht leicht gestoppt werden, Spectre ist komplexer, aber auch für den Angreifer weitaus anspruchsvoller, er muss vorher schon viel über das angegriffene System wissen. Meltdown ist bislang nur bei Intel-Chips vorgekommen, Spectre betrifft fast alle Prozessoren. Beide haben gemeinsam, dass der Angreifer dafür Programmcode auf den Rechner schleusen muss, ob über den klassischen E-Mail-Anhang oder über Schadsoftware im Browser. Die Auswirkungen wären drastisch: Einer der Meltdown-Entdecker, Michael Schwarz von der TU Graz, meinte schlicht, man könne in diesem Fall halt alles mitlesen, was auf dem Rechner passiert oder eingetippt werde.
Intel, AMD und ARM wussten schon mindestens ein halbes Jahr lang von den Sicherheitslücken, was vielleicht auch den Intel-Chef Brian Krzanich inspirierte, im November alle Aktien und Optionen seiner Firma zu verkaufen, derer er habhaft werden konnte! Auch Informationen über Gefahren oder schlicht betroffene Prozessoren kamen eher zögerlich und beschwichtigend. Je intensiver aber geforscht wird, desto mehr Hersteller stehen auf der schwarzen Liste. Branchen-Primus Intel war nur der Anfang, Qualcomm als Gigant im Bereich mobiler Geräte ist ebenso dabei, wie auch fast alle Smartphones und Tablets, die Technologien vom Chip-Designer ARM nutzen. AMD ist lt. eigener Aussage kaum betroffen (was einige Forscher bezweifeln), Updates gibt es aber auch für diese Systeme. Überschlägt man kurz die Summer der betroffenen Produkte, kommen schnell Milliarden Geräte zusammen. Die Sicherheitslücke besteht offensichtlich seit 1995 und wurde seitdem, trotz aller Neuentwicklungen, unverändert eingebaut.
Es bleibt vieles unklar, auch die Frage, ob diese Schwachstellen schon ausgenutzt wurden. Das Unheimliche: Man hätte es wohl nicht gemerkt. Die Sicherheitssysteme waren schlicht nicht auf den Angriff an dieser Stelle eingerichtet, es werden offensichtlich keine Spuren hinterlassen. Skeptiker bezweifeln, dass die Geheimdienste hier komplett untätig geblieben sind, zumal auch sie schon seit Monaten davon wussten. Einige Fachleute nehmen sogar an, dass hier ein bewusster Zugang von den Herstellern gelassen wurde – an allen möglichen Sicherheitsmechanismen, Passwörtern und Verschlüsselungen vorbei, doch auch das ist pure Spekulation. Fest steht aber, dass nun Verbrecher weltweit versuchen werden, diese Sicherheitslücke auszubeuten. Sie können darauf spekulieren, dass viele Geräte nicht oder erst später mit Updates und Patches versorgt werden. Malware-Attacken wie Wannacry und Konsorten haben gezeigt, dass selbst Computer in öffentlichen Einrichtungen und Firmen hemmungslos veraltet sind und nur ungenügend gewartet werden. Was z.B. mit den vielen Millionen Android Smartphones passiert, die Qualcomm-Prozessoren haben und längst nicht mehr mit Updates versorgt werden, ist kaum abschätzbar.
Was wir alle tun können? Das Computer Emergency Response Team (CERT), oftmals Berater für das US-Verteidigungsministerium und die Heimatschutzbehörde, ist deutlich geworden: Alle angebotenen Updates unverzüglich installieren und –wenn möglich- den Prozessor austauschen. Letzteres ist nicht nur teuer und aufwändig – es stünden nicht mal sichere Prozessoren als Alternativen zur Verfügung! Also bleibt uns nur, sämtliche Betriebssysteme, Browser (die als Verbindung zum Internet immer besonders gefährdet sind) und Antivirus-Lösungen auf dem neuesten Stand zu halten. Diese ganzen Updates sind nicht nur nervig, sie kosten auch Systemleistung. Nachdem erste Berichte behaupteten, gleich 30% weniger Leistung gefunden zu haben, dürfte sich das Leistungs-Minus realistisch zwischen 2% und 10% einpendeln. Schon jetzt Grund genug für viele, sich Sammelklagen anzuschließen. Ob diese Updates aber (speziell bei Spectre) Angriffe komplett ausschließen oder nur erschweren, ist noch umstritten. Es ist dennoch ratsam, sie zu installieren. So unklar die aktuelle Lage auch sein mag, ich bin mir sicher, wir werden noch vieles aus diesem Bereich in den nächsten Monaten hören.
Was mich interessieren würde: Was halten Sie von dem Vorgehen der Hersteller? Haben Sie Probleme mit den Updates, wie mancherorts in den Foren berichtet wird?
Microsoft hat in letzter Minute eine Prüfroutine entwickelt, mit der man testen kann, ob der eigene Rechner verwundbar ist. Leider ist das Programm nur für Experten, weshalb wir den Ashampoo Spectre Meltdown CPU Checker drum gebaut haben. Das Programm ist ohne Registrierung und natürlich kostenlos: Ashampoo Spectre Meltdown CPU Checker. Sollte bei Ihnen der Fehler kommen, dass die Powershell nicht gefunden wird, so bleibt leider nur der harte Weg, alles manuell einzugeben. Wie das funktioniert, finden Sie hier erklärt.
Als kleiner Tipp für die Windows 7 und Windows 8-Nutzer, bei denen es nicht funktioniert: Microsoft setzt hier Windows Management Framework 5.1. voraus. Sollten das bei Ihnen noch nicht installiert sein, kriegen Sie hier das Update: https://www.microsoft.com/en-us/download/details.aspx?id=54616.
