5.1.18

 

Chip-Desaster bei Intel

Meltdown, so nennt man eine Hardware-Sicherheitslücke in Intel-x86-Prozessoren, über die ein unautorisierter Zugriff auf den Speicher fremder Prozesse möglich ist. Aufgedeckt wurde diese Lücke in Österreich.

ORF

Meltdown und Spectre sind zwei der größten Sicherheitslücken seit Erfindung des Computers. Betroffen sind Prozessoren von Geräten, die fast jeder besitzt. Was tun?  

Um Prozessoren schneller arbeiten zu lassen, entwickelten Ingenieure sie zuletzt so, dass sie Daten schon vorausschauend berechnen und in den Speicher laden, bevor diese von auf dem Gerät installierten Programmen benötigt werden. Speculative Execution heißt diese Technik. Doch jetzt kam raus: Genau in diesem Zwischenspeicherzustand könnten Kriminelle diese Daten abschöpfen und somit missbrauchen.

Auch Sie sind sehr wahrscheinlich betroffen

Nicht minder beunruhigend: Inzwischen steht fest, dass fast jeder von uns mindestens ein Gerät besitzt, das betroffen und damit latent unsicher ist. Ob Smartphone, Tablet oder Computer, ist dabei egal. Ob Sie das Betriebssystem Android, iOS oder Windows nutzen, ebenso. Entscheidend ist, was für ein Prozessor drinsteckt. Wobei fast jeder dieser Chips, die in den vergangenen Jahren eingesetzt wurden, mindestens eine der beiden Schwachstellen enthält: Während Meltdown nur Chips von Intel betreffe, sei Spectre ein Problem in Chips praktisch aller Hersteller, definitiv aber in denen von Intel, AMD und solchen mit ARM-Architektur, die vor allem in mobilen Geräten verbaut sind.
Wissenschaftlern um Daniel Gruß von der TU Graz war die erste derartige Sicherheitslücke bereits im Dezember aufgefallen. Sie setzen sich daraufhin mit anderen Forschergruppen in Verbindung und stellten fest, dass mehrere Spezialisten – darunter Hacker vom Google Project Zero, die im Auftrag des Unternehmens nach Schwachstellen fahnden – bereits an dem Problem arbeiteten. Diese vermeldeten das Problem am Mittwoch schließlich öffentlich in einem Blogeintrag – aufgrund geleakter Informationen ein paar Tage früher als geplant.

Meltdown", was so viel wie "Kernschmelze" heißt, ist eine Sicherheitslücke auf nahezu allen aktuellen Prozessoren des Herstellers Intel, wie sie in Smartphones, Tablets und Computern aller Hersteller stecken, aber auch in Routern und Server-Technik.

Die Schwachstelle ermöglicht es Schadsoftware, die Daten im Speicher eines Prozessors (auf Englisch Central Processing Unit, CPU) während eines Vorgangs auszulesen, der in der Fachsprache "speculative execution" heißt. Die Daten werden, um die Rechenleistung von Prozessoren zu beschleunigen, schon vorausschauend berechnet, bevor irgendein ein Programm sie abruft. Da sie in diesem Moment ungeschützt sind, können sie von entsprechender Schadsoftware, etwa durch Trojaner, Apps oder Schadcode im Browser, abgegriffen werden. Das betrifft praktisch alle Eingaben, die ein Nutzer tätigt, also auch Passwörter. 

Die Lücke wurde erst am 3. Januar 2018 öffentlich bekannt. Die Hersteller, darunter Intel, und Firmen wie Google, Apple und Microsoft wussten seit Sommer davon und arbeiteten bereits an schützenden Updates. Da die Schwachstelle die Architektur von Prozessoren, also die Hardware betrifft, kann sie in jedem Betriebssystem ausgenutzt werden, egal ob MacOS, Windows, Linux oder Android. Sie gilt als eine der größten Lücken, die jemals gefunden wurde.

Für Windows 10 hat Microsoft ein Notfall-Update veröffentlicht. Auch für Windows 8 und 7 sollen Updates folgen. Allerdings funktioniert das nur für Windows-Nutzer, deren Antivirensoftware bereits angepasst wurde. Wie unter anderen das Magazin heise.de berichtet, haben zwei beliebte Anbieter von Antiviren-Software – konkret Kaspersky und Avast – für den 9. Januar aktuelle Versionen angekündigt. Der Anbieter Eset hat seine Programme bereits angepasst. Viele Linux-Distributionen sind bereits gepatcht, die Nutzer sollten in jedem Fall überprüfen, ob ihr System auf dem aktuellen Stand ist. 

Google hat für Android selbst eine Liste aller hauseigenen Geräte und Schnittstellen veröffentlicht, die betroffen sind. Hier findet sich auch der aktuelle Sicherheits-Patch für Android, den unter anderem die Pixel- und Nexus-Geräte bereits erhalten haben. Wer ein Android-Tablet oder Smartphone anderer Hersteller hat, muss sich unter Umständen noch etwas gedulden, bis diese das Update ausliefern. Das bedeutet auch, dass ältere Geräte (in der Regel älter als drei Jahre) möglicherweise gar keines mehr bekommen, wenn sie nicht mehr unterstützt werden. 

Weil die Software-Updates Auswirkung auf einen zentralen Teil der Prozessor-Architektur haben, kann es zu Leistungseinbußen kommen. Zunächst war von bis zu 30 Prozent langsameren Prozessen die Rede, tatsächlich dürften die Einbußen aber geringer ausfallen. Apple spricht in seinen Tests von weniger als 2,5 Prozent. Letztlich hängt es aber davon ab, welcher Prozessor, welches System und welche Anwendungen zusammenkommen. Im Alltag dürften die meisten Menschen nichts merken, aber in der Industrie und bei komplexen Anwendungen könnte sich das Update bemerkbar machen.

Mehr

So prüft ihr, ob ihr von der CPU-Lücke betroffen seid

Es ist für die IT-Branche ein Super-GAU. Fast alle Prozessoren seit 1995 sollen schwere Sicherheitslücken aufweisen. Damit sind Milliarden von Geräten durch Meltdown und Spectre angreifbar. Apple, Microsoft und Google haben sich dazu geäußert, wie und wann die Lücken geschlossen werden sollen. Weiterhin wurden erste Benchmarks veröffentlicht, die den angeblichen Leistungsverlust nach dem Sicherheitsupdate dokumentieren sollen. Zusätzlich hat Microsoft ein PowerShell-Skript veröffentlicht, mit dem ihr überprüfen könnt, ob ihr betroffen seid.

Wer profitiert vom Chipdebakel?

Schon 2016 war der britische Handy-Chiphersteller Arm an die japanische Softbankgruppe verkauft worden. Der Preis: 30 Milliarden Euro. 2011 verkaufte der deutsche Chiphersteller Infineon für 1,4 Milliarden Dollar seine Sparte für Mobilfunkchips an den Marktführer Intel. Zwei Jahre zuvor rutschte der technisch führende, wirtschaftlich aber schwer angeschlagene Speicherchiphersteller Qimonda in die Insolvenz.

Die Schwäche der Europäer hat auch politische Gründe. Während Südkorea seinen angeschlagenen Chiphersteller Hynix mit großzügigen Staatshilfen über Wasser hielt, verwiesen Berlin und Brüssel darauf, dass Steuerzahler nicht für Entscheidungen privater Unternehmen geradezustehen haben, und sie ließen Qimonda ins Aus rutschen. Die Mitarbeiter verloren ihre angestammten Arbeitsplätze, die Fabriken machten dicht, und die Maschinen wurden verkauft. Aus der Insolvenzmasse erwarben sich asiatische und amerikanische Wettbewerber damals richtungsweisende Technologien. Europa hatte seinen wichtigsten Speicherchiphersteller verloren.

Jetzt erst zeigten sich die Europäer alarmiert. Amerika schien nun die unangefochtene Nummer eins der Technologie-industrie zu sein, beheimatete die wichtigsten Computerhersteller, Chipproduzenten und Softwareunternehmen. Dazu kam, dass China Europa und Japan Rang zwei und drei streitig zu machen versuchte, als es die Chipindustrie zu einer Schlüsselbranche für die weitere wirtschaftliche Entwicklung des Landes erklärte. Seitdem unterstützt Peking die heimische Branche eifrig, rückt die halbstaatliche Tsinghua Unigroup ins Zentrum der Entwicklung und pumpt Milliarden an Staatshilfen in die Branche.

Inzwischen zieht man auch hierzulande nach. Im Sommer 2015 erklärte Bundeskanzlerin Merkel während eines Besuchs an Europas wichtigsten Halbleiterstandort im sächsischen Dresden die Mikroelektronik zur Schlüsselbranche. Ohne sie werde in Zeiten der Digitalisierung vieler Lebensbereiche und der gesamten Wirtschaft bald nichts mehr gehen. Im Mai 2016 taten sich Chipunternehmen und Forschungsinstitute in Europa schließlich zum Forschungsverbund „Productive 4.0“ zusammen. Im Juli wurden schließlich milliardenschwere Investitionen in Deutschland und Frankreich in Aussicht gestellt.

Was Sie über die große Chip-Sicherheitslücke wissen sollten

Was ist besonders an dieser Sicherheitslücke?

Es geht um eine Funktion des Prozessors, des Herzstücks eines jeden Computergeräts. In dem Chip wird die Rechenarbeit erledigt. Programme müssen ihm vertrauen. Über die entdeckte Schwachstelle kann der Prozessor Angreifern den Weg zu einer wahren Daten-Schatztruhe bieten. Damit könnte es so etwas wie ein Größter Anzunehmender Unfall (GAU) für die Computerbranche werden.

Was soll ich jetzt tun?

Computer- und Smartphone-Nutzern wird empfohlen, sich beim jeweiligen Hersteller und Betriebssystem-Anbieter zu informieren und Updates so schnell wie möglich zu installieren. Besitzer von Android-Telefonen, die das jüngste Update aufgespielt haben, brauchen sich dem Anbieter Google zufolge keine Sorgen machen. Dagegen müssen Nutzer von Chromebook-Laptops mit älteren Betriebssystemversionen noch auf ein Update warten. Für den Browser Chrome ist laut Google eine Aktualisierung am 23. Januar vorgesehen. Fachleuten zufolge ist für Laptops und Desktop-Computer ein Update in Arbeit. Unklar ist aber, ob auch iPhones und iPads gefährdet sind.

Was hinter Intels Chip-Lücke steckt

Auch verschlüsselte Geräte sind nicht sicher.  

Die Sicherheitslücken sind vor einigen Monaten von Mitarbeitern des Google Project Zero in Zusammenarbeit mit Forschern von Universitäten und aus der Industrie entdeckt worden. Anfang Juni wurden die Prozessorhersteller informiert. Ursprünglich sollten erst am 9. Januar die Details veröffentlicht werden, nun überschlägt sich die Entwicklung. In den vergangenen Wochen hatten amerikanische Technikjournalisten bereits berichtet, dass sich mit hektischen Updates in der Windows- und Linux-Welt sowie in den namhaften Cloud-Plattformen eine große Geschichte andeute.

Selbst verschlüsselte Geräte nicht sicher

Die nun veröffentlichten Lücken nutzen aus, dass selbst verschlüsselte Geräte eine Achillesferse haben: Im laufenden Betrieb stehen sensible Daten unverschlüsselt im Speicher; notgedrungen, unvermeidbar. Um hier anzusetzen, muss ein Angreifer allerdings in der Lage sein, Schadcode auf dem Zielsystem auszuführen. Die Forscher entdeckten drei verschiedene Angriffsmöglichkeiten. Alle drei erlauben es, auf einem System mit normalen Benutzerrechten nicht autorisierte Lesezugriffe auf Speicherdaten durchzuführen. Diese Speicherdaten können private Daten, Kennworte oder kryptographische Schlüssel sein.

Alle drei Angriffsszenarien richten den Blick auf eine Funktionalität moderner Prozessoren, die Fachleuten als selbstverständlich gilt, aber kaum bekannt ist: Die spekulative Ausführung (speculative execution) sorgt für eine schnelle Reaktion auf Benutzereingaben, indem Chips, die wenig oder nichts zu tun haben, Berechnungen ausführen, von denen anzunehmen ist, dass sie später benötigt werden. Der Chip versucht, wahrscheinliche Wege zu finden, und solche Rechenresultate werden als spekulative Ergebnisse gespeichert. Wenn das Programm an einer Stelle angekommen ist, an der es diese Ergebnisse benötigt, stehen sie bereits zur Verfügung. Die zwischengespeicherten Ergebnisse werden ausgelesen, passende werden ausgeführt, alle anderen werden verworfen. Diese im Chip implementierte Vorausschau betrifft Rechner und Smartphones gleichermaßen. Sie nutzt die Leistungsfähigkeit der Hardware in Phasen geringer Ausnutzung, um das System bei hoher Auslastung zu entlasten.

In vereinfachter Darstellung nutzt Meltdown diese Vorab-Informationsbeschaffung aus, um mit ihr den Zugriff auf eigentlich geschützte Bereiche zu erhalten. Wenn der Prozessor rät, was als Nächstes zu tun ist, erzeugt er selbst Daten, die zwischengespeichert werden und sich abgreifen lassen. Die Sperre zwischen Programmen und dem Betriebssystem wird durchbrochen. Das Auslesen geschützter Daten erfolgt auf der Hardware-Ebene und kann weder verhindert noch durch Software entdeckt oder protokolliert werden.

Google stellte ebenfalls darauf ab, dass nicht nur Intel-Prozessoren betroffen seien. Auch Android-Systeme von Smartphones seien gefährdet. Mit dem Android-Sicherheitsupdate vom 2. Januar seien die hauseigenen Smartphones jedoch geschützt. Allerdings erhalten dieses Sicherheitsupdate bisher nur die Google-Geräte. Die Androiden anderer Hersteller bleiben außen vor. Die Google-Produkte Chromecast, Home und Google Wifi seien von der Sicherheitslücke nicht betroffen. Der Browser Google Chrome soll mit einer bislang nur angekündigten Version 64 die Angriffsmöglichkeiten von Meltdown und Spectre abschwächen.

Microsoft und Amazon haben damit begonnen, ihre Cloud-Dienste mit Updates abzusichern. Ein gegen Meltdown und Spectre schützendes Sicherheits-Update für Windows wurde von Microsoft am Donnerstag herausgegeben. Bei der Verteilung gibt es allerdings Probleme mit einigen Antivirus-Programmen von Drittherstellern, wenn diese nicht unterstützte Aufrufe in den Windows-Kernelspeicher tätigen. Damit das Microsoft-Sicherheitsupdate läuft, müssen zunächst die Antiviren-Hersteller ihre Software aktualisieren. Microsoft warnt davor, das Windows-Update zu installieren, wenn nicht kompatible Antiviren-Software von Dritten läuft. Apple soll nach unbestätigten Berichten mit einem früheren Update für sein Betriebssystem Mac OS das Leck bereits partiell geschlossen haben. Mehr als anstehende Updates zügig zu installieren, kann der Nutzer von Rechnern, Smartphones und anderen IT-Systemen vorerst nicht tun.

Kommentare:
 Gezielt eingebaute Lücken 
„Es gibt jedoch keinen Anlass zur Panik und keinen Hinweis, dass die Sicherheitslücke bereits ausgenutzt wurde. „ Das ist doch eine sehr naive, fast verantwortungslose Verharmlosung. Von den ganzen Spinonagewerkzeugen der NSA haben wir auch erst nach den Veröffentlichungen von Herrn Snowdon erfahren. Selbst das gesicherte Handy von Kanzlerin Merkel wurde ausspioniert. Vor dieser Aufdeckung hätte auch jeder naiv gesagt, es gibt keinen Hinweis, dass die Sicherheitslücke …. Man muss mittlerweile davon ausgehen, dass insbesondere die Geheimdienste ein primäres Interesse an diesen sogenannten Sicherheitslücken haben, um gezielte Spionage zu betreiben, ohne dass der Betroffene etwas davon merkt. Ich gehe davon aus, dass die Geheimdienste die Hersteller zwingen gezielt versteckte Lücken einzubauen, es wird nicht lange dauern, bis wieder eine Lücke bekannt wird.

  Der Fluch von Monostrukturen &Oligopolen! 
Ob bei Intel wer Aktien... Peanuts! Das seit > 20 Jahren CPUs des Marktführers mit solch einem "Loch" im Handel sind, ist das Problem. Das mal weiter gedacht! Der BUG > 15 J. später aufgefallen, wenn Aber-Millionen autonome Autos mit X86-XYZ Architektur o.ä. im Umlauf sind? Jetzt rächt sich mMn. brutal die Maxime, "Alle Eier in einem Korb!" & "Egal ob sicher, billig muss es sein!" ... Der "Sherman Antitrust Act" von 1890 passte nicht nur auf Standard Oil, AT&T, der ist HEUTE notwendig für Googel, FB, Intel & CO! Solche, für unsere Gesellschaft lebenswichtige Technik, gehört unter öffentliche Kontrolle & es darf nicht auf eine von einer Firma mit Patenten usw. monopolisierte Struktur gesetzt werden. Beispiele aus der letzten Zeit: Takata=Airback Skandal, VW uva.=Diesel, jetzt Intel &Co, Google, FB, Microsoft, Apple, Amazon, internationale Banken uvam. scheinen auch außerhalb des RECHTSYSTEMS zu stehen, nicht nur bei Steuer&Strafverfolgung. "Neuland" oder Absicht?

 Updates für Rechner aus 1995? 
Ein Rechner aus 1995 wird garantiert kein Patch/Update mehr bekommen. Solche alten "Schätzchen" verrichten aber wohl noch hunderttausendfach ihren Dienst - versteckt in Steuerungsanlagen, als "Messrechner" im Labor oder kleiner Druckerserver - netzwerkfähig und vernetzt natürlich!

Nachrichten zum Thema

Sicherheitslücken sind in einer Welt komplexer IT-Systeme unvermeidlich und zugleich brandgefährlich. Dass nun die Prozessoren selbst einen direkten Angriff erlauben, ist jedoch ein Novum. Denn sie sind angreifbar, unabhängig vom eingesetzten Betriebssystem, unabhängig vom Status der Sicherheits-Updates und unabhängig von auf ihnen laufenden Programmen. Die Unsicherheit ist eingebaut.

Und wer der Ansicht ist, dass Attacken auf Prozessoren, Smartphones oder Cloud-Systeme eine recht abstrakte Angelegenheit seien, werfe einen Blick auf das Internet der Dinge oder die vernetzten Maschinen der Industrie 4.0. Man muss nicht einmal die oft zitierten Beispiele eines Angriffs auf das vernetzte Auto oder das Narkosegerät im Krankenhaus bemühen, um die neue Qualität der Bedrohung zu erkennen.

Wie Forscher aus Graz die größte Sicherheitslücke aller Zeiten entdeckten

Für einige junge Wissenschaftler an der Technischen Universität im österreichischen Graz könnten „Meltdown“ und „Spectre“ dagegen die Chance ihres Lebens sein. Sie gehören zu einer kleinen Gruppe von Fachleuten, die Sicherheitsschwächen in Computer- und Handy-Mikroprozessoren erforschen und die „Meltdown“ und „Spectre“ mitentdeckt haben. Daniel Gruss, Moritz Lipp und Michael Schwarz belegen als akademisches Miniteam ein kleines Dreierbüro an der steiermärkischen Hochschule. Sie arbeiten am 70 Mitarbeiter starken Institut für angewandte Informationsverarbeitung und Kommunikationstechnologie im Teilsektor „Secure Systems“, den der IT- und Sicherheitsexperte Stefan Mangard führt.

ORF
futurezone
Standard

Meltdownattack.com

Mozilla  Security Blog
Windows (Client)
Security Guidance
Intel   Security Advisory 
 Newsroom


Nunmehr hat Intel angekündigt, dass in den nächsten Tagen Sicherheitsupdates für 90 Prozent der Intel-Produkte verfügbar sein werden. Indessen zweifeln Expertinnen und Experten noch immer, ob sich die technische Panne überhaupt durch Software beheben lässt oder die Chips nicht überhaupt ausgetauscht werden müssten.

Ö1 9.1.2018

heise newsticker

Wie man Spectre und Meltdown loswird


# posted by claus_kirche @ 22:34
Comments: Kommentar veröffentlichen

<< Home

This page is powered by Blogger. Isn't yours?