Meltdown & Spectre: 8 wesentliche Erkenntnisse zum Schutz Ihrer Systeme

Fast alle Computer & Geräte weltweit exponiert für Sicherheitslücken – verwundbar für Angriffe. Bisher kein Datenleck gemeldet, aber Bugs zählen zu schlimmsten Prozessor-Sicherheitsfehlern.

Fast alle Aspekte (technisch & business) abgedeckt. Was genau passiert ist:

1. Was sind die Schwachstellen?

Zwei ähnliche Security Bugs: Meltdown & Spectre.

Meltdown: Hardware-Schwachstelle bei Desktops, Laptops, Servern mit Intel-Prozessoren. Bricht fundamentale Isolation zwischen OS & User Applications → Programm liest Memory & Secrets anderer Programme.

Konkret: Nutzt Side Effects Out-of-Order Execution heutiger Chips für Lesen beliebiger Kernel Memory Locations. Attacke verlässt sich nicht auf OS/Software-Schwachstellen.

Betroffenes Gerät: Meltdown liest Memory anderer Prozesse/VMs in Cloud ohne Privilegien/User-Permissions → virtuell jeden PC-User betreffend.

Spectre: Weitere Reichweite. Betrifft Computer, Tablets, Smartphones mit Intel, AMD, ARM. Bricht Isolation zwischen Applikationen, trickst fehlerfreie Programme zum Leaken privater Daten.

Spectre nutzt "Speculative Execution" (fast aller moderner Chips). Trickst Prozessor in spekulative Ausführung Instruktionssequenzen, die bei korrekter Programmausführung nicht ausgeführt worden wären.

Neben Prozessisolationsverletzung via Native Code: Spectre-Angriffe via JavaScript in Browser für Memory Access in Angreifer-Prozess.

Beide nutzen Side Channels für Datenextraktion aus zugegriffenen Memory Locations. Vergleich: Spectre schwerer auszunutzen als Meltdown, aber auch schwerer zu mitigieren.

2. Welche Informationen sind gefährdet?

Passwörter (Browser/Password Manager), Tastenanschläge, Instant Messages, E-Mails, persönliche Fotos, geschäftskritische Daten.

3. Betroffene Systeme & Ausmaß

Meltdown: Nur Intel Prozessoren (nicht AMD/ARM). Getestet auf CPUs ab 2011. Theoretisch: Jeder Intel Prozessor nach 1995 Ziel. Intel: Flaws haben kein Potenzial Info zu modifizieren/korrumpieren/löschen.

Spectre: Weit schlimmer – alle Devices mit Intel, AMD, ARM. Je nach Cloud-Provider Design/Infrastruktur: Sensible Daten anderer Kunden stehlbar. Services: LXC, Docker, OpenVZ gefährdet.

Fazit: Ihr Gerät ist höchstwahrscheinlich betroffen.

4. Schutzmaßnahmen

Alle betroffenen Firmen arbeiten an Patches. Glücklicherweise: Software Patches für Meltdown verfügbar. Google, Microsoft, Mozilla releasen Browser-Patches als First Line of Defense.

Schnelle Schritte:

1. Neueste Chrome Version (Release 23. Jan) & Firefox 57 installieren.
2. KB4056892 für Windows 10 installieren.
3. Linux User: KAISER prüfen.
4. OEM Website für Firmware Update/Support prüfen & schnell anwenden.

Google: Android (Nexus/Pixel) via neueste Security Updates gefixt.

Forscher arbeiten an permanenter Lösung gegen zukünftige Spectre-Ausnutzung. Da nicht leicht zu fixen: Wird uns noch lange beschäftigen.

5. Verlangsamt Fix das Gerät?

Leider: Ja. Manche Forscher: Fix könnte Gerät bis 30 % verlangsamen. Intel: Übertriebene Behauptungen. Laut Intel: Performance Impact workload-abhängig; für Durchschnittsnutzer nicht signifikant.

Heißt: E-Mail/Web-Browsing → kein Unterschied spürbar.

6. Tech-Industrie & Markt Reaktion

Einer der schlimmsten Prozessor-Bugs ever – riesiger Deal für Tech-Industrie. OS Redesign & Prozessorarchitektur-Tweak nötig.

Google: Spectre Bug Juni 2017 betroffenen Firmen gemeldet, Juli Meltdown.

Nov 2017: Intel CEO Krzanich verkaufte 24 Mio. $ Aktien. BusinessInsider: War bei Verkauf über Chip-Schwachstelle informiert.

Bugs treffen Intel Aktie hart, Rivale AMD Aktie steigt.

Da Spectre/Meltdown fundamentale Flaws in Prozessorstruktur aufdecken → ernsthafter Impact & Umdenken zukünftiger Technologieentwicklung.

7. Wer meldete die Bugs?

Meltdown: 3 Teams – Cyberus Technology, Graz Uni Technology, Google Project Zero.

Spectre: Google Project Zero & Graz Uni Technology (gleiche Forscher).

8. Offizielle Referenzen

CVE (Common Vulnerabilities and Exposures) Standard für InfoSec Vulnerabilities. Names/IDs in MITRE System & US National Vulnerability Database.

Offiziell: Meltdown = CVE-2017-5754. Spectre = CVE-2017-5715 & CVE-2017-5753.