Die Berichte über die weitreichenden Sicherheitslücken mit den Bezeichnungen »Meltdown« und »Spectre« reißen nicht ab – und es spricht vieles dafür, dass sie uns noch eine lange Zeit begleiten werden. Kein Wunder, schließlich sind nach aktuellem Stand die meisten momentan relevanten Prozessoren von Herstellern wie AMD, Qualcomm und Intel mehr oder weniger stark davon betroffen (insbesondere von Spectre) – und damit auch die meisten Windows-PCs, Apple-Rechner und andere Geräte wie Smartphones, Tablets oder »Internet of Things«-Hardware.
Da stellt sich natürlich die Frage nach einem möglichst schnellen und umfangreichen Schutz. Weil die Probleme aber mit sehr grundlegenden Arbeitsweisen von aktuellen CPUs zusammenhängen, gestaltet sich eine Antwort darauf mehr als schwierig, was sowohl für den jetzigen Zeitpunkt als auch für die mittelfristige Zukunft gelten dürfte.
Wir fassen in diesem Artikel den aktuellen Kenntnisstand zusammen und versuchen uns an einer Einschätzung der momentanen Bedrohungslage sowie möglicher Gegenmaßnahmen. Da es zum jetzigen Zeitpunkt allerdings fast schon stündlich neue Nachrichten zu dem Thema gibt und die generelle Problematik hinter den Sicherheitslücken vergleichsweise kompliziert ist, kann sich die Sachlage relativ schnell ändern.
Als Quellen haben wir verschiedene Anlaufstellen wie den Project Zero Blog von Google, Informationen von Intel in einer Analyse und einer FAQ, nähere Beschreibungen des Problems von Apple sowie tiefer gehende Artikel von Kollegen wie Anandtech und Computerbase genutzt. Sollten dennoch wichtige Informationen nicht genannt werden oder Fehler im Artikel enthalten sein, nutzt bitte die Kommentarfunktion, wir bessern dann gegebenenfalls so schnell wie möglich nach.
Update:
Wie Computerbase meldet, beschreibt Microsoft in einem eigenen Artikel auf der Support-Seite, wie man per Powershell (ab Version 3.0) überprüfen kann, ob das eigene System durch die ersten Patches besser vor den Sicherheitslücken geschützt ist.
Auf unserem Testsystem hat das erst nach dem manuellen Download des passenden Scripts als ZIP-Datei geklappt, das wir anschließend in den Ordner »C:\SpeculationControl« extrahiert haben. Im nächsten Schritt startet man die PowerShell, indem man im Suchfeld von Windows »PowerShell« eingibt und die Anwendung per Rechtsklick als Administrator startet. Dann gibt man die Befehle
$SaveExecutionPolicy = Get-ExecutionPolicy
sowie
Set-ExecutionPolicy RemoteSigned -Scope Currentuser
ein (die Anfrage mit »J« bestätigen). Nun folgen die Befehle
C:\SpeculationControl
Import-Module .\SpeculationControl.psd1
Get-SpeculationControlSettings
Die erste Gruppe von Einträgen mit »True«- oder »False«-Angaben (»branch target injection«), die dann ausgegeben wird, widmet sich Spectre in der Variante 2, die nächste Meltdown (»rogue data cache load«). Grüne Einträge stehen für verbesserten Schutz, rote für fehlenden. Zu Spectre in der Variante 1 werden keine Angaben gemacht, da hier Anwendungsspezifische Updates nötig sind. Danach sollte man laut Microsoft noch den Befehl
Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser
eingeben und die Anfrage wieder mit »J« bestätigen, um die Ausführungsrichtlinien zurückzusetzen.
Ebenfalls interessant: Der Reddit-User Perseiii Benchmarks veröffentlicht, die in Anwendungen teilweise relativ deutliche Leistungsunterschiede durch die ersten Microcode-Updates von Intel zeigen. In Rise of the Tomb Raider gab es dem User zufolge dagegen keine nennenswerten Performance-Unterschiede. Ähnliche Messungen für AMD-CPUs gibt es bislang unseres Wissens nach noch nicht.
Wo liegt das Problem?
Der Kern der Sicherheitslücken besteht sowohl bei Meltdown als auch bei Spectre in einem unberechtigten Speicherzugriff auf tiefer Ebene, der über so genannte »spekulative Ausführungen« der CPU ermöglicht wird. Dadurch könnten im schlimmsten Fall persönliche Daten wie Passwörter in die falschen Hände gelangen. Solche spekulativen Operationen dienen grundsätzlich dazu, Berechnungen zu beschleunigen, indem zukünftig anstehende Schritte vorausgeahnt und entsprechend früher mit freien Ressourcen erledigt werden, wodurch die benötigten Ergebnisse schneller bereitgestellt werden können.
- Meltdown (von Google auch als »Variant 3« bezeichnet) betrifft nach aktuellem Stand alle seit 1995 ausgelieferten Intel-Prozessoren (außer Itanium-Modelle und vor 2013 produzierte Atom-CPUs) sowie laut dieser offiziellen Liste wenige Modelle mit ARM-Architektur. Andere CPUs sind nicht betroffen. Dabei kann im Rahmen der Ausführung von spekulativen Operationen über aktive Prozesse an Daten aus Speicherbereichen zugegriffen werden, die eigentlich nicht zugänglich sein sollten. Dazu zählt insbesondere der Speicher des so genannten »Kernels«. Er stellt die tiefste Ebene der Softwareschicht eines Betriebssystems mit den umfassendsten Berechtigungen und Zugriffen dar. Dementsprechend heikel ist es, wenn unerlaubt auf seinen Speicher zugegriffen werden kann.
- Spectre (in den zwei Ausführungen »Variant 1« und »Variant 2« gegeben) ist dagegen für die meisten aktuellen Prozessoren ein Problem, also auch für Modelle von AMD, Samsung oder Qualcomm. Damit lassen sich spekulative Operationen missbrauchen, die falsch vorhergesagt wurden und anschließend wieder rückgängig gemacht werden müssen. Eigentlich sollte das für andere Software unsichtbar geschehen, offenbar ist es aber möglich, dennoch im Rahmen dieser Berechnungen auf eigentlich gesperrte Speicherbereiche unberechtigten Zugriff zu erhalten.
Während bei Meltdown die so genannte »Page Table Isolation« Abhilfe schafft, indem Prozesse nur noch auf ihren eigenen Speicherbereich Zugriff haben (was zu Lasten der Performance gehen kann), hilft dieses Vorgehen bei Spectre nicht. Hier sind nach aktuellem Stand jeweils Anwendungsspezifische Updates nötig, die allerdings nach bisherigen Einschätzungen nicht leicht umsetzbar sind und noch eine längere Zeit für Anpassungsbedarf sorgen werden.
Nur angemeldete Benutzer können kommentieren und bewerten.
Dein Kommentar wurde nicht gespeichert. Dies kann folgende Ursachen haben:
1. Der Kommentar ist länger als 4000 Zeichen.
2. Du hast versucht, einen Kommentar innerhalb der 10-Sekunden-Schreibsperre zu senden.
3. Dein Kommentar wurde als Spam identifiziert. Bitte beachte unsere Richtlinien zum Erstellen von Kommentaren.
4. Du verfügst nicht über die nötigen Schreibrechte bzw. wurdest gebannt.
Bei Fragen oder Problemen nutze bitte das Kontakt-Formular.
Nur angemeldete Benutzer können kommentieren und bewerten.
Nur angemeldete Plus-Mitglieder können Plus-Inhalte kommentieren und bewerten.