Spectre und Meltdown – das müssen Sie wissen, das sollten Sie tun

Die zwei Sicherheitslücken Spectre und Meltdown sorgen für einen ordentlichen Auftakt im IT-Jahr 2018. Sie rütteln die Sicherheitsarchitektur aktueller Prozessoren ordentlich durch und werden wahrscheinlich noch jahrelang Auswirkungen haben. Zwar lassen sich die Lücken per Firmware-Update oder Software-Patch schließen, allerdings geht das auf Kosten der CPU-Leistung. Während Intel selbst von zwei bis vier Prozent ausgeht, sprechen andere Experten von bis zu 50 Prozent – genaue Zahlen werden erst zu sehen sein, wenn die Updates verfügbar sind.

Das Problem: Spekulierende Prozessoren

Fast alle modernen Prozessoren nutzen eine Technik namens Speculative Execution. Sehr stark vereinfacht gesagt versuchen Prozessoren, bestimmte, wiederkehrende Aufgaben vorherzusagen. Werden die Aufgaben an den Prozessor gestellt, sind die Ergebnisse quasi schon vorhanden – die CPU kann schneller arbeiten. Ist die Spekulation falsch, werden die dazugehörigen Daten „weggeworfen“, sie landen in einem Zwischenspeicher. Und genau dieser ist da Problem: Da die Informationen dort nicht gesichert sind, kann eine Applikation diese auslesen und so an Informationen gelangen, die sie eigentlich nichts angehen. Eine bösartigen Anwendung, etwa ein Trojaner, kann diese Lücke nutzen und potentiell sensible Daten auslesen.

Aktuell sind keine aktiven Angriffe bekannt, es existieren aber sogenannte Proof-of-Concepts, die mögliche Angriffswege aufzeigen. Mittel- bis langfristig dürften entsprechende Bausätze vorhanden sein und entsprechende Attacken Einzug in „normale“ Malware halten. Ein gutes Beispiel dafür ist WannaCry, die Ransomware hatte ausgefeilte Angriffsmethoden aus dem Werkzeugkasten der NSA kurz nach dem Bekanntwerden integriert.

https://twitter.com/malwareunicorn/status/950428445690937345

Meltdown: Attacke auf Intel

Meltdown ist die erste der beiden vorgestellten Attacken, derzeit betrifft sie nur Intel-basierte CPUS. Angreifer können darüber zufällige Speichersegmente auslesen. So können sie beispielsweise an Kennwörter oder ähnliche Daten kommen, allerdings ist das nicht garantiert. Meltdown umgeht Sicherheitsfunktionen wie Adress Space Isolation oder Paravirtualization.

Besoners kritisch ist die Attacke gegen Cloud-basierte Systeme. So ist es theoretisch möglch, dass sich ein Angreifer auf einem Cloud-Dienst eine Instanz mietet, einen Meltdown-basierten Angriff fährt und die Daten aus anderen laufenden Cloud-Systemen abgreift. Amazon und Co haben bereits reagiert und führen Maßnahmen ein, um solche Angriffe zu verhindern.

Spectre: Schwachstelle in (fast) allen Geräten

Die zweite Schwachstelle, Spectre, arbeitet ähnlich und betrifft nahzeu alle aktuellen Chips und Computer – neben Intel sind auch ARM und AMD anfällig. Damit ist so ziemlich jedes Smartphone, jeder PC, jedes Tablet und viele IoT-Produkte verwundbar – die Ausnahme sind Raspberry Pis.

Spectre nutzt einen ähnlichen Angriff, beschränkt sich aber bei den Rechten. So ist nur ein Auslesen der Daten im Rechtekontext des aktuellen Nutzers möglich. Ein normaler Nutzer könnte etwa nicht die Informationen des Admins auslesen. Allerdings lässt sich auch das missbrauchen: Etwa könnte eine bösartige Applikation die Passwörter mitschneiden, die ein Browser in einem ungesicherten Speicherbereich zwischenlagert.

Wer technisch tiefer einsteigen will, dem empfehlen wir diesen Beitrag des ct-Magazins. CPU-Experte Andreas Stiller geht hier genau auf die beiden Angriffsmethoden ein.

Was soll ich tun, um mich zu schützen?

Es gibt relativ wenig, was ein Endnutzer tun kann. Die Schwachstellen sind tief verwurzelt und werden uns so lange begleiten, bis das Chip-Design überarbeitet und komplett neue Prozessoren zur Verfügung stehen. Bis dahin helfen diese drei Tipps:

• Updates installieren: Prozessorhersteller, Betriebssystemsanbieter und App-Entwickler: Sie alle werden Updates liefern oder tun das bereits. Egal welches Produkt man nutzt, es sollte schnellstmöglich aktualisiert werden. Die ersten Aktualisierungen gibt es bereits, allerdings können sie teilweise zu Problemen führen. F-Secure hat die eigenen Produkte bereits aktualisiert, aber Anwender sollten sich vorab etwas informieren und im Zweifel Backups erstellen.
• Schutzprogramme aktuell halten: Ein gutes Schutzprogramm verhindert, das sich bösartige Software überhaupt auf dem Rechner einnisten kann – und erschwert eine Attacke per Specter oder Meltdown.
• Misstrauisch bleiben: Angriffe via Meltdown und Spectre wie auch andere Attacken setzen meist darauf, dass der Nutzer aus Neugier einen bestimmten Link klickt. Gesundes Misstrauen ist hier die erste Verteidigungslinie, nur weil etwas gut klingt, sollte man dennoch nicht auf einen Link klicken – vor allem dann, wenn das Angebot unerwartet im Posteingang landet.