Podcast: Download (Duration: 24:30 — 14.8MB)

Aus aktuellem Anlass dreht sich die heutige Folge um Meltdown und Spectre. Das sind die Angriffsszenarien, die Schwachpunkte in der Architektur vieler weit verbreiteter Prozessoren ausnutzen.

Was ist passiert?

Es wurde die Möglichkeit entdeckt, eine Hardware-Sicherheitslücke in den Mikroprozessoren selbst auszunutzen. Dabei kann unter anderem ein unautorisierter Zugriff auf den Speicher eines Prozesses erfolgen. Weil die Angriffe im Grunde auf alle CPUs von Intel seit 1995 und mindestens eine Variante von Spectre auch auf AMD-Prozessoren anwendbar sind, ist die Lücke omnipräsent. Auch spielt es keine Rolle, welches Betriebssystem oder welcher Virenschutz installiert ist.

Warum dieser Zeitpunkt?

Das Problem sei von den Findern berteits Mitte 2017 an die CPU-Hersteller gemeldet worden. Die Hersteller haben dann, laut eigenen Aussagen, damit begonnen, sich mit dem Problem zu beschäftigen.
Parallel ist der Fehler von der Linux-Community gefunden worden, als Teil von einigen Sicherheitsentwicklugnen für den Kernel. Der Fehler liess sich so nicht mehr verbergen und das Project Zero ging mit den vorliegenden Informationen an die Öffentlichkeit.

Wo genau liegt das Problem?

Die Out-of-order Executions bewirken diese unerwartete Öffnung des Computersystems. Dieses elegante Vorgehen ermöglicht dem Prozessor, zukünftige Befehle vorab zu berechnen und damit die Reaktionszeit bei der tatsächlichen Befehlseingabe dramatisch zu verkürzen. Es werden hierfür einfach mehrere Varianten durchgespielt. Jene, die eintritt, wird als Ergebnis genommen, die anderen werden verworfen. Die im Vorhinein verarbeiteten Daten des Prozesses müssen irgendwo hinterlegt werden. Diese Spur im Zwischenspeicher des Prozessors (Cache) ist von außen bemerkbar. Genau hier öffnet sich die Sicherheitslücke.

Welche Folgen sind zu erwarten?

Ehrlich? Keine Ahnung. Wirklich nicht!

Wir wissen nicht, und wir werden nie wissen, wer diese Lücke mit welchem Erfolg seit wann, wo ausgenutzt hat. Im Gegensatz zu den aktuell sehr lauten Marketingabteilungen der Hersteller geht ein seriöser IT-Security Verantwortlicher im Zweifel von einem kompromitierten System aus.
Zumindest die Meltdown-Lücke scheint sich mit Updates beheben zu lassen, die Patches dürften Mitte Januar 2018 ausgerollt sein.

Weil die Out-of-order Executions durch das Update eingeschränkt werden, sinkt die maximale Rechenleistung der so gesicherten Computer. Das wird zum Beispiel von Microsoft exakt so eingeräumt. Auf dem heimischen PC oder Laptop sind die Auswirkungen kaum zu spüren, weil Volllast in den seltensten Fällen erreicht wird. Lediglich vereinzelte Reaktionszeiten werden sich etwa verlängern.

Ein größeres Problem stellt diese sinkenden Leistung für Rechenzentren dar, die Server oder Cloud-Dienste betreiben - sozusagen das halbe Internet. Deren Prozessoren sind fast permanent ausgelastet. Wie hier die Reaktionen ausfallen, ist abzuwarten. In der Regel sollte zumindest eine Infomail mit dem bisherigen und künftigen Vorgehen bezüglich Meltdown und Spectre erwartbar sein.

Was ist mit WordPress?

Dein WordPress befindet sich höchstwahrscheinlich auf einer virtuellen Maschine, die, sehr wahrscheinlich, von einem betroffenen Prozessor betrieben wird. Das Auslesen der Speicherdaten mittels dieser Lücke führt wahrscheinlich nicht zu Deinen Passwörtern, weil diese auf der Festplatte liegen, die nicht betroffen ist. Dein Payment-System, zum Beispiel PayPal, überträgt die Daten auf seine eigene Engine. Hier steht zu hoffen, dass sie des Problems selbst habhaft werden.

Aus meiner Sicht ist Dein WordPress System nur sehr eingeschränkt betroffen. Dennoch:
Ändere Deine Zugangsdaten und setzte 2-Faktor-Authentifikation ein.

Ein paar allgemeine Sicherheitstipps, die Dir immer weiterhelfen, und einen Blick auf die Zukunft von Intel gibt es hier im Podcast.

OLAF out!