Drucken TOP-THEMEN
15.01.2018 - Fachartikel - Sicherheit
Meltdown & Spectre
Kaum hat das Neue Jahr begonnen, melden sich neue Cyber-Gefahren an.
(Initiative Mittelstand)Wieder einmal herrscht Verwirrung. Und das gleich in mehrfacher Hinsicht: Als neue Bedrohung wurden Meltdown und Spectre bekannt gemacht. Gleichzeitig wird darauf hingewiesen, dass beide schon seit längerem bekannt sind. Aber das wurde von den Chip-Herstellern geheim gehalten. Also sind sie nun die Neuen – oder nicht? Was hat das mit der Geheimhaltung auf sich? Hacker halten sich sowieso nicht daran und verbreiten Sicherheitslücken in ihren Netzwerken, sobald sie ihrer Gewahr werden. Die Chip-Hersteller hätten diese „Nachrichtensperre“ nutzen können, um Abhilfe zu schaffen – haben sie aber nicht! Nach der Bekanntgabe haben sich dann Betriebssystem-Hersteller an die Arbeit gemacht, die Lücken zu schließen, soweit ihre proprietären Systeme davon betroffen sind. Aber – wie schon oft angemerkt: Unzulänglichkeiten der Hardware lassen sich mit Software nicht sicher ausbessern! Apropos Betriebssystem: Warum sollte es genügen, lediglich das Betriebssystem aufzurüsten, ist denn andere Software gar nicht betroffen? SAP oder Adobe haben keine Patches angekündigt!
Die von Meltdown und Spectre betroffene Funktionalität nennt sich „speculative execution“. Es ist schon fast tiefsinnig, dass das auf Deutsch auch mit „spekulative Hinrichtung“ übersetzt werden kann. Gemeint ist damit Folgendes: In den Prozessoren werden die Befehle nicht mit einem großen Wurf ausgeführt, sondern in kleine Untermengen zergliedert, die nacheinander ausgeführt werden. Zur Beschleunigung von Ausführungszeiten werden diese Untermengen von Befehlen für mehrere aufeinanderfolgende Befehle zeitversetzt parallel ausgeführt. Dabei gehen die Prozessor-Architekten davon aus, dass im Idealfall die Befehle im Rechnerspeicher aufeinanderfolgen. Bewirkt ein Befehl aber nun eine Verzweigung im Programmablauf, die zu einem anderen Befehl führt als dem, der als nächster im Speicher folgt, müssen im Prozessor alle Aktivitäten rückgängig gemacht werden, die der Prozessor bereits „spekulativ“ – also in der Annahme, eine ununterbrochene Befehlskette ausführen zu sollen – vorgenommen hat.
An dieser Stelle gibt es also in mehreren Prozessoren einen Schwachpunkt, der dazu genutzt werden kann, dass nicht der vorgesehene Befehl ausgeführt wird, sondern ein anderer, der entweder Bestandteil einer Schad-Software ist, oder zu einer solchen hinleitet. (Ich will hier keinen Hacking-Unterricht geben, und gehe deshalb nicht auf Details ein.)
Jetzt ist das Geschrei groß. Nutzer rufen nach neuen Prozessoren, die bezüglich dieser Schwachstelle korrigiert sind. Das kann mehrere Jahre Entwicklungsarbeit kosten! Ganz abgesehen davon muss eine Unmenge von Systemen ausgetauscht werden, bei denen dieser Fehler ausgenutzt werden könnte; die Rede ist von bis zu zehn Milliarden, einer eins mit zehn Nullen dahinter!
Es gibt noch eine andere Möglichkeit: Man baut die Prozessoren weiter wie bisher, ändert aber die Architektur der Hardware, so dass sie dem deutschen Patent Nr. 10 2013 005 971 entspricht. In dieser Architektur können Spectre und Meltdown nicht im Sinne der Hacker missbraucht werden.
Diese „Hacking-resistente“ Hardware-Architektur ist seit ihrer Erfindung vor fünf Jahren im Stande, auch diese Angriffstaktik erfolgreich abzuwehren. Damit wären wieder einmal die Verteidiger den Angreifern einen Schritt voraus – wenn sie denn diese Hardware-Architektur nutzten!
IT-Sicherheit „Made in Germany“.
http://www.boogie.plus.com/bcd/
