Von IT-Sicherheit und Datenschutz her fängt das Jahr 2018 nicht gut an. Während sich die ganze Welt um besseren Datenschutz bemüht und die Umsetzung der DSGVO auf vollen Touren läuft, ändern sich die Rahmenbedingungen mit Meltdown und Spectre radikal. Meltdown und Spectre sind Exploits, mit denen Schwachstellen in Prozessoren ausgenutzt werden können, und damit in allen Geräten, in denen die fehlerbehaftete Hardware verbaut wurde – Millionen von PCs, Macs, Server, Tablets, Laptops und Smartphones. Sie ermöglichen, dass Daten ausgespäht werden können, völlig unbemerkt und nicht nachvollziehbar, da sie keine Spuren in den Logdateien hinterlassen. Es kann also derzeit nicht festgestellt werden, ob Angriffe bereits stattgefunden haben, obwohl ihre Machbarkeit nachgewiesen ist.
Was genau ist passiert?
Gleich zu Jahresbeginn hat Google Project Zero Informationen zu den Schwachstellen veröffentlicht, die im eigenen Haus aufgedeckt worden waren. Parallel dazu haben andere Forscher die Schwachstellen ebenfalls beschrieben. Ihre Ursache ist die sogenannte „speculative execution“. Mit diesem Verfahren werden Chips schneller gemacht. Indem der Chip Operationen ausführt, bevor die Ergebnisse benötigt werden, werden Verzögerungen vermieden. Liegen die Vorhersagen daneben, wird der Rechenvorgang verworfen und mit den korrekten Werten weitergearbeitet. Bei der Wiederherstellung des korrekten Zustandes können Schutzmechanismen ausgehebelt werden, sodass der Zugriff auf eigentlich unzugängliche Speicherbereiche von Betriebssystem bzw. Anwendungen und das Ausspähen sensibler Daten wie Passwörter möglich ist.
Welche CPUs sind betroffen?
Folgende Angriffsszenarien sind bekannt: Meltdown beseitigt die Trennung zwischen Betriebssystem und Anwendungen. Dann können Programme wie JavaScript in Browsern und Datenbank-Anwendungen Daten aus dem vom Kernel verwendeten Speicher auslesen. Dieser Angriffstyp ist bislang nur für Intel-Prozessoren nachgewiesen. Spectre hebt die Trennung zwischen unterschiedlichen Anwendungen auf, sodass fehlerfreie Anwendungen einem Angreifer Zugriff auf Daten im Speicher ermöglichen. Für diese Angriffe sind erheblich mehr Prozessoren von den Herstellern Intel, AMD und ARM anfällig. Intel hat eine Auflistung seiner betroffenen Prozessoren veröffentlicht, ARM ebenfalls. AMD, aufgrund einer anderen Chip-Architektur weniger stark in Mitleidenschaft gezogen, stellt ebenfalls Informationen zur Verfügung.
Wie kann man sich schützen?
Da der Austausch von Prozessoren unrealistisch ist, stellen die großen Software-Hersteller Patches zur Verfügung, die das performancesteigernde Verfahren deaktivieren bzw. zusätzlichen Schutz einbauen. Alle Sicherheitsexperten raten dazu, die entsprechenden Patches einzuspielen, die aktuell bereitgestellten für die Betriebssysteme und Browser sowie künftige beispielsweise für die Firmware. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt, Rechner und Smartphones möglichst umgehend upzudaten. Den aktuellen Stand bei den Patches nebst weitere umfassende Informationen zu den Exploits hat das BSI zusammengestellt.
Bis heute lassen sich die meisten Hackerangriffe auf nicht gepatchte Sicherheitslücken zurückführen. Einer Untersuchung von Crisp Research vom vergangenen Spätsommer zufolge haben in mehr als zwei Dritteln der Unternehmen in Deutschland die Performance und die Benutzerfreundlichkeit von Produkten Vorrang vor der IT-Sicherheit. Es ist zu hoffen, dass die Unternehmen ihre Prioritäten überdenken und die Empfehlungen ernst nehmen, denn nicht zuletzt im Hinblick auf die DSGVO sollte das Risiko von nicht nachvollziehbarem Datenverlust minimiert werden.
Von Risiken und Nebenwirkungen
Ganz ohne Nebenwirkungen sind die Patches jedoch nicht: Sie sollen mit Performance-Einbußen einhergehen, was absolut schlüssig erscheint, wenn sie den Prozess abschalten, der die Leistungssteigerung bewirkt. Die Angaben zum Umfang des Leistungsverlustes bewegen sich zwischen zwei Prozent, wie die Hersteller kommunizieren, und von bis zu 30 Prozent laut den Sicherheitsforschern; er soll auch vom Alter von Prozessoren und Betriebssystem abhängen.
Nach einer Phase des Abstreitens und Mauerns auf Herstellerseite entwickelt sich die Auseinandersetzung mit der Schwachstelle zum Geschacher um Leistungsverlust-Prozente, das man angesichts der Tragweite der Schwachstelle getrost als Nebenschauplatz bezeichnen kann. In den 20 Jahren – so lange wird das Verfahren bereits eingesetzt – ist offensichtlich kein Chip-Hersteller auf die Idee gekommen, die Prozessoren auf Built-in Security zu untersuchen. Das legt den Schluss nahe, dass seit Jahrzehnten Sicherheit als Ziel unter ferner liefen rangiert.
Das grundlegende Problem ist mit den Patches nicht aus der Welt. Dafür müssen die Hersteller den Fehler in der Chip-Architektur beheben, und das können erst neue Produkt-Generationen leisten. Bleibt zu hoffen, dass sie ihre Lektion gelernt haben und die Sicherheit ihrer Produkte endlich ernst nehmen.
