SpectreV2 und ZombieLoad – Neue Angriffe auf CPU-Lücken

News

Bereits seit Anfang 2018 ist bekannt, dass es aufgrund der Art, wie Prozessoren Daten laden und Programme ausführen möglich ist, unberechtigt auch Daten anderer Prozesse auszulesen. Dabei bezeichnen die Namen Spectre, Meltdown und aktuell SpectreV2 und ZombieLoad sehr ähnliche Techniken, die eine Schwachstelle im Design der CPU ausnutzen. Der Schutz kann einfach bis fast unmöglich sein.

Das Funktionsprinzip von Spectre

Die Geschwindigkeit, mit der ein Prozessor Programmanweisungen und Daten verarbeiten kann ist dermaßen hoch, dass er wesentliche Teile seiner Zeit damit verbringt, auf für seine Verhältnisse deutlich langsamere Datenquellen wie Hauptspeicher oder SSD zu warten. Diese Wartezeit verbringt der Prozessor nicht etwa mit Untätigkeit. Er führt das gerade laufende Programm „auf Verdacht“ schon einmal so aus, als ob die erforderlichen Daten schon vorhanden wären. Unter Umständen erfolgt die Ausführung auch in mehreren Varianten, je nachdem, ob die erwartete Antwort „Ja“ oder „Nein“ ist. Nachdem die angeforderten Daten eingelesen und verarbeitet sind, wird nur der zutreffende Programmzweig weiter verfolgt. Der spekulativ ausgeführte andere Weg wird verworfen.

Diese spekulative Ausführung kann dazu gebracht werden, auch gezielt falsch zu spekulieren. Dann werden Daten völlig fremder Programme gelesen. Auch die Berechtigung, ob die Daten gelesen werden dürfen oder nicht, wird nämlich erst dann geprüft, wenn feststeht, dass dieser Zweig tatsächlich ausgeführt werden soll. Ein bösartiger Angreifer kann die unberechtigt gelesenen Daten kopieren, bevor sie von der CPU verworfen werden.

Voraussetzung ist, dass beide Prozesse, der Angreifer und der Belauschte, auf der selben CPU laufen. Dies ist insbesondere in virtuellen Umgebungen, wo mehrere Systeme sich eine einzige Hardwareplattform teilen, zwangsläufig der Fall. Auf diesem Weg ist es daher auch möglich, Prozesse zu belauschen, die zwar in unterschiedlichen virtuellen Maschinen, aber auf derselben Hardware laufen.

Das Risiko des Angriffs

Es ist nicht ohne weiteres möglich, gezielt auf bestimmte Daten zuzugreifen. Der Angreifer muss sehr große Mengen von Daten mitlesen und darauf hoffen, durch Zufall auf interessante Informationen zu stoßen. Ein Angriff dieser Art setzt voraus, möglichst lange unentdeckt zu bleiben. Weiterhin muss eine große Datenmenge analysiert werden, da der Angriff praktisch „blind“ erfolgt. Das reduziert die Zielgruppe eines derartigen Angriffes auf das Belauschen ganz bestimmter Systeme, auf denen mit einer hohen Wahrscheinlichkeit für den Angreifer interessante Daten verarbeitet werden.

Die Abwehrmöglichkeiten

Installieren Sie alle für Ihre Systeme verfügbaren Updates. Die aktuellen Versionen von macOS (10.14.5) und Linux sind durch aktuelle Kernel geschützt. Ebenso stellt Microsoft für Windows Patches bereit.

Wenn Sie ältere Systemversionen benutzen müssen, überprüfen Sie, ob es für diese Versionen Patches gibt.

Systeme, die bei einem Hoster in einer virtualisierten Umgebung laufen, sind besonders gefährdet. Oftmals ist nicht bekannt, welche Nutzer noch auf derselben Hardware arbeiten. Falls es sich hier um schützenswerte Systeme handelt, hilft keine Verschlüsselung. Diese Systeme sollten nicht mehr auf einem Shared Host laufen, sondern zumindest auf einen dedizierten Rechner migriert werden. Wenn man sie stattdessen auf einen eigenen Server verlagert, setzt das allerdings eine eigene, sichere Umgebung für den Betrieb dieses Servers voraus.

Das Abschalten von Hyperthreading ist eine sehr effektive Maßnahme und sollte auf Systemen, die besonders vertrauliche oder sensible Daten verarbeiten, auf jeden Fall erfolgen. Allerdings ist das mit einem deutlichen Performanceverlust (bis zu 40%) verbunden und bei gehosteten Servern oftmals nicht möglich.

intersoft consulting services AG

Als Experten für Datenschutz, IT-Sicherheit und IT-Forensik beraten wir deutschlandweit Unternehmen. Informieren Sie sich hier über unser Leistungsspektrum:

IT-Sicherheit Beratung

Hinterlassen Sie einen Kommentar

Die von Ihnen verfassten Kommentare erscheinen nicht sofort, sondern erst nach Prüfung und Freigabe durch unseren Administrator. Bitte beachten Sie auch unsere Nutzungsbedingungen und unsere Datenschutzerklärung.