Diese Webseite verwendet Cookies. Wenn Sie auf unserer Webseite weitersurfen, stimmen Sie dem zu. Nähere Informationen zu den bei uns verwendeten Cookies finden Sie in unserer Datenschutzerklärung.
OK

E



Kritische Sicherheitslücke in einer Vielzahl von CPUs

Vielleicht haben Sie es ja bereits aus den Medien erfahren: Eine große Zahl aktuell auf dem Markt befindlicher CPUs ist von einer äußerst kritischen Sicherheitslücke betroffen, aus der sich eine Vielzahl von Angriffsmöglichkeiten ergeben (bekannt wurden die Angriffsszenarien unter den Namen Meltdown und Spectre). Wir möchten dieses Thema aufgreifen und Sie darüber informieren, was diese Sicherheitslücken bedeuten und wie Sie darauf reagieren sollten.

Worum geht es?

Letzten Endes bewirken die bekannt geworden Lücken das Auslesen von privilegiertem Speicher über einen Seitenkanal. Dabei kann beliebiger virtueller Speicher über lokale Sicherheitsgrenzen hinweg gelesen werden. Eine sehr detaillierte technische Beschreibung zu den Lücken finden Sie hier:
https://googleprojectzero.blogspot.de/2018/01/reading-privileged-memory-with-side.html

Mit diesem Verfahren können (unbemerkt) alle Informationen gewonnen werden, die zum Beispiel für einen (autorisierten) Zugriff auf das System notwendig sind.

Es handelt sich nicht um einen Remoteangriff, sondern um eine Attacke, für die das lokale Ausführen von Code erforderlich ist. Das klingt nun im ersten Schritt eher unkritisch und wurde leider auch fälschlicherweise in diversen Artikeln und Medienberichten so dargestellt, dass sich hierdurch für Embedded Geräte nur ein geringes Sicherheitsrisiko ergibt. Doch Vorsicht: Allein schon das Ausführen von Javascript über einen Browser kann bereits ein Risiko darstellen! Es ist davon auszugehen, dass die ersten Exploits, die über einen Browser auszunutzen sind, bereits existieren und auch schon verbreitet werden. Auch jede weitere Möglichkeit Code auszuführen (zum Beispiel ein Gastzugang, ein Diagnosezugang auf Ihr System, oder eine Schnittstelle, über die der Endkunde eigenen Code ergänzen kann) ist ein potentielles Risiko! Wir weisen daher mit Nachdruck darauf hin, dass durchweg in jedem Anwendungsfall eine Prüfung auf ein Bedrohungspotential durch diese Schwachstellen durchzuführen ist!

Thomas Gleixner, CTO von Linutronix, ist in seiner Rolle als Co-Maintainer der x86-Architektur im Linux Kernel maßgeblich an der Entwicklung der Patches zur Behebung dieser Schwachstellen beteiligt. Er kommentiert die bekannt gewordenen Lücken wie folgt:

"Meltdown und Spectre sind in vieler Hinsicht eine völlige Katastrophe.

Hier werden technische Eigenschaften, die als Grundlage für Security-Konzepte dienen, komplett in Frage gestellt. In Anbetracht der Tatsache, dass seit Jahren von Forschern darauf hingewiesen wurde, dass Speculative Execution Risiken birgt und nur in Grenzen zulässig sein darf, muss man sich die Frage stellen, ob diese Warnungen und Erkenntnisse genügend Berücksichtigung beim Design von aktuellen CPUs fanden.

Es ist eine Tatsache, dass die Entwickler von Linux, aber auch von anderen Open-Source Betriebssystemen, erst relativ spät in die Behebung dieser Probleme eingebunden wurden. Jedenfalls Monate später als die Hersteller kommerzieller Betriebssysteme. Warum dies so ist, ist bis jetzt leider nicht klar. Allerdings ist dieses Verhalten, gerade in Cloudsystemen und kritischer Infrastruktur, absolut nicht einfach nachvollziehbar. Es ist nur zu hoffen, dass sich die dafür verantwortlichen Chip-Hersteller hierzu noch äußern werden.

Auch die Reaktionen von Institutionen und Verbänden, die sich mit dieser Thematik auseinandersetzen, bietet noch ein großes Verbesserungspotential; die Erstreaktion des BSI ist voll von Inhaltslosigkeit und Gemeinplätzen. Die Stellungnahmen von Herstellern und Fachverbänden decken das Spektrum zwischen Ahnungslosigkeit und bewusster Verharmlosung vollständig ab.

Die Informationspolitik der CPU Hersteller ist teilweise sehr fundiert, als Beispiel sei hier ARM genannt, aber auch von offensichtlichen Versuchen geprägt, durch geschickte PR-Massnahmen von den eigenen technischen Problemen abzulenken. Die Aussage von Intel, dass dies kein Bug sei, sondern dass die CPUs wie erwartet arbeiten, ist mehr als interessant. Dass die Exploits keine Daten zerstören, verändern oder löschen können, ist zwar technisch korrekt, lenkt jedoch vom eigentlichen Problem ab: Die Möglichkeit zum Auslesen von zu schützenden Daten öffnet die Türen, um exakt an diesen schützenswerten Daten Manipulationen vorzunehmen.

Es ist an der Zeit, dass diese Probleme ernst genommen und auf breiter Basis offen und sachlich diskutiert werden. Sicherheit, sowohl im Privaten wie auch im Öffentlichen, darf nie auf die leichte Schulter und auf gar keinen Fall wirtschaftlichen Interessen untergeordnet werden. Sie muss gepflegt werden. Auch wenn das am Ende bedeutet, dass so mancher bisher vom Erfolg verwöhnte Chiphersteller seine Designs neu überdenken muss."

Weiterhin verweisen wir auf das Statement von Greg Koah-Hartman (unter anderem Maintainer der Linux Stable Serie):
http://www.kroah.com/log/blog/2018/01/06/meltdown-status/

Wie finde ich heraus, ob die von mir verbaute CPU betroffen ist?

Von den großen CPU Herstellern existieren bereits Statements und unter anderem auch Listen betroffener CPUs. Die offizielle Stellungnahme von AMD finden Sie hier:
https://www.amd.com/en/corporate/speculative-execution

Intel hat unter folgendem Link eine Liste der betroffen CPUs veröffentlicht:
https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00088&languageid=en-fr

Eine Liste betroffener ARM Architekturen finden Sie hier:
https://developer.arm.com/support/security-update
Weiterhin existiert von ARM ein ausgezeichnetes technisches Whitepaper:
https://developer.arm.com/support/security-update/download-the-whitepaper

Zur PowerPC Architektur liegen derzeit noch wenige Erkenntnisse vor, aber potentiell können auch PowerPC CPUs betroffen sein. Die auf der Linux Kernel Mailingliste veröffentlichten Patche lassen darauf schließen, dass IBMs Power7 bis Power9 Plattformen ebenfalls betroffen sind. Von NXP liegen uns aktuell noch keine weiteren Informationen vor.

Was muß ich tun, wenn eine betroffene CPU in meinem System verbaut ist?

Zunächst gilt, dass betroffene Systeme nur unter folgenden Bedingungen ohne sofortiges Update weiter betrieben werden sollten:
- Wenn auf dem System kein non-trusted Code ausgeführt werden kann
- Wenn es keinen Gast-Account gibt
- Wenn es keinen Account für non-trusted User gibt
- Wenn auf dem System kein Browser läuft

Sofern die oben aufgeführten Bedingungen nicht durchweg zutreffen ist neben der betroffenen CPU auch der notwendige Kontext für einen potentiellen Angriff gegeben.

Mein System ist durch die CPU und den Kontext betroffen: Was soll ich tun?

Kurzfristig: Kernel Upgrade auf stable 4.9.75 oder 4.14.12 und ggf. Update des verwendeten Browsers (für Firefox wurde mit der Version 57.0.4 ein erster Workaround implementiert, der potentielle Angriffe erschwert). Für den Chrome Browser wird emfohlen, das sogenannte "Site Isolation" Feature zu aktivieren. Weiterhin ist noch ein Browser Update angekündigt:
https://www.chromium.org/Home/chromium-security/ssca

Es zeigt sich einmal mehr die Wichtigkeit, auf gepflegte Softwareversionen und im Falle des Kernels auf long-term stable (LTS) Versionen zurückzugreifen. Dies erleichtert maßgeblich die Integration der notwendigen Fehlerbehebungen. Mit Vendor-Kerneln und anderen von den Herstellern gepflegten Softwarekomponenten ist es, wenn überhaupt, nur mit sehr großem Aufwand möglich, auf ein solches Szenario zu reagieren.

Mein System ist durch die CPU betroffen, nicht aber durch den Verwendungs-Kontext: Was soll ich tun?

Aktuell ist die Bedrohung zwar eher gering, aber jeder Exploit gefährdet die Integrität des Gesamtsystems. Und die potentiellen Angriffsszenarien werden sich ganz sicher noch weiter entwickeln. Es empfiehlt sich hier mittelfristig ebenfalls ein Kernel Upgrade auf stable 4.9.75 oder 4.14.12 durchzuführen.

Was sollte man sonst noch wissen?

An dieser Stelle sei noch angemerkt, dass nicht nur Ihre Embeddedsysteme, sondern auch Ihre Server- und Desktopsysteme betroffen sind (unabhängig vom eingesetzten Betriebssystem!). Auch hier gilt: Im Falle von Linux installieren Sie die entsprechenden Kernel Upgrades und Browserversionen. Auf allen anderen Systemen installieren Sie bitte die zur Verfügung gestellten Updates des jeweiligen Herstellers.

Wir empfehlen dringend, möglichst kurzfristig zu prüfen, ob Ihre Produkte betroffen sind, um im Bedarfsfall die notwendigen Maßnahmen ergreifen zu können. Wenn Sie sich nicht sicher sind, ob Ihre CPU fehlerbehaftet ist und ob Handlungsbedarf besteht, setzen Sie sich bitte mit uns in Verbindung! Wir helfen Ihnen, das individuelle Gefahrenpotential zu bewerten und eine geeignete Lösung zu finden!

Übrigens: Wir beschäftigen uns bereits seit vielen Jahren mit der Absicherung von industriellen Linuxsystemen. Wir helfen Ihnen nicht nur beim passenden Design, sondern können Sie auch bei der Pflege von bestehenden Produkten unterstützen.