Ab CHF 5.– im Monat
👉🏼 Wir benötigen deine Unterstützung! Unterstütze macprime mit einem freiwilligen Gönner-Abo und mache die Zukunft unseres unabhängigen Apple-Mediums aus der Schweiz mit möglich.
Zwei massive Sicherheitslücken in Prozessoren entdeckt – auch Apple-Geräte betroffen
In fast allen Prozessoren von Intel seit Mitte der 1990er-Jahre und auch in CPUs von AMD und ARM schlummern gravierende Schwachstellen. Da fast alle modernen Geräte über CPUs dieser Hersteller bzw. Architekturen verfügen, sind auch fast alle modernen elektronischen Geräte mit einem Prozessor unabhängig der benutzten Betriebssysteme von den Sicherheitslücken «Spectre» (AMD und ARM) und «Meltdown» (Intel) betroffen – also Computer, Smartphones, Tablets und auch Cloud-Server. Geschlossen werden können die Lücken nur durch aufwendige System-Updates.
Apple hat in einem Support-Dokument bestätigt, dass alle Mac-Computer und alle iOS-Geräte von den Schwachstellen betroffen sind.
Konkret hebeln die beiden Lücken Sicherheitsmechanismen aus, die eigentlich verhindern, dass Programme beliebig die Daten aus dem Speicher eines Gerätes auslesen können. «Meltdown» durchbricht dabei die Barriere zwischen einem Programm und dem Betriebssystem, «Spectre» die Barrieren zwischen verschiedenen Programmen. Durch diese Lücken können bösartige Software eigentlich geschützte Speicherbereiche von anderen Programmen oder vom Betriebssystem auslesen und so Zugang zu Passwörtern, Schlüsseln oder anderen sensitiven Informationen erhalten.
Zu Nutzen machen die Lücken eine seit zwei Jahrzehnten gängige Prozessor-Funktion namens «Speculative Executive». Damit wird die Geschwindigkeit eines Prozessors verbessert, in dem Instruktionen gleichzeitig abgearbeitet werden und oft auch in einer anderen Reihenfolge als sie eigentlich zum Prozessor gelangten. Die Chips spekulieren dabei, welche Aufgaben basierend auf den bereits erledigten wohl als nächstes an die Reihe kommen und führen diese fertig aus, auch wenn sie noch nicht in Auftrag gegeben wurden. Sollte die Vorhersage falsch gewesen sein, wird das überschüssig Produzierte in einem eigentlich für Software unsichtbaren Prozess entfernt. Genau hier befinden sich die nun entdeckten Schwachstellen.
Die Prozessoren-Hersteller Intel, AMD und ARM sollen bereits seit mindestens einem halben Jahr von den Schwachstellen gewusst haben. Publik wurden die Lücken aber erst dieser Tage durch Forscher verschiedener Security- und Bildungs-Institutionen. Wie genau die Lücken ausgenutzt werden können, wurde von diesen bisher nicht detailliert publiziert. Die Angriffsszenarien sollen aber laut Medienberichten unter gewissen Umständen nachgestellt werden können. Intel beispielsweise beteuert, dass es bis dato keine Hinweise auf Exploits gibt, mit welchen Kriminelle die Lücken ausgenutzt haben. Auch Apple hat sich dieser Ansicht angeschlossen. Gewissheit darüber gibt es aber keine. Auch ist unbekannt, inwiefern Geheimdienste über die Lücken Bescheid wussten.
Anti-Viren-Programme sollen gegen «Specre» und «Meltdown» nichts nützen. Schutz gegen die Sicherheitslücken versprechen einzig Betriebssystem-Updates – oder neue Prozessoren. Apple hat Teile der Meltdown-Schwachstelle bereits in den im Dezember erschienenen Updates auf macOS 10.13.2, iOS 11.2 und tvOS 11.2 behoben. Von Meltdown nicht betroffen sei die Apple Watch. Überdies gibt es auch erste Patches für Linux, Windows und Android. Die Lücken komplett schliessende Updates für die vier Apple-Plattformen sollen in Kürze erscheinen – so beispielsweise ein Update für Safari, welches die Spectre-Lücke flicken soll.
Es gibt Berichte, wonach die Behebung der Sicherheitslücken zu Einbusen in der Leistung der Systeme führen könnte – es ist von Teils bis zu 30 Prozent die Rede. Apples Aussagen zufolge sollen die Fixes für Meltdown und Spectre aber nur «minimale, wenn überhaupt» Effekte auf die System-Leistung haben.
In den nächsten Tagen dürften immer mehr Informationen zu den Lücken veröffentlicht werden. Meltdown und Spectre dürften die Branche noch ein Weilchen beschäftigen. Mehr Details und gesammelte Informationen zu den Schwachstellen gibt es auf MeltdownAttack.com.