Editorial CRN 01-02/2018
Insecurity by Design
Kürzlich entdeckte schwerwiegende Hardware-Sicherheitslücken in Mikroprozessoren bringen die Chiphersteller in die Bredouille.
Intel ist zum wiederholten Mal von einer Sicherheitslücke in seinen CPUs eingeholt worden. Dieses Mal aber wird eine neue Dimension erreicht: Die beiden »Meltdown« und »Spectre« getauften Sicherheitslücken liegen im Design der CPUs begründet. Neben Intel sind in geringerem Ausmaß auch Chips von AMD, ARM und Apple betroffen, also praktisch die gesamte Computer-Palette – Desktop-PCs genauso wie Smartphones und Cloud-Server. Der Fehler betrifft eine Funktion, bei der die Chips versuchen, vorherzusagen, welche Speicherinhalte ein Programm als nächstes benötigt und diese vorab laden. Dieses Verfahren ist jedoch fehlerhaft und erlaubt theoretisch seit 20 Jahren, Intel-basierte Rechner anzugreifen.
Auffällig ist bei den Intel-Sicherheitslücken der vergangenen Monate, dass sie allesamt nicht von Intel selbst entdeckt und veröffentlicht wurden, sondern von Sicherheitsexperten an Universitäten oder bei Google. Und wenn Intel-Vorstandschef Brian Krzanich 80 Prozent seiner Aktien verkauft und kurze Zeit später schlechte Nachrichten kommen, dann liegt die Vermutung nahe, dass es hier einen Zusammenhang gibt. Das nennt man Insiderhandel – auch wenn Krzanich sich womöglich im Rahmen der geltenden Regularien bewegt hat.
Während »Meltdown« nur Intel-Chips trifft und vergleichsweise einfach per Software-Update beseitigt werden kann, ist »Spectre« tief in der grundlegenden CPU-Technologie verwurzelt. Schutz gegen »Spectre« erfordert nicht nur eine Aktualisierung des Betriebssystems, denn der Mikroprozessorcode selbst ist betroffen. Für einen Patch müssten die Gerätehersteller Firmware-Updates für jedes Modell und jedes Mainboard separat erstellen. Das ist aufwändig und kostet viel Geld. Zudem machen die Patches die Rechner anscheinend signifikant langsamer. Am Ende werden wahrscheinlich nur die neuesten Geräte mit einem Patch versorgt – Nutzern älterer Geräte bliebe dann nur der Austausch. »Spectre wird uns noch sehr lange verfolgen«, schreiben die Entdecker der Lücke in ihrer Veröffentlichung. Für Intel und andere Chiphersteller dürfte der Fehler erhebliche Folgen haben: Großkunden und Verbraucher könnten Gewährleistungsansprüche anmelden. Erste Klagen liegen bereits vor. Endgültig beseitigt wird die Sicherheitslücke wohl erst dann sein, wenn die letzten Chips der aktuellen Generation auf dem Wertstoffhof gelandet sind.
Mit besten Grüßen!
Andreas Dumont
- Inhaltsverzeichnis CRN, Ausgabe 01-02/2018
- Print-Heft CRN beziehen
- Kostenlose CRN-Newsletter abonnieren
Lesen Sie mehr zum Thema
