Sicherheitslücke (nicht nur) in Intel-Prozessoren

Die Sicherheitslücke bei fast allen (Intel-) Prozessoren der letzten Dekaden (ca. seit 1995), über die ich gestern berichtete, ist offensichtlich noch viel gefährlicher als ursprünglich angenommen. Denn die Schwachstelle liegt in einem Verfahren, bei dem Chips möglicherweise später benötigte Informationen schon im Voraus abrufen, um Verzögerungen zu vermeiden und betrifft offenbar noch mehr Prozessoren.

Google hat inzwischen offiziell bekanntgegeben, der Entdecker der CPU-Lücke zu sein und hat bereits erste Informationen an die eigenen Kunden und Nutzer verteilt. Die Lücken haben bereits einen offizielle Namen bekommen: Meltdown und Spectre und es gibt detaillierte Beschreibungen dazu.

Bei Meltdown handelt es sich um die bereits bekannte Lücke in den Intel-Prozessoren, mit der ein Prozeß die Speicherbereiche anderer Prozesse auslesen kann. Das geschieht praktisch auf Hardware-Ebene und ist somit schwer zu verhindern oder von Software zu entdecken. Bei Spectre wird der auszulesende Prozeß selbst manipuliert, so daß die zwischengespeicherten Daten in Form von Passwörtern oder anderen Informationen ausgelesen werden können. Diese Lücke betrifft offenbar alle Prozessoren, entgegen anderen Berichten also auch ARM und AMD.

Google zufolge seien die eigenen Smartphones Nexus und Pixel dank des jüngsten Software-Updates (Januar-Update) geschützt. Dies gelte auch für die Handys anderer Hersteller mit dem Google-Betriebssystem Android, sofern sie das Update ausgeliefert haben. Weitere Sicherheitsupdates für die gängigen Betriebssysteme sind unterwegs. Haltet also Augen und Ohren offen.

Die Anwender sind gut beraten, die Software auf Ihrem Rechner aktuell zu halten und die offiziellen Patches zu installieren.

Intel hat bereits auf die Sicherheitslücke reagiert. Der Intel-Chef Brian Krzanich verkaufte Im November 2017, nachdem er von Google über die Lücke informiert wurde, hunderttausende seiner Intel-Aktion im Wert von 24 Millionen US-Dollar und behielt nur seinen Pflichtanteil. Natürlich hat der Aktienverkauf nichts mit der Sicherheitslücke zu tun (sagt Intel). Honi soit qui mal y pense. (Mein persönlicher CERT per Email.)

1 (Email-) Kommentar

Übrigens wird diese besagte Sicherheitslücke den Intel- als auch den AMD-Prozessoren der letzten Dekade nachgesagt. Selbst einige ARM-Prozessoren wie in Smartphones sind betroffen. Allerdings sind die von mir geschätzten RaspberryPi-Modelle nicht davon betroffen. Honi soit… war da was?

– Bruno H. (Kommentieren) (#)

(Kommentieren)