Wichtiges zu Meltdown und Spectre

– Erfahren Sie technische Hintergründe und unsere Maßnahmen zur großen Sicherheitslücke

Liebe Kunden,

wie Sie in der IT-Tagespresse vielleicht mitbekommen haben, gibt es massive Sicherheitslücken bei Intel-Prozessoren, die – die entsprechenden Beispiele nennen sich Meltdown und Spectre – konkret ausgenutzt werden können, um Daten aus Ihrem PC oder auch unserem Server auszulesen. An dieser Stelle möchten wir Ihnen weitere Informationen geben, auch wie konkret die Gefahr wirklich ist, und was das für unsere Produkte für Auswirkungen hat. 

Der Versuch einer Erklärung für Nicht-Techniker

Um die Geschwindigkeit ihrer Prozessoren zu erhöhen hat intel zwei Technologien eingesetzt, die sich „out-of-order-execution“ („Ausführung außerhalb der Reihenfolge“) und „speculative execution“ („Ausführung auf Verdacht“) nennen. Beide funktionieren im Prinzip so:

  1. Der Prozessor weiß, dass ein Auftrag im Raum steht. 
  2. Er beginnt bereits mit der Ausführung, obwohl noch gar nicht geprüft wurde, dass der Auftrag wirklich vorliegt und ausgeführt werden darf.
  3. Ist die Prüfung erfolgreich (d.h. darf der Auftrag ausgeführt werden), dann hat er das Ergebnis schon vorbereitet und liefert damit schneller.
  4. Ist die Prüfung negativ, dann wird die Arbeit wieder zurückgebaut und das Ergebnis (natürlich) niemandem mitgeteilt.

Das Problem dabei ist nun, dass da, wo die Arbeit wieder zurückgebaut wurde, zwar das alte Ergebnis zu sehen ist (so, als wäre nichts geschehen). Aber das Ergebnis ist im schnelleren CPU-Cache verfügbar statt nur im Arbeitsspeicher. Mit anderen Worten: Man sieht dem Ergebnis an, dass es neu ist und nicht so verstaubt, wie es eigentlich sein müsste.

Meltdown und Spectre nutzen genau das aus. Sie formulieren den Auftrag so, dass nicht der Inhalt des Ergebnisses wichtig ist, sondern der Ablageort. Und anschließend nehmen sie eine sehr genaue Zeitmessung vor, um das am wenigstens verstaubte Ergebnis zu finden. Und wenn sie das haben, können sie daraus erahnen, wie ihr Auftrag (der eigentlich nie hätte ausgeführt werden dürfen) umgesetzt wurde.

Damit lässt sich zwar recht zeitaufwendig, aber zuverlässig der Inhalt von Speicherbereichen abfragen, die eigentlich geheim sind. Mit anderen Worten: Ihr Arbeitsspeicher auslesen und damit alle Daten, die darin gespeichert sind. Dabei ist es völlig egal, wie gut diese verschlüsselt übertragen oder gespeichert wurden, denn im Arbeitsspeicher sind sie entschlüsselt abgelegt (sonst wären sie nicht nutzbar).

Abhilfe gibt es bisher aus drei Richtungen:

  • Zum einen gibt es Betriebssystem-Updates, die Sie unbedingt einspielen sollten. Diese sorgen i.d.R. dafür, dass diese Rückschlüsse nicht mehr möglich sind. Sozusagen: sie sorgen dafür, dass alle Ergebnis gleich sauber sind, so dass sich keine Rückschlüsse auf das Alter des Ergebnisses ziehen lassen. Das verlangsamt natürlich den PC oder Server, auf dem es eingespielt wird, wobei es noch keine belastbaren Aussagen über die Höhe der Performance-Einbußen gibt.
  • Zum zweiten gibt es Browser-Updates. Diese sind ebenfalls wichtig, weil – siehe unten – auch speziell Ihr Web-Browser angreifbar ist. Diese Updates machen die per JavaScript mögliche Zeitmessung ungenauer und verhindern damit die für die Rückschlüsse notwendige Messung.
  • Und zum dritten ist der Prozessor-Hersteller in der Pflicht. Hier zeichnet sich ab, dass Intel nachbessern wird, aber für Details ist es noch zu früh.

Auswirkungen für PCs und Server allgemein

Diese Sicherheitslücke ist für Arbeitsplatz-PCs und Server gleichermaßen relevant:

  • Auf Ihrem PC besteht z.B. die Gefahr, dass Sie im Browser eine Webseite aufrufen, die per JavaScript auf Ihrem PC eine Meltdown- oder Spectre-Attacke ausführt. In diesem Fall würden Daten Ihres Browsers oder PCs (z.B. auch Informationen, welche anderen Browserfenster Sie gerade offen haben und mit welchen Zugangsdaten Sie dort arbeiten) abgegriffen werden können. Der Angreifer braucht dabei keinen Zugriff auf Ihren PC, sondern Sie nur auf eine solche kompromittierte Webseite lenken.
  • Auf unseren Servern besteht ganz allgemein die Gefahr, dass ein Benutzer, z.B. Kunde, Speicherinhalte abruft, die den Server selbst oder andere Kunden betreffen. Das können beispielsweise Schlüssel einer https-Verbindung sein, oder Zugangsdaten einer Datenbank- oder FTP-Verbindung, und damit könnte der Angreifer sich dann weiter vorarbeiten.
  • In der Kombination bedeutet das, dass ein Angreifer auch eine auf dem Server liegende Webseite kompromittieren kann, also dort JavaScript einbauen. Damit könnte er dann die Reputation Ihrer Webseite missbrauchen, um PCs Ihrer Kunden zu attackieren.

Auswirkungen für unsere Produkte

Vorab können wir Sie beruhigen: Die meisten unserer Produktlinen sind relativ immun gegen diese Art von Angriffen. Für das Durchführen einer Meltdown- oder Spectre-Attacke benötigt der Angreifer die Möglichkeit, maschinennah Anwendungen auszuführen (z.B. C++-Programme), wobei es bei virtuellen Servern ausreicht, auf eine beliebige virtuelle Instanz Zugriff zu haben. PHP-Scripte im Kundenwebspace sind unserem Kenntnisstand nach als Zugriff nicht ausreichend, und z.B. ein Telefonanruf sowieso nicht.

Ein Großteil unserer Produktlinien bietet darum den Kunden – und externen Angreifern erst recht nicht – gar nicht den systemnahen Zugriff, womit schätzungsweise 2/3 unserer Server erstmal nicht gefährdet sind. Dennoch werden wir natürlich auch hier mit Hochdruck die entsprechenden Sicherheitsmaßnahmen nach Verfügbarkeit ausrollen.

Zeitlich höchste Priorität haben derzeit unsere virtuellen Server, bei denen ja teilweise Kunden direkten Zugriff haben (und damit natürlich auch alle anderen virtuellen Server auf der gleichen Maschine gefährdet wären).

Konkret bedeutet das für Sie:

  • Es kann in den nächsten 2-3 Wochen zu evtl. auch mehrfachen Wartungsfenstern in den Nachtstunden kommen. Bei unseren Telefonie- und unseren VPN-Produkten kann evtl. ein Neustart der jeweiligen Endgeräte am nächsten Tag erforderlich sein.
  • Es kann in den nächsten 2-3 Wochen zu kurzfristigen Performance-Verschlechterungen kommen (weil wie gesagt nicht vorhersehbar ist, wie sich die CPU-Geschwindigkeiten verändert). Sofern möglich, werden wir diese dann zeitnah nach-justieren. 
  • Speziell im Bereich des DRKCMS werden wir in den nächsten Tagen ein Notfall-Update ausrollen, was zugunsten von Performance-Rückgewinnung das Indizierungsverhalten von Suchmaschinen anpasst. Für Ihre normalen Inhalts-Seiten im DRKCMS wird das keine negativen Auswirkungen auf das Suchmaschinenranking haben.

Wenn Sie Fragen haben, zögern Sie nicht, uns anzusprechen.

Ihr Team von D&T Internet

Aktuelles Swyx-News