Meltdown und Spectre: FAQ

Meltdown und Spectre: Fragen und Antworten.

Praktisch sämtliche PCs, Smartphones und Tablets sind betroffen.

Unter den Codenamen „Meltdown“ und „Spectre“ werde eine Reihe von grundlegenden Sicherheitsschwachstellen in Prozessoren (CPUs) zusammengefasst. Davon sind besonders die Hersteller Intel, AMD und ARM betroffen. Dabei handelt es sich nicht um einen Software-Fehler sondern um Schwachstellen in der CPU selbst, die aufgrund eines Design-Fehlers in der Hardware-Architektur entstanden sind. Zu finden sind diese Sicherheitslücken in einem Großteil der in den letzten Jahrzehnten gefertigten Prozessoren. Somit sind praktisch sämtliche PCs, Smartphones und Tablets betroffen. Wir haben für Sie die wichtigsten Details zusammengefasst und klären, wie Sie sich schützen können.

Um die Performance und Auslastung von Prozessoren zu erhöhen, wird seit Jahren ein branchenweit gängiges Verfahren eingesetzt: Dabei wird versucht vorherzusagen, welche Speicherinhalte ein Programm als nächstes benötigt. Diese Inhalte werden bereits vorab abgerufen, um spätere Verzögerungen zu vermeiden (Out-of-order Execution). Dieses Verfahren kann – wie sich jetzt herausstellte – ausgenutzt werden, um Daten abzuschöpfen.
„Meltdown“ bezeichnet die Attacke, bei der Informationen aus dem Betriebssystem abgegriffen werden können. Angreifer können so Zugriff auf den gesamten Speicher erhalten: Konkret kann dies etwa zum Diebstahl von Passwortdaten, Login-Keys oder SSL-Schlüssel genutzt werden. Diese Schwachstelle kann mittlerweile auch über manipulierte Webseiten mittels Javascript ausgenutzt werden. Angreifbar sind lt. aktuellem Kenntnisstand vor allem Intel-Prozessoren.
Voraussetzung für einen Angriff auf die Spectre-Lücke ist, dass der Prozessor Out-of-order Execution unterstützt. Die Sicherheitslücke „Spectre“ betrifft neben Prozessoren von Intel auch die meisten anderen Prozessorhersteller wie AMD und ARM. Mit Hilfe dieser Schwachstelle können Angreifer Sicherheitsmechanismen wie Sandboxing oder die Trennung zwischen Programmcode und vom Benutzer bereitgestelltem Code umgehen. Zwar ist ein Zugriff auf den Systemspeicher über diesen Bug nicht möglich, allerdings ermöglicht „Spectre“ es, andere Programme auszuspähen. Diese Attacke ist zwar schwerer auszuführen, lässt sich aber durch Softwareanpassungen nicht vollständig unterbinden.

Bislang liegen keine Informationen vor, dass die Sicherheitslücken bereits missbräuchlich genutzt wurden. Allerdings würde eine Attacke auch in den bisher gängigen Log-Dateien keine Spuren hinterlassen. Somit können Angriffe nicht gänzlich ausgeschlossen werden. Die Schwachstelle wurde jedoch bereits im Juni entdeckt und den Unternehmen Google, Microsoft und Amazon gemeldet. Somit existieren bereits entsprechende Sicherheitsupdates

Seitens RRZ wurden bereits entsprechende Analysen und Maßnahmen für unsere Systeme umgesetzt. Zusätzlich wurde eine Taskforce zur Koordination der weiteren Tätigkeiten gestartet. Wir raten unseren Kunden, bei Ihren Systemen die zur Verfügung stehenden Sicherheitsupdates für Betriebssysteme inklusive deren Anwendungen wie bspw. Browser einzuspielen.

Die erscheinenden Sicherheits-Updates können die Leistungen der Prozessoren reduzieren. Somit ist mit Performance-Einbußen und eventuellen Inkompatibilitäten bei Anti-Malware Lösungen zu rechnen.

Alles rund ums Thema Security.

Haben Sie noch Fragen? Gerne stehen Ihnen unsere IT-Experten für weitere Fragen rund um das Thema Cyber-Security, aktuelle Sicherheits-Technologien sowie Best Practices in diesem Bereich zur Verfügung.

JETZT ANFRAGEN

Kontakt

Gerne unterhalten wir uns mit Ihnen über innovative Ideen, neueste Technologien oder konkrete Projekte.

E-Mail schreiben

Kontakt Vertrieb RRZ Ingo Peitler

Weitere Beiträge

  • IT-Sicherheit: Security Awareness Tipps für AnwenderInnen

Security-Awareness: IT-Sicherheit für Anwender.

Security-Awareness-Tipps. Praktische IT-Sicherheits-Tipps für Ihren Office-Alltag. IT-Sicherhei [...]

  • Wie sicher sind Banken - Cyber-Security Interview Ulfried Paier

Cyber-Security: Wie sicher sind Banken?

Wie sicher sind Banken? Umgang mit Cyber-Security und aktuelle Initiativen im Bankenumfeld. Der [...]

Zur Übersicht