Informationen zu „Meltdown“ und „Spectre“

Zur Zeit machen „Meltdown“ und „Spectre“ Schlagzeilen.

Was es damit auf sich hat

Damit moderne Computersysteme schneller arbeiten können, werden Rechenschritte nicht nacheinander abgearbeitet sondern parallel.
Die CPU versucht, zukünftige Schritte vorherzusagen und vorzubereiten, die sogenannte „spekulative Ausführung“. Trifft die Spekulation des Prozessors zu, ergibt sich ein erheblicher Zeitgewinn, wird der vorab „geratene“ Arbeitsschritt nicht benötigt oder kann z.B. wegen fehlender Zugriffsrechte nicht benutzt werden, verwirft die CPU die Vorarbeiten wieder.
Nun hat sich herausgestellt, dass in bestimmten Angriffsszenarien (die „Meltdown“ bzw „Spectre“ genannt werden) die spekulativen Vorbereitungen genutzt werden können, um Daten auszulesen. Das können dann auch sensible Daten sein, wie z.B. Passwörter oder kryptographische Schlüssel. Das Auslesen dieser Daten erfolgt dabei auf Hardware-Ebene und kann weder verhindert noch durch Software entdeckt oder protokolliert werden.
Bisher ist unbekannt, ob die Sicherheitslücken bereits ausgenutzt wurden.

Patch as patch can

Inzwischen haben die diversen Hard- und Softwarehersteller Updates bereitgestellt, die sich „Meltdown“ und „Spectre“ annehmen.
Doch weil die Lücken tief im Prozessor-Design stecken, ist ihr Schließen per Software komplex.
So darf beispielsweise das von Microsoft am 03.01.2018 für die aktuellen Windows-Betriebssysteme bereitgestellte Update erst dann eingespielt werden, wenn vorher die installierten Antimalwareprodukte aktualisiert wurden. Glücklicherweise hat Microsoft einen Freigabeschalter vorgesehen: Das Update des Antimalwareproduktes setzt einen Eintrag in der Registry, und das Windows-Update wird erst angeboten, wenn dieser Eintrag gesetzt ist.

Doch reicht das aus? Ist nicht auch noch zu prüfen, ob auch BIOS- bzw. Firmwareupgrades notwendig sind?
Wenn es eine Sicherheitslücke im Prozessor ist, muss dann nicht (auch) Hardware getauscht werden?

Sie hätten gerne Unterstützung auf dem Weg durch den jetzigen und noch anstehenden Patch-Dschungel?
Dann zögern Sie nicht! Wir lassen Sie nicht alleine und helfen gerne – just: ping us!

By |2018-03-01T12:15:40+00:00März 1st, 2018|Know-How, Software, Updates|0 Comments

Leave A Comment