Sicherheitslücken "Meltdown" & "Spectre" in Intel-, AMD- und ARM-Prozessoren benannt

Die kürzlich [1] bereits angesprochene schwere Sicherheitslücke in Intel-CPUs hat sich mittlerweile zu einem mittelschweren Drama ausgeweitet, welche nunmehr mittels "Meltdown" einen eigenen Namen samt Webseite [2] hat. Zudem sind es eigentlich nun sogar schon zwei schwere Sicherheitslücken (mit derselben Thematik) geworden (die andere bekam den Namen "Spectre") und inzwischen ist auch Hardware anderer Hersteller betroffen – nicht mehr also nur jene von Intel. Die Hersteller halten sich zwar zumeist noch mit größeren Erklärungen zurück, allerdings gibt es wenigstens erste Statements seitens Google, AMD, ARM, Intel & Microsoft bei Videocardz [3] nachzulesen. Intern dürfte die Grundlage dieses Fehlers schon einige Monate bekannt gewesen sein (der Intel-CEO hatte bereits Ende November so viele Intel-Aktien verkauft, wie er verkaufen durfte [4]), an die Öffentlichkeit wollte man allerdings wohl erst nach dem Windows-Patchday in der nächsten Januar-Woche gehen – was nunmehr weitgehend Makulatur ist. In beiden Fällen geht es grob um das Auslesen von Daten fremder CPU-Prozesse, wobei man mittels Meltdown sogar an Systemdaten herankommt und mit Spectre "nur" an die Daten anderer Anwendungen. Dies ist insbesondere in Server-Umgebungen und dort beim Einsatz von Virtualisierung tödlich, da virtuelle Maschinen je gerade dafür angelegt werden, damit jene nicht an die Daten des Host-Systems oder anderer VMs herankommen.

Meltdown ist jedoch vergleichsweise einfach abzudichten mittels eines Betriebssystem-Patches, welcher in Server-Umgebungen etwas an Performance kostet. Spectre ist dagegen mittels Patches kaum abzuwehren und verlangt nach Hardware-Änderungen, die nur zukünftige Prozessoren bieten können. Dafür ist Spectre allerdings auch erheblich schwieriger auszunutzen, da neben dem eigentlichen Spectre-Angriff auch noch eine (nicht triviale) Seitenkanalattacke [5] notwendig wird, um den angezapften Speicher auch wirklich auszulesen. Hier gegenüber kann man sich teilweise auch mittels angepasster Software auf Anwendungs-Ebene schützen – was die Software-Hersteller wohl angehen müssen, denn der Wechsel des CPU-Unterbaus wird (im globalen Maßstab) eher den Zeitrahmen von bis zu 10 Jahren benötigen. An den beiden Sicherheitslücken unterscheidet sich dann auch, wer jeweils betroffen ist: Meltdown betrifft alle Intel-CPUs seit dem Jahr 1995 (meint vermutlich: ab Pentium MMX) mit Ausnahme aller Itanium-Modelle und Ausnahme der Atom-Modelle vor dem Jahr 2013 (meint vermutlich: vor BayTrail/Silvermont). AMD- und ARM-Prozessoren erscheinen nach wie vor von Meltdown nicht betroffen zu sein.

Bei Spectre (welches sich technisch noch in zwei Einzel-Varianten zerteilt) sind hingegen derzeit alle Prozessoren betroffen, selbst wenn ARM dies bislang noch verneint und AMD verklausiert davon spricht, nicht von allen Lücken gleichzeitig betroffen zu sein. Intel hat sich im übrigen genauso awardverdächtig versucht aus der Affäre zu ziehen, indem man erklärte, das Berichte, wonach allein Intel-Prozessoren betroffen seien, natürlich falsch seien. In der Praxis ergibt es in jedem Fall viel Arbeit primär für die Software-Hersteller, welche nachfolgend um diese Lücken herumlavieren müssen, da gerade Spectre nicht über generelle Patches zu besiegen ist und der Austausch der Hardware wie gesagt nur mittelfristig passieren kann. Allerdings ist Spectre eher auch "nur" eine konzeptionelle Schwäche, die nur mit einigem Aufwand über auch wieder eine andere Schwäche überhaupt zu einem Angriffsvektor führt. Meltdown ist hingegen ein klarer Bug, welche vergleichsweise einfach auszunutzen ist und vergleichsweise schwerer wiegt – dafür allerdings (glücklicherweise) mit Betriebssystem-Updates schnellstmöglich aus der Welt zu schaffen sein wird.

Bezüglich des mit dem Meltdown-Patch einhergehenden Performanceverlusts kommen neue Benchmarks von ComputerBase [6] und Hardwareluxx [7], welche aus Endandwender-Sicht durchaus beruhigend aussehen. Hierbei wurde die aktuelle Insider-Version von Windows 10 verwendet, welche bereits über einen Meltdown-Patch verfügt – neben anderen Änderungen, welche in diese Benchmarks natürlich genauso mit hineinspielen. In Endanwender-Software war dennoch selten einmal eine Performance-Differenz zu sehen: 7-Zip und VeraCrypt reagierten mit -1,5%, das eine oder andere Spiel kam im (weitgehend) CPU-limitierten Betrieb mal auf -3% bis -4,5%, eine schnelle PCI-Express-SSD konnte zwischen -2% und -7% verlieren. Da es jedoch auch viele Anwendungsfelder ohne jede beachtbare Performancedifferenz gab, dürften Endanweder durch den Meltdown-Patch kaum etwas an Insgesamt-Performance verlieren, -2% auf ein umfassendes Benchmark-Feld wäre eine schon recht hoch gegriffene Schätzung. Im Server-Bereich wird dies anders aussehen, dort können sich speziell beim umfassenden Einsatz von virtuellen Maschinen (Cloud-Server) durchaus beachtbare Performance-Auswirkungen durch den Meltdown-Patch ergeben.