Meltdown-Hack und Spectre-Bug: Wie es Android- und Chrome-Nutzer betrifft

Möglicherweise haben Sie gehört, dass der Himmel gefallen ist und die Sicherheitsapokalypse aufgrund von zwei neuen Angriffen namens Meltdown und Spectre stattgefunden hat. Wenn Sie in der IT oder einem anderen Bereich der großen Computerinfrastruktur arbeiten, haben Sie wahrscheinlich auch das Gefühl und freuen sich bereits auf Ihre Ferientage 2018.

Die Medien hörten zum ersten Mal Gerüchte über diese Mutter aller Exploits Ende 2017, und die jüngsten Berichte waren äußerst spekulativ und zwangen schließlich Unternehmen wie Microsoft, Amazon und Google (deren Project Zero-Team das Ganze entdeckte), mit Details zu antworten. Diese Details haben für eine interessante Lektüre gesorgt, wenn Sie sich für so etwas interessieren.

Aber für alle anderen, egal welches Telefon oder welchen Computer Sie verwenden, klingt vieles, was Sie lesen oder hören, möglicherweise in einer anderen Sprache. Das ist so, weil es so ist, und wenn Sie nicht fließend Cyber-Geek-Security-Techno-Speaking beherrschen, müssen Sie es möglicherweise einem Übersetzer überlassen.

Gute Nachrichten! Sie haben diesen Übersetzer gefunden, und hier ist, was Sie über Meltdown und Spectre wissen müssen und was Sie dagegen tun müssen.

Was sie sind

Meltdown und Spectre sind zwei verschiedene Dinge, aber da sie gleichzeitig enthüllt wurden und sich beide mit der Mikroprozessorarchitektur auf Hardwareebene befassen, werden sie gemeinsam besprochen. Das Telefon, das Sie gerade verwenden, ist mit ziemlicher Sicherheit vom Spectre-Exploit betroffen, aber niemand hat eine Möglichkeit gefunden, es zu verwenden - bis jetzt.

Der Prozessor in Ihrem Telefon bestimmt, wie anfällig es für diese Art von Exploits ist. Es ist jedoch sicherer anzunehmen, dass Sie alle davon betroffen sind, wenn Sie sich nicht sicher sind. Und da sie keinen Fehler ausnutzen und stattdessen einen Prozess verwenden, der stattfinden soll, gibt es keine einfache Lösung ohne ein Software-Update.

Sehen Sie sich das Telefon in Ihren Händen an. Es ist anfällig für einige dieser Angriffe.

Computer (dazu gehören auch Telefone und andere kleine Computer) verlassen sich auf die sogenannte Speicherisolation, um die Sicherheit zwischen Anwendungen zu gewährleisten. Nicht der Speicher, in dem Daten langfristig gespeichert werden, sondern der Speicher, der von Hardware und Software verwendet wird, während alles in Echtzeit arbeitet. In Prozessen werden Daten getrennt von anderen Prozessen gespeichert, sodass kein anderer Prozess weiß, wo und wann sie geschrieben oder gelesen werden.

Die Apps und Dienste, die auf Ihrem Telefon ausgeführt werden, möchten, dass der Prozessor etwas Arbeit leistet, und geben ihm ständig eine Liste der Dinge, die berechnet werden müssen. Der Prozessor führt diese Aufgaben nicht in der Reihenfolge durch, in der sie eingegangen sind. Dies würde bedeuten, dass einige Teile der CPU im Leerlauf sind und auf den Abschluss anderer Teile warten. Daher kann Schritt zwei ausgeführt werden, nachdem Schritt eins abgeschlossen ist. Stattdessen kann der Prozessor mit Schritt drei oder Schritt vier fortfahren und diese vorzeitig ausführen. Dies wird als Out-of-Order-Ausführung bezeichnet, und alle modernen CPUs arbeiten auf diese Weise.

Meltdown und Spectre nutzen einen Fehler nicht aus - sie greifen die Art und Weise an, wie ein Prozessor Daten berechnet.

Da eine CPU schneller ist als jede andere Software, kann sie auch raten. Die spekulative Ausführung erfolgt, wenn die CPU eine Berechnung durchführt, zu deren Ausführung sie noch nicht aufgefordert wurde, basierend auf früheren Berechnungen. Zur Optimierung der Software für eine bessere CPU-Leistung gehören einige Regeln und Anweisungen. Dies bedeutet, dass die meiste Zeit ein normaler Arbeitsablauf befolgt wird und eine CPU vorwärts springen kann, um Daten bereit zu haben, wenn die Software danach fragt. Und weil sie so schnell sind, werden die Daten, wenn sie doch nicht benötigt werden, weggeworfen. Dies ist immer noch schneller, als darauf zu warten, dass die Anforderung eine Berechnung ausführt.

Diese spekulative Ausführung ermöglicht sowohl Meltdown als auch Spectre den Zugriff auf Daten, auf die sie sonst nicht zugreifen könnten, obwohl sie dies auf unterschiedliche Weise tun.

Kernschmelze

Intel-Prozessoren, Apples neuere Prozessoren der A-Serie und andere ARM-SoCs, die den neuen A75-Kern (derzeit nur der Qualcomm Snapdragon 845) verwenden, sind für den Meltdown-Exploit anfällig.

Meltdown nutzt den sogenannten "Eskalationsfehler", der einer Anwendung Zugriff auf den Kernelspeicher gewährt. Dies bedeutet, dass jeder Code, der Zugriff auf diesen Speicherbereich erhält - in dem die Kommunikation zwischen dem Kernel und der CPU stattfindet - im Wesentlichen Zugriff auf alles hat, was zur Ausführung von Code auf dem System erforderlich ist. Wenn Sie Code ausführen können, haben Sie Zugriff auf alle Daten.

Gespenst

Spectre betrifft fast jeden modernen Prozessor, auch den Ihres Telefons.

Spectre muss keine Möglichkeit finden, Code auf Ihrem Computer auszuführen, da dies den Prozessor dazu bringen kann, Anweisungen für ihn auszuführen, und dann den Zugriff auf die Daten von anderen Anwendungen gewähren kann. Dies bedeutet, dass ein Exploit sehen kann, was andere Apps tun, und die von ihnen gespeicherten Daten lesen kann. Die Art und Weise, wie eine CPU Befehle in Zweigen in unzulässiger Reihenfolge verarbeitet, ist die Art, in der Spectre angreift.

Sowohl Meltdown als auch Spectre können Daten verfügbar machen, die in einer Sandbox gespeichert werden sollen. Sie tun dies auf Hardware-Ebene, damit Sie nicht durch Ihr Betriebssystem immun werden - Apple, Google, Microsoft und alle Arten von Open-Source-Unix- und Linux-Betriebssystemen sind gleichermaßen betroffen.

Aufgrund einer Technik, die als dynamisches Scheduling bezeichnet wird und das Lesen von Daten während des Computerbetriebs ermöglicht, anstatt dass diese zuerst gespeichert werden müssen, sind im RAM viele vertrauliche Informationen vorhanden, die von einem Angriff gelesen werden können. Wenn Sie sich für so etwas interessieren, sind die von der TU Graz veröffentlichten Whitepapers eine faszinierende Lektüre. Sie müssen sie jedoch nicht lesen oder verstehen, um sich zu schützen.

Bin ich betroffen

Ja. Zumindest warst du das. Grundsätzlich waren alle betroffen, bis Unternehmen begannen, ihre Software gegen diese Angriffe zu patchen.

Die zu aktualisierende Software befindet sich im Betriebssystem. Das bedeutet, dass Sie einen Patch von Apple, Google oder Microsoft benötigen. (Wenn Sie einen Computer verwenden, auf dem Linux ausgeführt wird und der nicht mit Infosec arbeitet, ist der Patch bereits vorhanden. Verwenden Sie Ihren Software-Updater, um ihn zu installieren, oder bitten Sie einen Freund, der mit Infosec arbeitet, Sie durch die Aktualisierung Ihres Kernels zu führen.) Die großartige Nachricht ist, dass Apple, Google und Microsoft Patches für unterstützte Versionen entweder bereits bereitgestellt haben oder in naher Zukunft auf dem Weg sind.

Die Besonderheiten

• Intel-Prozessoren sind seit 1995 mit Ausnahme der ATOM-Plattform Itanium und vor 2013 sowohl von Meltdown als auch von Spectre betroffen.
• Alle modernen AMD-Prozessoren sind vom Spectre-Angriff betroffen. AMD PRO und AMD FX (AMD 9600 R7 und AMD FX-8320 wurden als Proof-of-Concept-CPUs verwendet) in einer nicht standardmäßigen Konfiguration (Kernel BPF JIT aktiviert) sind von Meltdown betroffen. Es wird erwartet, dass ein ähnlicher Angriff gegen das Lesen des Seitenkanalspeichers auf alle 64-Bit-CPUs einschließlich AMD-Prozessoren möglich ist.
• ARM-Prozessoren mit Cortex R7-, R8-, A8-, A9-, A15-, A17-, A57-, A72-, A73- und A75-Kernen sind für Spectre-Angriffe verdächtig. Prozessoren mit Cortex A75-Kernen (Snapdragon 845) sind anfällig für Meltdown-Angriffe. Es wird erwartet, dass Chips, die Varianten dieser Kerne verwenden, wie die Snapdragon-Reihe von Qualcomm oder die Exynos-Reihe von Samsung, auch ähnliche oder dieselben Schwachstellen aufweisen. Qualcomm arbeitet direkt mit ARM zusammen und hat diese Aussage zu den Themen:

Qualcomm Technologies, Inc. ist bekannt, dass Sicherheitsstudien zu branchenweiten Prozessorschwachstellen durchgeführt wurden. Die Bereitstellung von Technologien, die robuste Sicherheit und Datenschutz unterstützen, hat für Qualcomm Priorität. Daher haben wir mit Arm und anderen zusammengearbeitet, um die Auswirkungen zu bewerten und Abhilfemaßnahmen für unsere Kunden zu entwickeln. Wir arbeiten aktiv an der Einbeziehung und Bereitstellung von Abwehrmechanismen gegen die Sicherheitslücken unserer betroffenen Produkte und arbeiten weiterhin daran, diese so weit wie möglich zu stärken. Wir sind dabei, diese Abhilfemaßnahmen für unsere Kunden bereitzustellen und ermutigen die Mitarbeiter, ihre Geräte zu aktualisieren, sobald Patches verfügbar werden.

• NVIDIA hat festgestellt, dass diese Exploits (oder ähnliche Exploits, die möglicherweise auftreten) die GPU-Datenverarbeitung nicht beeinträchtigen. Daher ist ihre Hardware weitgehend immun. Sie werden mit anderen Unternehmen zusammenarbeiten, um Gerätetreiber zu aktualisieren, um Probleme mit der CPU-Leistung zu minimieren, und sie werden ihre ARM-basierten SoCs (Tegra) evaluieren.

• Webkit, die Entwickler der Browser-Rendering-Engine von Safari und Vorläufer der Google-Blink-Engine, bietet eine hervorragende Übersicht darüber, wie sich diese Angriffe auf den Code auswirken können. Vieles davon trifft auf jeden Interpreter oder Compiler zu und es ist eine erstaunliche Lektüre. Sehen Sie, wie sie daran arbeiten, das Problem zu beheben, und verhindern Sie, dass es beim nächsten Mal passiert.

Im Klartext bedeutet dies, dass Sie sich ohne ein Update des Betriebssystems als anfällig betrachten sollten, es sei denn, Sie verwenden noch ein sehr altes Telefon, Tablet oder Computer. Folgendes wissen wir bisher an dieser Front:

• Google hat Android mit den Patches für Dezember 2017 und Januar 2018 gegen Spectre- und Meltdown-Angriffe gepatcht.
• Google hat Chromebooks mit den Kernelversionen 3.18 und 4.4 im Dezember 2017 mit OS 63 gepatcht. Geräte mit anderen Kernelversionen (hier finden Sie Ihre) werden demnächst gepatcht. Im Klartext: Das Toshiba Chromebook, das Acer C720, das Dell Chromebook 13 und die Chromebook-Pixel aus den Jahren 2013 und 2015 (und einige Namen, von denen Sie wahrscheinlich noch nie gehört haben) sind noch nicht gepatcht, werden es aber bald sein. Die meisten Chromeboxen, Chromebases und Chromebits sind nicht gepatcht, werden es aber bald sein.
• Für Chrome OS-Geräte, die nicht gepatcht sind, werden durch eine neue Sicherheitsfunktion namens Site Isolation alle Probleme dieser Angriffe verringert.
• Microsoft hat beide Exploits ab Januar 2018 gepatcht.
• Apple hat MacOS und iOS mit dem Dezember-Update gegen Meltdown gepatcht. Die erste Runde der Spectre-Updates wurde Anfang Januar veröffentlicht. In iMore erfahren Sie alles, was Sie über diese CPU-Mängel und deren Auswirkungen auf Ihren Mac, Ihr iPad und Ihr iPhone wissen müssen.
• Patches wurden an alle unterstützten Versionen des Linux-Kernels gesendet, und Betriebssysteme wie Ubuntu oder Red Hat können über die Software-Update-Anwendung aktualisiert werden.

Für Android-Besonderheiten wurden die Patches für Nexus 5X, Nexus 6P, Pixel, Pixel XL, Pixel 2 und Pixel 2 XL installiert. Sie sollten in Kürze ein Update sehen, wenn Sie es noch nicht erhalten haben. Sie können diese Geräte auch manuell aktualisieren, wenn Sie möchten. Das Android Open Source-Projekt (der Code, der zum Erstellen des Betriebssystems für jedes Android-Telefon verwendet wird) wurde ebenfalls gepatcht, und Distributionen von Drittanbietern wie LineageOS können aktualisiert werden.

So aktualisieren Sie Ihr Pixel oder Nexus manuell

Samsung, LG, Motorola und andere Android-Anbieter (Unternehmen, die Telefone und Tablets sowie Fernseher herstellen) werden ihre Produkte mit dem Update vom Januar 2018 patchen. Einige, wie das Note 8 oder das Galaxy S8, werden das vor anderen sehen, aber Google hat den Patch für alle Geräte verfügbar gemacht. Wir erwarten weitere Neuigkeiten von allen Partnern, damit wir wissen, was uns wann erwartet.

Was kann ich machen?

Wenn Sie ein Produkt haben, das anfällig ist, ist es leicht, in den Hype zu geraten, aber das sollten Sie nicht. Sowohl Spectre als auch Meltdown passieren nicht einfach so und hängen davon ab, dass Sie Malware installieren, die diese nutzt. Das Befolgen einiger sicherer Methoden schützt Sie vor jeder Ausnutzung von Computerhardware.

• Installieren Sie Software, der Sie vertrauen, nur an einem Ort, dem Sie vertrauen. Dies ist immer eine gute Idee, besonders wenn Sie auf einen Patch warten.
• Sichern Sie Ihre Geräte mit einem guten Sperrbildschirm und Verschlüsselung. Dies ist mehr als nur eine andere Person fernzuhalten, da Anwendungen nichts tun können, während Ihr Telefon ohne Ihre Erlaubnis gesperrt ist.
• Lesen und verstehen Sie die Berechtigungen für alles, was Sie auf Ihrem Telefon ausführen oder installieren. Haben Sie keine Angst, hier um Hilfe zu bitten!
• Verwenden Sie einen Webbrowser, der Malware blockiert. Wir können Chrome oder Firefox empfehlen, und andere Browser schützen Sie möglicherweise auch vor webbasierter Malware. Fragen Sie die Leute, die sie herstellen und vertreiben, wenn Sie sich nicht sicher sind. Der mit Ihrem Telefon gelieferte Webbrowser ist möglicherweise nicht die beste Option, insbesondere wenn Sie ein älteres Modell haben. Edge und Safari werden auch für Windows- oder MacOS- und iOS-Geräte als vertrauenswürdig eingestuft.
• Öffnen Sie keine Links in sozialen Medien, in E-Mails oder in Nachrichten von Personen, die Sie nicht kennen. Stellen Sie sicher, dass Sie Ihrem Webbrowser vertrauen, bevor Sie auf klicken oder tippen, auch wenn es sich um Personen handelt, die Sie kennen. Dies gilt doppelt für Umleitungslinks, die eine Site-URL maskieren. Wir verwenden diese Art von Links ziemlich oft und es besteht die Möglichkeit, dass viele Online-Medien, die Sie lesen, dies auch tun. Achtung.
• Sei nicht dumm. Sie wissen, was das für Sie bedeutet. Vertrauen Sie auf Ihr Urteilsvermögen und gehen Sie vorsichtig vor.

Die gute Nachricht ist, dass die Art und Weise, wie diese Seitenkanal-Exploits gepatcht werden, nicht die enormen Verlangsamungen mit sich bringen wird, die vor der Veröffentlichung von Updates hochgespielt wurden. So funktioniert das Web, und wenn Sie nachlesen, dass Ihr Telefon oder Computer 30% langsamer sein würde, nachdem eine Korrektur vorgenommen wurde, dann lag das daran, dass sich Sensationslust verkauft. Benutzer, die aktualisierte Software ausführen (und während des Testens waren), sehen sie einfach nicht.

Der Patch hat nicht die Leistungseinbußen, die einige behaupteten, und das ist eine großartige Sache.

Dies alles ist darauf zurückzuführen, dass diese Angriffe präzise Zeitintervalle messen und die anfänglichen Patches die Genauigkeit einiger Zeitquellen durch Software ändern oder deaktivieren. Weniger genau bedeutet, dass Sie langsamer rechnen und die Auswirkung viel größer ist als sie ist. Sogar die leichten Leistungseinbußen, die durch die Patches verursacht werden, werden von anderen Unternehmen gemildert, und wir sehen, wie NVIDIA die Art und Weise aktualisiert, in der die GPUs die Zahlen oder Mozilla-Daten berechnen, um sie noch schneller zu machen. Ihr Telefon wird mit dem Patch vom Januar 2018 nicht langsamer und Ihr Computer wird es auch nicht, es sei denn, es ist sehr alt, zumindest auf keine merkliche Weise.

Machen Sie sich keine Sorgen mehr und tun Sie stattdessen alles, um Ihre Daten zu schützen.

Was man alles wegnimmt

Sicherheitsängste haben immer eine echte Auswirkung. Niemand hat gesehen, dass Meltdown oder Spectre in der freien Wildbahn eingesetzt werden, und da die meisten Geräte, die wir täglich verwenden, aktualisiert werden oder sehr bald verfügbar sein werden, werden Berichte wahrscheinlich so bleiben. Das heißt aber nicht, dass sie ignoriert werden sollten.

Nehmen Sie Sicherheitsbedrohungen wie diese ernst, aber lassen Sie sich nicht auf den ganzen Hype ein. informiert werden!

Diese Seitenkanal-Exploits hatten das Potenzial, das große, ernsthafte Ereignis zu werden, über das sich die Leute Sorgen machen, wenn es um Cybersicherheit geht. Jeder Exploit, der sich auf die Hardware auswirkt, ist schwerwiegend, und wenn er etwas angreift, das absichtlich anstatt eines Fehlers erfolgt, wird er noch schwerwiegender. Zum Glück war es Forschern und Entwicklern möglich, Meltdown und Spectre einzufangen, einzudämmen und zu patchen, bevor es zu einer weitverbreiteten Verwendung kam.

Was hier wirklich wichtig ist, ist, dass Sie die richtigen Informationen erhalten, damit Sie wissen, was zu tun ist, wenn Sie von einer neuen Internetgefahr hören, die alle Ihre digitalen Inhalte benötigt. Es gibt normalerweise eine vernünftige Möglichkeit, alle schwerwiegenden Auswirkungen zu mindern, sobald Sie alle Schlagzeilen hinter sich gelassen haben.

Bleib sicher!

Für Einkäufe über unsere Links können wir eine Provision verdienen. Mehr erfahren.