#Meltdown #Spectre

Meltdown und Spectre nutzen kritische Sicherheitslücken in modernen Prozessoren aus. Zum ersten Mal sprechen Spezialisten hier von einer Sicherheitslücke, die von einer Hardware ausgeht. Betroffen sind Personal Computer, mobile Endgeräte sowie Cloud-Dienste.

Die Hardware Bugs erlauben es, gerade auf dem Computer verarbeitende Daten zu stehlen. Durch Meltdown und Spectre ist es unter Laborbedingungen gelungen, mit Hilfe von Schadprogrogrammen Daten von anderen Programmen abzugreifen. Normalerweise ist es Programmen nicht gestattet, Daten untereinander abzufangen.

Ein Team, bestehend aus verschiedenen Sicherheitsforschern von Universitäten und Unternehmen, zeigte, wie Spectre und Meltdown in der Lage sind, an sensible Daten zu gelangen, die in unterschiedlichsten Programmen gespeichert liegen. Das brisante: Darunter fallen auch Passwörter aus Passwort-Managern oder Webbrowsern, persönliche Fotos, E-Mails oder sogar geheime Unternehmensdokumente.

meltdown-spectre code

Meltdown und Spectre im Überblick

Meltdown

Betrifft Intel x86 Prozessorarchitekturen. Der Name bezieht sich auf die Eigenschaft, fundamentale Isolationsbrücken zwischen Anwendungen und dem Betriebssystem einzureißen. Eine Attacke mit Schadprogrammen kann den Speicher kompromittieren und sensible Daten an die Oberfläche befördern – ohne, dass der User davon etwas mitbekommt.

Spectre

Betrifft auch AMD und ARM Prozessorarchitekturen. Spectre ist in der Lage die Isolierung zwischen Anwendungen zu umgehen. Damit können sonst fehlerfreie Programme dazu gebracht werden, sensible Daten preiszugeben.

Was kann ich gegen Meltdown und Spectre unternehmen?

Generell gelten ungepatchte Computersysteme als Sicherheitsrisiko, weshalb mit ihnen niemals sensiblen Daten verarbeitet werden sollten. Es sind bereits einige Meltdown-Patches auf den Weg gebracht. Gegen Spectre empfehlen die Sicherheitsforscher zunächst einmal alle bekannten Sicherheitslücken zu schließen. In den nächsten Tagen wollen Intel, AMD und ARM an weiteren Sicherheitspatches arbeiten. Android-Systeme können durch die Sicherheitslücke auch gefährdet werden, allerdings sollten diese durch das Security-Update vom 2. Januar bereits geschützt sein.

Viele Cloud-Dienste, darunter Microsoft, Amazon und Google, haben indes damit begonnen, ihre Systeme abzusichern.

Microsoft hat ein für den 9. Januar geplantes Windows Sicherheitsupdate vorgezogen.

Google und Mozilla haben für ihre Browser erste Gegenmaßnahmen angekündigt und umgesetzt.

Auch das Bundesamt für Sicherheit in der Informationstechnik rät Usern und Dienstleistungsanbietern die Aktualisierung ihrer Computersysteme.



 

 

Image Credits via  CC0. Logos by  Natascha Eibl.