Das Rennen um Patches gegen die Prozessor-Schwachstellen Meltdown und Spectre, die letzte Woche bekannt gegeben wurden, ist eröffnet. Bis heute sind aber keine Exploits bekannt, die anfällige Intel-, AMD- und ARM-Geräte betreffen. Gegenwärtig konzentrieren sich die Anbieter auf drei Hauptmaßnahmen zur Eindämmung der Sicherheitslücken. Patches, die die Meltdown-Fehler beheben, sind KPTI (Kernel page-table isolation) und KAISER (Kernel Address Isolation to have Side-channels Efficiently Removed). Am Donnerstag veröffentlichte Google eine Retpoline-Codiertechnik, um gegen Spectre-Angriffe vorzugehen.
Intel sagte letzte Woche, dass es "schnelle Updates für alle Arten von Intel-basierten Computersystemen" geben wird, die mehr als 90 Prozent der in den letzten fünf Jahren eingeführten Prozessoren "immunisieren". Laut Intel sollen am Ende dieser Woche diese ehrgeizigen Patch-Bemühungen abgeschlossen sein.
Sicherheitsexperten sagen, dass zwei Vektoren, die Spectre ausnutzen, besonders schwierig sind, "zu immunisieren". Derzeit bekannte Verfahren zum Ausnutzen von Meltdown und Spectre sind folgende Varianten: "bounds check bypass" (CVE-2017-5753/Spectre/variante 1), "Branch Target Injection" (CVE-2017-5715/Spectre/variant 2) und "Rogue data cache load"(CVE-2017-5754 /Meltdown/variant 3).
"Meltdown ist eine klar definierte Sicherheitslücke, bei der ein Programm im Benutzermodus auf privilegierten Speicher im Kernelmodus zugreifen kann. Dies macht das Patchen von Meltdown einfacher als es bei Spectre der Fall ist. Es wird sichergestellt, dass der Kernelspeicher nicht aus einem Benutzermodus heraus abgebildet werden kann, was wir in Form von einer Kernel page-table isolation (KPTI) sehen ", sagte Jeff Tang, Senior Security Researcher bei Cylance.
Bei Spectre sei die Situation komplizierter. Laut Ben Carr von Cyberbit, gibt es keinen einzigen Patch, der für Spectre eingesetzt werden kann. Er sagte, dass Spectre-Angriffe nicht auf eine bestimmte Eigenschaft des Speichermanagement- und Schutzsystems eines einzelnen Prozessors angewiesen sind.
"Im Fall von Spectre handelt es sich um einen Angriffstypen, nicht um eine spezifische Schwachstelle (...) Exploits basieren auf den Nebenwirkungen der spekulativen Ausführung. Diese Art von Exploit ist maßgeschneidert und wird sich weiterhin verändern, was das Patchen extrem schwierig macht", sagte Carr.
Forscher sagen, dass Spectre auch eine größere Herausforderung für die Industrie darstellt.
Exploits, die auf die Spectre-Variante 1 abzielen, erfordern benutzerdefinierte kompilierte Binärdateien der Hersteller. Die Fixierungsvariante 2 (Branch Target Injection) beinhaltet ein Microcode-Update, das von Intel OEM-Partnern geliefert wird, sowie einen gepatchten OS-Kernel, der das Mikrocode-Update nutzt, sagte Alex Ionescu, Vice President von EDR Strategy.
Da Spectre-Patches nicht vorhandene Kompensationstechniken erfordern, müssen Softwareanbieter ihre Compiler-Infrastruktur aktualisieren und ihre Produkte für Patches neu kompilieren, so die Forscher. Als nächstes müssen Benutzer ihre Software aktualisieren.
Es gibt zudem ein größere Dringlichkeit bei Spectre. Ein Meltdown-Angriffsszenario erfordert, dass ein Angreifer bereits im Zielsystem Fuß gefasst hat. Spectre öffnet bestimmte Arten von Remote-Angriffsszenarien wie browserbasierte Angriffe, sagte Jimmy Graham, Leiter des Produktmanagements bei Qualys.
"Eine JavaScript-Attacke kann Speicherinhalte des Browsers abrufen und dazu führen, dass Anmeldeinformationen und Sitzungsschlüssel ausgelesen werden.", sagte Graham.
Letzte Woche hat Mozilla zusammen mit Microsoft und Google den Code in den Browsern aktualisiert, um die Zeit zu erhöhen, die benötigt wird, um bestimmte Java-Befehle auszuführen und den Spectre-Fehler auszunutzen – was dies exponentiell schwieriger macht, aber nicht unmöglich.
Generell sei es so, dass die Patches die Sicherheitslücke nicht beseitigen, sondern es Angreifern nur erschweren würden, sie auszunutzen: Angesichts der Tatsache, dass die verfügbaren Updates lediglich eine Abschwächung darstellen, können einige sehr kreative Umgehungen auftreten, die diesen Sicherheitslücken zusätzliche Lebensdauer, wenn nicht sogar neue Sicherheitslücken innerhalb derselben Klasse verleihen, sagte Tang. Auf die gleiche Weise, wie Pufferüberlauf-Schwachstellen und Heartbleed zu anfälligen Programme führen, würden Meltdown und Spectre ähnliche Auswirkungen auf die Sicherheitslandschaft haben, ergänzte er.