Sicherheitslücke in Intel-CPUs betrifft alle Betriebssysteme

Offensichtlich steckt in fast allen Intel-CPUs eine ernste Sicherheitslücke, die alle Betriebssysteme betrifft. Zur Behebung müssen die Betriebssysteme auf Kernel-Ebene angepasst werden, was sich aber negativ auf die Leistung auswirken kann. Prozessoren von AMD sind wohl nicht betroffen.

Noch ist es zu früh, um genaue Details über die Sicherheitslücke zu erfahren. Am morgigen 4. Januar 2018 sollen ausführliche Informationen veröffentlicht werden. Es sieht aber so aus, als ob alle Intel-CPUs mit der Virtualization Technology VT-x betroffen sind. Ob es sich um einen Designfehler oder um einen Hardware-Bug handelt ist indes noch nicht geklärt. Gleichzeitig meldete sich ein AMD-Entwickler in einer Mailing-Liste und schreibt, dass AMD-Prozessoren nicht von dem Fehler betroffen sind, da diese keine spekulative Ausführung unterstützen.

Die Sicherheitslücke ist unter allen Betriebssystemen vorhanden und ermöglicht Nutzersoftware den Zugriff auf geschützte Daten im Speicher des Betriebssystem-Kernels. Die Lücke ist augenscheinlich schon länger bekannt, da die großen Betriebssystem-Hersteller schon seit Wochen an einem Workaround arbeiten. Hierfür müssen Änderungen im Betriebssystem-Kernel durchgeführt werden. Kurz gesagt besteht die Lösung wohl darin, den Speicher des Kernels komplett von anderen Prozessen zu trennen. Dadurch entstehen zwei komplett getrennte Adressräume, was im Umkehrschluss mehr Arbeit für den Prozessor bedeutet. Je nach verwendeter Software sollen die Leistungseinbußen bis zu 35 Prozent betragen. Bei ComputerBase gibt es erste Benchmarks unter Linux und Windows, welche auf einen realen Performanceverlust von 5-10% hindeuten. Eine komplette Behebung der Sicherheitslücke ohne Software-Workaround ist wohl nur durch Hardware-Änderungen zu erreichen.

Wie gravierend die Sicherheitslücke wohl sein muss, sieht man am Beispiel von Linux. Die neue Funktion KPTI (Kernel Page Table Isolation) erforderte massive Kernel-Umbaumaßnahmen im Bereich der virtuellen Speicherverwaltung. Neben dem neuen Kernel 4.15 sollen auch die beiden stabilen Kernel-Versionen 4.14 und 4.9 mit diesem Feature ausgestattet werden.

Microsoft arbeitet auch an entsprechenden Patches und hat die Insider-Builds wohl schon seit November 2017 damit ausgestattet.

https://twitter.com/aionescu/status/930412525111296000

Darüber hinaus werden alle Microsoft Azure Virtual Machines am 10. Januar 2018 einem wichtigen Update unterzogen. Auch Amazon hat bereits eine Info an seine Kunden versendet und kündigt für den 05. Januar ein wichtiges Sicherheitsupdate an.

Von Apple gibt es bezüglich macOS noch keine Stellungnahme.