Von Nora Miethke
Den Auftritt auf der Elektronikmesse CES Anfang dieser Woche in Las Vegas hatte sich Intel-Chef Brian Krzanich anders vorgestellt. Statt seine Zukunftsvisionen etwa zu Kameratechnologien beim autonomen Fahren zu verbreiten, musste er sich den Fehlern der Vergangenheit stellen. Am 3. Januar wurden gravierende Sicherheitslücken bei Intel-Prozessoren, dem Herzstück jedes Computers, offengelegt.
Eine internationale Gruppe von Forschern hat schon vor einigen Monaten die „Meltdown“ („Kernschmelze“) und „Spectre („Schreckgespenst“) genannten Schwachstellen entdeckt – mit dabei auch die Dresdner Firma Cyberus Technology GmbH.
Mitgründer Thomas Prescher war durch einen Blogartikel auf denkbare Angriffsszenarien neugierig gemacht worden. Im vergangenen November setzte er sich eines Abends hin, um auszuprobieren, ob diese beschriebenen Angriffe wirklich möglich sind. Tatsächlich ist er relativ schnell auf den „Initialtrick“ gekommen. „Das war nicht so schwierig, sogar verblüffend einfach“, sagt der 31 Jahre alte Software-Architekt. Als er und Mitgründer Werner Haas die Entdeckung an Intel meldeten, stellte sich heraus, dass auch schon andere Sicherheitsforscher unabhängig voneinander auf diese Schwachstellen gestoßen waren. „Intel stellte den Kontakt zu den anderen Gruppen her und wir taten uns zusammen, um gemeinsam ein Whitepaper zu verfassen und an Lösungen des Problems zu arbeiten“, so Prescher. Er lobt vor allen die Zusammenarbeit mit den Forschern der TU Graz.
Der Artikel war noch nicht ganz fertig und die geplante Internetseite stand noch nicht, als Intel die Veröffentlichung Anfang Januar nicht mehr zurückhalten konnte und sie vom 9. auf den 3. Januar vorzog. Zu sehr häuften sich die Gerüchte im Internet. Denn die Entdeckung ist eine Sensation. Die Meltdown-Sicherheitslücke betrifft alle Prozessoren von Intel, dem Marktführer im PC- und Notebookbereich, seit 1995. Doch die Konkurrenten AMD, IBM und ARM konnten sich nicht zurücklehnen. „Bei Spectre-Attacken sitzen AMD und ARM im gleichen Boot wie Intel“, betont Werner Haas. Da biete so gut wie jeder moderne Prozessor Angriffsfläche. ARM-Chips werden in Smartphones eingesetzt.
Die beiden Dresdner Experten behaupten nicht, dass bei dem Bemühen, Computerchips immer schneller und leistungsfähiger zu machen, Sicherheitsaspekte vernachlässigt wurden. Dass die seit über 20 Jahren existierende „Lücke“ nicht bekannt war, habe daran gelegen, dass niemand bei der Entwicklung der Software-Architektur an solche Attacken gedacht habe. Bislang gibt es noch keine Hinweise darauf, dass die Lücken ausgenutzt wurden. Das sei aber nur eine Frage der Zeit. „Durch die Veröffentlichung der Schwachstellen sind die bösen Hackerjungs motiviert, diese spekulativen Angriffsmöglichkeiten auszunutzen“, so Haas.
Und wie können die Nutzer ihre Daten schützen? Indem sie vor allem erst einmal der Aufforderung zum Update nachkommen, die Microsoft, Linux oder Firefox derzeit schicken. Der Intel-Chef kündigte in Las Vegas an, dass für alle ab 2013 produzierten Prozessoren bis Ende Januar ein sogenannter Patch zur Verfügung stehen soll. Ein Patch ist eine Korrekturauslieferung für eine Software, um Fehler für ausführbare Programme und Betriebssysteme zu beheben. Um Meltdown-Attacken zu verhindern, seien Patches ausreichend. Spectre sei dagegen schwieriger in den Griff zu bekommen. „Hier kann niemand garantieren, dass man mit einem Software-Update für immer Angriffe verhindern kann“, sagt Prescher. Einige Sicherheitsexperten sagen, dass Problem ließe sich nur durch einen Austausch der Prozessoren beseitigen. Doch dazu bedürfe es neuer Prozessoren mit einem komplett neuen Software-Design. Und die gibt es nicht von heute auf morgen. Kurzfristig helfen werden dagegen Microcode-Updates, die neue Fähigkeiten im Prozessor bereitstellen, um Fehlspekulationen zu verhindern.
Die Gegenmaßnahmen machen allerdings die Computer etwas langsamer. Haas schätzt die Leistungseinbußen im einstelligen Prozentbereich. „Computerspieler oder Nutzer, die ihr Fotobuch vom letzten Urlaub anfertigen, werden gar nichts davon merken“, sagt Haas. Auch Cloud-Nutzer müssten nicht in Panik geraten. Die großen Cloudanbieter wie Amazon und Microsoft hätten das Korrekturprogramm schon eingesetzt, so der Cyberus-Experte.
Durch die Mitarbeit an der Aufdeckung von Meltdown und Spectre hat sich die eigene Produktentwicklung des vor einem Jahr gegründeten Start-ups verzögert. Sechs frühere Mitarbeiter von Intel und Fireeye haben die Firma gegründet, um ein Programm auf den Markt zu bringen, dass die Analyse von Software-Schädlingen (Viren) erheblich beschleunigen soll. Diese Analysen sind die Basis für Anti-Viren-Programme. Nun wird das Analysetool im ersten Quartal 2018 starten.