Bericht von Bitdefender Wieder neue Sicherheitslücke bei Intel-Prozessoren

Forscher der Sicherheitsfirma Bitdefender haben einen neuen Seitenkanalangriff entdeckt, der auf den Mechanismen der Spectre- und Meltdown-Angriffe aufbaut. Betroffen sind Intel-Prozessoren, die spekulative Befehlsausführung verwenden.

Um das Arbeitstempo von CPUs zu beschleunigen, haben die Chip-Hersteller verschiedene Versionen der spekulativen Ausführung implementiert. Dabei werden Befehle »auf Verdacht« ausgeführt, bevor feststeht, ob die Anweisungen tatsächlich erforderlich sind. Diese spekulative Ausführung kann sensible Daten im Cache hinterlassen, die Angreifer auslesen können, um an z.B. Passwörter oder geheime Schlüssel zu gelangen.

Im Vergleich zu traditionellen Cyberangriffen sind diese Angriffe aber hoch komplex. Die Angreifer verwenden bestimmte Maschinenbefehle und Funktionen des Windows-Betriebssystems. Dazu müssen sie die interne Arbeitsweise der CPU verstehen (Sprungvorhersage, Out-of-Order-Ausführung, spekulative Ausführung, Pipeline und Caches) und sich mit den Interna des Betriebssystems auskennen (Systemaufrufe, Interrupt- und Exception-Handling und KPTI). Betroffen sind von dem Angriff alle von Intel seit 2012 eingeführte Prozessesoren der Generation »Ivy Bridge« und später.
 

Details erst nach Patch von Microsoft

Ungepatchte 64-bit-Windows-Betriebssysteme sind dem Angriff schutzlos ausgeliefert. Weil der Angriff tief ins System eingreift, sind Gegenmaßnahmen schwierig, da sie Funktionen betreffen, die die Leistung der CPU deutlich steigern. Für eine hundertprozentige Abwehr müsste man konsequenterweise das Hyperthreading abschalten, schreiben die Fachleute von Bitdefender. Allerdings arbeitet Bitdefender schon seit einem Jahr mit Intel und Microsoft zusammen. Den detaillierten Bericht über die Wirkungsweise des neuen Angriffs hat Bitdefender aber bis jetzt zurückgehalten, denn erst am 6. August 2019 hat Microsoft einen Patch veröffentlicht, den den Zugriff der CPU auf den Speicher modifiziert und das Risiko einschränkt. Der Patch erfordert kein Microcode-Update.

Firmen, die den Patch nicht ungeprüft einspielen wollen, empfiehlt Bitdefender, die Workload in einen Hypervisor auszulagern, der mit »Hypervisor Introspection« überprüft wird. Dies ist ein von Bitdefender entwickeltes Verfahren, bei dem der Hypervisor spekulativ ausgeführte Befehle instrumentiert und dafür sorgt, dass angreifbare Befehlsstrukturen nicht spekulativ ausgeführt werden. Diese Hypervisor Introspection wirkt sich laut Bitdefender nur unwesentlich auf die Performance aus.