Embedded-Branche reagiert besonnen
Pflichtbewusste Geisterjagd
Die mediale Schockwelle durch die CPU-Sicherheitslücken „Spectre“ und „Meltdown“ ist zwar am Verebben, aber Branchengrößen wie Intel und Microsoft haben weiterhin Probleme, ihre Gegenmaßnahmen auszuliefern.
Die Embedded-Computing-Welt ist prinzipiell zwar weniger betroffen, kommt aber trotzdem ihrer Pflicht nach und hilft den Kunden.
»Tatsache ist, dass Spectre und Meltdown ein wissenschaftlicher Nachweis ist, dass es theoretisch möglich ist, alle Speicherinhalte eines Computersystems auszulesen. Tatsache ist auch, dass es dazu noch keine Malware gibt. Und wenn es solche Malware gäbe, müsste man diese unter Administrator-Rechten am System erst mal installieren können«, erklärt Gerhard Edi, CTO von congatec. »Remote kann man den Exploit – sobald es ihn gäbe – in einem vernünftig gesicherten System nicht installieren. Ich kenne fast kein Embedded-System, wo der Anwender die Freiheit genießt, eigene Software zu installieren – und wenn, dann haben diese Systeme eine generelle Sicherheitslücke. Für mich bedeutet Spectre und Meltdown keine ursächliche Gefahr für die Embedded-Branche.«
Trotzdem stellt die Branche pflichtbewusst den Kunden die notwendigen Informationen zur Verfügung – sei es online, per Mailing oder im direkten Gespräch. »Wir bekommen immer wieder Anfragen von den Kunden, welche Lösungen wir gegen die Bedrohung Spectre und Meltdown im Zusammenhang mit unseren Boards und Systemen anbieten können«, berichtet Christian Blersch, Geschäftsführer von E.E.P.D., »diese Anfragen sind jedoch sachlich und lösungsorientiert.« Als Gegenmaßnahmen haben die Anbieter von CPU-Boards die betroffenen Baugruppen identifiziert und werden dazu per BIOS-Update einen Microcode-Patch anbieten – sofern die Prozessorhersteller auch zuliefern.
So hat Intel unlängst einige Patches zurückgezogen, da sie zu Systeminstabilitäten führten. Bei den Betriebssystemen und den Web-Browsern sind entsprechende Updates von den jeweiligen Softwareherstellern in Planung und teilweise schon verfügbar – aber leider auch schon teilweise zurückgezogen, beispielsweise von Ubuntu und Microsoft. Grund dafür sind plötzliche Neustarts oder Systemstillstände.
Bislang nicht in Betracht gezogen wurden Auswirkungen auf andere Softwareanbieter. So musste Sybera bereits vor Microsofts Windows-10-Patches warnen: »Leider werden nicht nur die Sicherheitslücken geschlossen, sondern es führt auch zu Inkompatibilitäten mit Echtzeit-Erweiterungen und anderen Systemen.« Die Embedded-Anbieter raten daher ihren Kunden, die Installation dieser Updates in Abstimmung mit ihnen zu planen. Was passiert mit älteren Geräten, die schon länger im Feld sind? »Hier liegt die Verantwortung beim Hersteller der Geräte«, erklärt Gerd Lammers, Geschäftsführer von Real-Time Systems. »Wir empfehlen dringend, alle Geräte zu aktualisieren, für die nicht sichergestellt werden kann, dass sie keine unbekannte Software ausführen können – Geräte ohne Verbindung zur Außenwelt sind unkritisch.«
Auch seien Systeme mit Separation-Kernel beziehungsweise Hypervisor deutlich weniger betroffen, da Branch-Predictions und spekulatives Lesen durch Prozess-Wechsel und Guest/Host-Übergänge stark erschwert wird. »Generell sollte man Ruhe bewahren und jeden Anwendungsfall und jedes Produkt getrennt betrachten und analysieren. Abhängig von dem Einsatzgebiet, der Anwendung und der Gefährdungslage sollte man für jedes Produkt eine entsprechende Strategie aus BIOS-, Betriebssystem-, Internet-Browser-Update und den installierten Applikationen erarbeiten«, empfiehlt Blersch. »Es muss hier der bestmögliche Kompromiss aus Sicherheit und Funktionalität gefunden werden.«
Jobangebote+ passend zum Thema
Lesen Sie mehr zum Thema
Das könnte Sie auch interessieren
Privacy
Microsoft wendet Teile des EU-Datenschutzes weltweit an
Sicherheitskritische Embedded-Systeme
Mit FPGAs zur funktionalen Sicherheit
