Schwere Sicherheitslücke in Intel-Prozessoren entdeckt

Intel-CPUs haben einen richtig fiesen und folgenschweren Hardware-Fehler
Foto/Grafik/Montage: teltarif.de Sicherheitsforscher haben in Chips von Intel einen gravierenden Fehler entdeckt, der nach der Behebung zu einem spürbaren Performance­verlust bei Computern mit einer Intel-CPU führen könnte. Der schwer­wiegende Design­fehler, durch den PC-Systeme möglicherweise gekapert werden können, könne nur durch umfassende Änderungen an Betriebs­systemen wie Windows oder Linux ausgebügelt werden, berichtete am Mittwoch das Technikportal The Register. Dies könne zu massiven Leistungs­einbußen führen.

Wie sehr die Systeme unter einem Sicherheits­patch zu leiden haben, blieb bisher noch unklar. Während The Register je nach Anwendung und Prozessor mit Leistungs­einbußen von bis zu 30 Prozent rechnet, war in anderen Berichten von deutlich geringeren Werten die Rede. Chips von Intel-Konkurrent AMD sind dem Vernehmen nach nicht von dem Designfehler betroffen. Mittlerweile hat die Sache größere Ausmaße angenommen und umfasst nicht nur eine Sicherheits­lücke, sondern zwei. Letztere umfasst auch Prozessoren von AMD sowie ARM-basierende Chips.

Wird die Lücke auf den betroffenen Systemen nicht geschlossen, könnte Anwender­software auf eigentlich geschützte Daten im Betriebssystem-Kernel zugreifen und damit auch Passwörter oder andere verschlüsselte Daten auslesen. Normalerweise werden diese Speicher­bereiche vor Anwendungs­software versteckt. Genaue Angaben von Intel zu der Fehler­beseitigung und den möglichen Auswirkungen auf die Leistung eines PCs mit einer Intel-CPU gibt es noch nicht. Fachleute rechnen aber nach einem Update mit Leistungs­einbußen, weil das Betriebs­system dann den Chip zwingt, zusätzliche Arbeits­schritte auszuführen, um einen Zugriff fremder Programme auf die gesperrten Speicher­bereiche zu verhindern.

Ausgangspunkt Linux-Kernel

Intel-CPUs haben einen richtig fiesen und folgenschweren Hardware-Fehler
Foto/Grafik/Montage: teltarif.de Aufgefallen ist die Sache größtenteils erst, nachdem eine stark erhöhte Entwickler­arbeit am Linux-Kernel im Bereich der virtuellen Speicher­verwaltung festgestellt wurde. Bemerkenswert an der Sache ist, dass solche tiefgreifenden Änderungen im Linux-Kernel meist mit monate­langen Diskussionen einhergehen, im aktuellen Fall jedoch sehr schnell von den leitenden Entwicklern als Kernel Page-Table Isolation abgenickt und implementiert wurden. Erschwerend kommt hinzu, dass die Patches größten­teils auch als Backport für die Long-Term-Support-Kernel 4.9 und 4.14 implementiert werden - und das sogar mitten über die Feiertage hinweg. Spätestens da sollte die Wichtigkeit der Patches auffallen.

Trotzdem sollte beachtet werden, dass die Patches für den Linux-Kernel und parallel für den Kernel von Windows 10 alleine keine Sicherung bedeuten. Das Problem selbst liegt im Chip-Design von Intel, wofür es zunächst keine näheren Erläuterungen geben wird, um potenzielle Angreifer nicht mit wichtigen Details zu versorgen.

Bekannt ist lediglich, basierend auf den Arbeiten der Linux-Kernel-Entwickler, dass ein Prozess Intel-CPUs dazu auffordern kann, eine zufällig angeforderte spekulative Speicher­adresse ohne Überprüfung der richtigen Zugriffs­rechte zu laden. Im Endeffekt kann so ein Prozess ohne jegliche Privilegien auf den Kernel-Speicher zugreifen und sensible Daten abgreifen.

Um es möglichen Angreifern von vornherein schwerer zu machen, haben Microsoft, Apple und auch Google erste Updates veröffentlicht. Was es bei diesen zu beachten gibt und wie Browser Google Chrome sowie Mozilla Firefox die Sicherheit zusätzlich verbessern können, erfahren Sie in diesem Artikel.

Der Grund für den erwarteten Performance-Verlust

Warum jedoch durch die Patches mit Leistungs­einbußen von bis zu 30 Prozent gerechnet wird, hängt damit zusammen, wie virtueller Speicher verwendet wird. So arbeiten PC-Prozesse mit virtuellen Speicher­adressen, die als eine Art Adressbuch für den vorhandenen physischen und vor allem freien RAM interpretiert werden können. Der Kernel bekommt nun die Aufgabe, diese freien physischen Speicher­bereiche zu finden und den Prozessen über den virtuellen Speicher zuzuweisen. Im Endeffekt können mehrere Prozesse parallel abgearbeitet werden, ohne das sie sich gegenseitig ins Gehege kommen, was den physischen Speicher anbelangt.

Um den Aufwand zu minimieren, die physikalischen Speicher­adressen in virtuelle Adressen zu übersetzen, verfügen Intel-CPUs über den sogenannten Translation Lookaside Buffer (TLB). Im Normalfall wird dieser TLB nur bei einem Wechsel der Prozesse geleert, was beim Pausieren eines Prozesses und dem Starten des nächsten Prozesses erfolgt. Jedoch wird gezwungener­maßen mit den notwendigen Patches genau dieser Vorgang im Prinzip außer Kraft gesetzt: Der TLB muss zusätzlich vor und nach jedem Systemaufruf (Syscalls) geleert werden.

Genau an dieser Stelle liegt auch der Grund, warum manche Systeme weniger und andere wiederum stärker von Leistungs­einbußen betroffen sein können. Je nachdem wie effizient die Intel-CPU arbeitet und wie oft Syscalls durch Anwendungs­programme aufgerufen wird, fällt die Leistung des Prozessors spürbar in den Keller.

Abschließend ist noch nicht abzuschätzen, wie stark die Einbußen bei Windows-Systemen ausfallen könnten. Die involvierten Linux-Kernel-Entwickler selbst rechnen je nach Benchmark und Anwendungs­szenario mit Einbußen zwischen kaum merklichen 5 Prozent bis hin zu deutlich spürbaren 50 Prozent. Unklar ist zudem, ob ältere noch unterstützte Windows-Versionen ein Kernel-Update bekommen und welche Maßnahmen Apple für macOS vorgesehen hat. Zumindest bei Microsoft wird ein entsprechend aktualisierter Kernel ohne angreifbares Speichermapping für virtuellen Speicher im Insider-Ring bereits getestet.

Lesen Sie in einem weiteren Beitrag, wie sie ohne Ihr Windows-System anrühren zu müssen eine Linux-Distribution ausprobieren können.