Mitte September begreifen drei Forscher aus Graz, was hinter ihrem Fund steckt. „Auf einmal meldete sich Intel bei uns, es folgten unter anderem AMD und Amazon“, erinnert sich Moritz Lipp, einer der Programmierer. Die Unternehmen brauchten die Hilfe der IT-Experten aus Österreich. Sie waren zuvor in einem Experiment auf eine Sicherheitslücke gestoßen, die momentan im Zentrum der weltweiten Debatte um IT-Sicherheit steht.
Im Mai 2017 hatten Lipp und sein Team Angriffsvektoren ausprobiert. Mit einfachen Methoden bekamen sie dabei Zugriff auf den Kernel eines Versuchsprozessors. In diesem Speicher liegen die zentralen Informationen, die Betriebssysteme wie Windows oder MacOS (auch iOS) benötigen, um zu funktionieren – Steuerprotokolle, Krypto-Schlüssel und Datenorganisation. Die Sicherheitsforscher der TU Graz konnten in ihrem Laborversuch all das auslesen. Sie nannten ihren Exploit Meltdown und teilten ihn im Herbst mit Kollegen auf der Hackerkonferenz Black Hat in Las Vegas. Interessant war das, aber nur ein Einzelfall. „Wir dachten eigentlich, dafür wird sich nie jemand interessieren“, sagt Lipp. Sein Team hatte auch schon eine Lösung für das Problem, ein Linux-Update mit dem Namen „Kaiser-Patch“.
Sicherheitsarchitektur von Rechnern muss vielleicht neu gedacht werden
Entgegen ihren Erwartungen interessiert sich jetzt die ganze Welt dafür. Die Lücke, die sie in einem Grazer Labor entdeckten, ist ungleich schlimmer als angenommen. Zusammen mit ihrem noch gefährlicheren Exploit-Bruder „Spectre“, gefunden von Sicherheitsforschern bei Google, beweist sie: Gefahr droht auch von der grundlegendsten Hardware – die Sicherheitsarchitektur von Rechnern muss vielleicht neu gedacht werden.
Aber Schritt für Schritt. Moderne Computerchips sollen besonders schnell sein und deshalb absolvieren sie viele Aufgaben gleichzeitig. Läuft ein Prozess, bereitet die CPU bereits den nächsten vor. „Aus Performance-Gründen wird dafür nicht geprüft, ob das zugreifende Programm überhaupt die Rechte für einen Zugriff hat“, erklärt die TU-Graz. Spectre und Meltdown nutzen genau diese Funktion aus, um über eine Lücke kritischen Zugriff zu erhalten. Von Spionage bis Manipulation, alles wird so möglich, ohne eine Spur zu hinterlassen. Betroffen sind Chips weltweit, Meltdown funktioniert nur bei Intel, Spectre im Grunde auf jedem neueren Chip, der existiert. Die Unternehmen müssen jetzt Sicherheits-Updates auf den Markt bringen. Der einzige Weg funktioniert über Entschleunigung der CPU-Prozesse – Systeme werden langsamer: Weltweit befürchten Medien bis zu 30 Prozent weniger Geschwindigkeit.
„Die Perfomance-Einbußen hängen stark vom Einzelfall ab“, beruhigt Lipp. Normale PC-Nutzer dürften kaum etwas mitbekommen. „Für das Surfen im Netz, für Banking-Apps und Photoshop ist unser Patch kein Problem.“ Wer aber mit vielen kleinen Dateien und Prozessen hantiert, etwa große Serverzentren, der wird das Update schmerzlich merken – vor allem, wenn nicht die neuesten CPUs zum Einsatz kommen. Die Datenindustrie dürfte Spectre und Meltdown also besonders hart treffen.
Die Angst vor langsamer Verarbeitung und finanziellen Einbußen, so glaubt Lipp, sollte nicht die größte Sorge der Unternehmen sein. „Wir haben hier einen Meilenstein, der neue Wege zeigt“, sagt er WIRED. Im Bereich Software werden andauernd Sicherheitslücken entdeckt, hier geht es um etwas anderes: Wenn Angreifer das tiefste Innere eines Systems, dessen zentrale Hardware, manipulieren und aushorchen können, dann ist die Sicherheit der Software völlig egal. „Dann gelten die alten Annahmen über Sicherheit schlicht nicht mehr“, sagt Lipp.
Wie ein undichter Boden: Informationen sickern durch
Egal welche Sicherheitsmaßnahmen man auf einem Rechner vorgenommen hat, egal wie sicher ein Programm ist und wie viele Zugriffsrechte es hat. Gibt es eine Lücke in der CPU, sickern unten sozusagen alle Informationen durch einen undichten Boden – und es ist dieser Sicherheitsbereich, indem es bisher noch wenig Forschung gibt, auch weil Computerchips noch immer von einigen wenigen großen Herstellern produziert, kontrolliert und veröffentlich werden.
„Wir reden von Angriffen, die sich in der Praxis wahnsinnig schwer nachvollziehen lassen“, sagt Lipp. Was es noch für Lücken gibt und wer von ihnen weiß, das lässt sich nur erahnen. Er und sein Grazer Team hoffen, dass Unternehmen und User das Update trotz Perfomance-Ängsten schnell einspielen. Die Sicherheitslücke ist jetzt öffentlich und Angreifer weltweit können sie nutzen. Finanzielle Ängste dürfen deshalb auch bei Unternehmen im Moment keine Rolle spielen.
Dieser Artikel erschien zuerst auf Wired.de. 