In Prozessoren von Intel wurde eine neue Sicherheitslücke aufgedeckt, die es Angreifern ermöglicht, fast beliebige Informationen aus Computersystemen auszulesen. Ähnlich wie bei Meltdown uns Spectre geht das allerdings nur ziemlich langsam.

Die Entdecker der Prozessor-Sicherheitslücken Meltdown, Spectre und Foreshadow haben eine neue Angriffstechnik präsentiert, mit der weitere Hardware-Schwachstellen in Intel-Prozessoren ausgenutzt werden können. Mit dem auf den Namen ZombieLoad getauften Angriff schaffen sie es, dem Prozessor selbst geheimste Informationen wie Passwörter und Krypto-Schlüssel zu entlocken.

Die Angriffstechnik ist langsam und kann nur ungezielt solche Daten auslesen, die in dem Moment gerade vom betroffenen Prozessor verarbeitet werden. Sie zeichnet sich allerdings dadurch aus, dass der Angreifer ohne Rücksicht auf Nutzer-Rechte Zugriff auf alle möglichen Daten hat – auch die des Betriebssystem-Kernels und von Intels Hochsicherheits-Datenenklave SGX. Auf virtualisierten Systemen, etwa in einem Cloud-Rechenzentrum, hat der Angreifer Zugang zu sensiblen Informationen anderer virtueller Maschinen und somit zu Daten anderer Kunden des Cloud-Anbieters. Darüber hinaus kann er den unterliegenden Hypervisor, und damit Systeme des Cloud-Dienstleister selbst, angreifen.

Der Spion im Prozessor

ZombieLoad eignet sich vor allem dazu, sich auf einem Zielsystem auf die Lauer zu legen und im richtigen Moment wertvolle Geheimnisse wie Passwörter oder Krypto-Schlüssel mitzuhören. Um eine ZombieLoad-Angriff auszuführen, muss der Angreifer seinen Code auf einem System ausführen lassen – etwa indem er diesen dem Anwender unbemerkt als Teil eines harmlos aussehenden Programms unterschiebt. Dann wartet er darauf, dass geheime Daten vom Betriebssystem verarbeitet werden. Öffnet ein Anwender zum Beispiel einen Passwort-Manager, kann der Schadcode des Angreifers in dem Moment auf die dort gespeicherten Daten zugreifen, in dem sie vom Prozessor verarbeitet werden. Nicht nur Passwörter lassen sich so auslesen, sondern auch kryptografische Schlüssel, wie sie etwa bei verschlüsselten Verbindungen im Internet verwendet werden. Für diese ZombieLoad-Angriffe werden keine Administratorrechte benötigt, was es vereinfacht, diese durchzuführen.

Grundlage der Angriffe ist, ähnlich wie bei Spectre und Meltdown, dass die meisten modernen Prozessoren Rechenanweisungen von Programmen nicht der Reihe nach ausführen, in der diese im Programmcode vorkommen. Stattdessen greift der Prozessor den Ergebnissen früher Rechenanweisungen voraus und versucht zu erraten, wohin die Reise geht. Dann rechnet er parallel zu den gerade abzuarbeitenden Rechenoperationen auch schon mal solche aus, die erst später an der Reihe sind. Oft müssen dabei Daten, die für diese Rechnungen aus dem Speicher geladen wurden, wieder verworfen werden. Unter bestimmten Umständen kann ein Prozess dabei auf Daten zugreifen, die aus einem ganz anderen Programm stammen und die eigentlich nicht einsehbar sein sollten. Diese Schwachstelle der Prozessor-Bauweise bei Intel macht sich ZombieLoad zu nutze.

Sicherheitsupdates für Betriebssysteme und Prozessoren

Entdeckt wurden die Schwachstellen von einem Forscherteam der Universitäten Graz und Leuven, des Worcester Polytechnic Institute in den USA und der deutschen Sicherheitsfirma Cyberus Technology. Zu dem Team gehören auch die Spectre-und-Meltdown-Entdecker Daniel Gruss, Moritz Lipp und Michael Schwarz. Ähnlich wie Meltdown handelt es sich bei ZombieLoad nach Einschätzung der Forscher um ein Baufehler bei Intel-Prozessoren und nicht, wie bei Spectre, um einen grundsätzlichen Denkfehler beim Design von CPUs. Demnach scheinen auch nur Intel-Produkte betroffen. Warum genau der Fehler auftritt, konnten selbst die Forscher, die ihn entdeckten, nicht genau feststellen. Dazu sind die Prozessor-Funktionen, in denen die Schwachstelle auftritt, von Intel zu schlecht dokumentiert. Die Firma lässt sich traditionell bei den Details ihrer Prozessor-Hardware ungerne in die Karte gucken.

Die Forscher haben Intel nach eigenen Angaben die Lücken am 12. April gemeldet und die Firma hat ihre Erkenntnisse daraufhin bestätigt. Es gibt bereits Sicherheitsupdates für Windows, Linux und Apples macOS. Außerdem stellt Intel ein Microcode-Update für die Software der betroffenen Prozessoren bereit. Die Sicherheitsforscher sagen, dass das Ausschalten der Hyperthreading-Funktion der Intel-Prozessoren Systeme vor den ZombieLoad-Angriffen schützt. Die internen Speicherpuffer des Prozessors, welche den Kontext-Wechsel beim Hyperthreading verschiedener Prozesse auf einem Prozessorkern ermöglichen, sind integraler Teil des von den Forschern beschriebenen Angriffsszenarios.

Intels Hochsicherheits-Datenenklave geknackt

Über ZombieLoad ist auch Intels Software-Enklave SGX (Software Guard Extensions) angreifbar. SGX steckt in einer Reihe von Intel-Prozessoren seit der Skylake-Architektur. Es wird wird vor allem in Cloud-Rechenzentren verwendet, um Verschlüsselungs-Operationen zu schützen. Seltener wird es auch auf Desktop-Rechnern eingesetzt, um kopiergeschützte Videos anzuzeigen. Mit SGX können Programme ihren Code in einen geschützten Speicherbereich des Systems laden, der vom Intel-Prozessor selbst verwaltet wird. Weder Anwender des Systems, noch Administratoren oder das Betriebssystem selbst haben Zugriff auf die SGX-Enklave. Mit dem ZombieLoad-Angriff zeigen die Forscher einen weiteren Weg auf, wie ein Angreifer Geheimnisse aus dieser besonders geschützten Hochsicherheitszone auslesen können.

Dass Anti-Virus-Programme den Angriff an sich verhindern können, ist unwahrscheinlich, da die Gründe für die Schwachstelle sehr tief in der Prozessor-Infrastruktur selbst liegen. Falls allerdings tatsächlich Malware in Umlauf gerät, der versucht, die ZombieLoad-Lücke auszunutzen, könnten derartige Programme den Schadcode abfangen, bevor er vom Nutzer ausgeführt wird. Die Gefahr für massenhafte Angriffe auf die Sicherheitslücke ist zudem eher gering. Der mit einem Angriff auf diese Schwachstelle verbundene Aufwand ist dafür zu hoch und die Geschwindigkeit, mit der sich die Daten auslesen lassen, ist zu langsam. ZombieLoad eignet sich wohl eher für sehr gezielte Angriffe auf Systeme mit besonders wertvollen Daten.

Update vom 15. Mai 2019, 13:04 CEST

Neben ZombieLoad haben die Forscher eine Reihe weiterer CPU-Lücken entdeckt und auf einer eigens dafür eingerichteten Webseite zusammengefasst.

Intel schätzt die von den Sicherheitslücken ausgehende Gefahr als “gering” bis “mittel hoch” ein. Der Chip-Hersteller gab zu Protokoll, die Lücken parallel zu den Forschern bei eigenen Untersuchungen entdeckt zu haben und hat eine entsprechende Analyse veröffentlicht. Neuere Prozessoren der Generationen Whiskey Lake and Coffee Lake werden demnach bereits mit einem Schutz vor den Angriffen ausgeliefert, für ältere Intel-Prozessoren gibt es Microcode-Firmware-Updates. Diese funktionieren allerdings nur, wenn für das vorhandene Betriebssystem und etwaige Virtualisierungs-Hypervisor ebenfalls Sicherheitsupdates eingespielt wurden.

Sicherheits-Experten gehen allerdings davon aus, dass vollständiger Schutz vor den Angriffen – die kollektiv unter dem neu eingeführten Begriff Microarchitecture Data Sampling (MDS) zusammengefasst werden – nur dann gegeben ist, wenn auf einem System neben dem Einspielen aller nötigen Software-Updates auch die Hyperthreading-Funktionen deaktiviert wurden. Presseberichten zufolge hat Google entsprechende Funktionen in ChromeOS bereits abgestellt. Microsoft, Apple, Red Hat, Xen und QubesOS empfehlen ihren Kunden ebenfalls, über entsprechende Schritte zum Schutz ihrer Systeme nachzudenken. Das Deaktivieren von Hyperthreading bringt in den meisten Fällen Geschwindigkeitsverluste auf den betroffenen Systemen mit sich – wie groß der Performance-Verlust genau ist, lässt sich bisher schwer abschätzen und kommt wahrscheinlich stark auf den Einzelfall an.

Aufmacherbild: Christian Wiediger

→ Kommentar-Thread zu diesem Artikel im Fediverse

Ich schreibe zeitnahe aber trotzdem fundiert recherchierte News-Meldungen wie diese als Auftragsarbeit für Publikationen aller Art. Bei Interesse findet ihr hier Kontaktdaten und weitere Arbeitsproben.