Speculative Store Bypass Google und Microsoft melden neue Chip-Sicherheitslücke
Intel-Logo
Foto: Dado Ruvic/ REUTERSSchon wieder warnen Computerexperten vor einer Sicherheitslücke in Mikroprozessoren. Eine neue Variante der seit Januar als Spectre und Meltdown bekannten Schwachstellen bedroht Millionen von Computern, meldet der Chip-Hersteller Intel gemeinsam mit Microsofts Security Response Center (MSRC) und Googles Project Zero.
Die neue Schwachstelle wird von Intel als Variante 4 bezeichnet. Sie folgt damit auf die bereits bekannten Sicherheitslücken Spectre, Meltdown und Spectre Next Generation. In einer Warnung des US-amerikanischen Computer Emergency Response Team (CERT) wird die Schwachstelle als "Speculative Store Bypass" bezeichnet. Die Lücke auszunutzen, sei eher schwierig.
Grundsätzlich ist das Gefahrenpotenzial des "Speculative Store Bypass" aber ebenso groß wie das der bisher bekannten Angriffe. Fremde könnten die Schwachstelle nutzen, um geheime Daten, wie beispielsweise Passwörter und Krypto-Schlüssel, aus geschützten in ungeschützte Speicherbereiche zu kopieren. Von dort aus können die Angreifer sie dann abgreifen. Neben Intel-Chips sind auch Chips von AMD und ARM von dem Problem betroffen.
Kleiner Leistungszuwachs, großes Gefahrenpotenzial
Wie schon die unter den Oberbegriffen Spectre und Meltdown bekannten Sicherheitslücken hängt auch die neue Variante 4 mit der "Speculative Execution" zusammen, einer Technik, die Prozessoren schneller machen soll. Hierbei werden gerade ungenutzte Prozessorressourcen dazu verwendet, die wahrscheinlich als nächstes gebrauchten Arbeitsschritte schon vorab auszuführen.
Weil das nicht immer klappt, da oft doch andere Funktionen als die von der Logik des Chips erwarteten abgerufen werden, bringt diese Technik zwar nur einen geringen Leistungsgewinn. Da es aber immer schwieriger wird, die Performance von Silizium-Prozessoren zu steigern, wird sie dennoch seit vielen Jahren in allen gängigen Prozessoren eingesetzt.
Prozessor-Primus Intel hatte sich gleich nach dem Bekanntwerden von Spectre und Meltdown bemüht, die Probleme mit der Technik kleinzureden, etwa auf der Hightech-Messe CES in Las Vegas. Dort sagte Intel-Chef Brian Krzanich, man habe keine Hinweise darauf, dass Meltdown und Spectre schon bei irgendeinem Kunden zu Datenverlusten geführt hätten.
Zudem erging er sich in Plattitüden wie "Sicherheit ist unsere Nummer Eins" und verwies auf Updates, mit denen Betriebssystemhersteller das Problem eingrenzen wollten. Nur wenig später freilich warnte Intel selbst vor Problemen, die diese Updates bereiten konnten und empfahl, mit deren Installation noch zu warten.
Überdies wurde schnell klar, dass die Updates nicht ohne Leistungseinbußen daherkommen. Anfangs war von bis zu zehn Prozent die Rede, später von nur zwei Prozent. Ein klares Bild zeichnet sich hier nicht ab.
Lieber sicher oder lieber schnell?
Ähnliches gilt für die Patches, die Intel nun für die Variante 4 vorbereitet. Die Betaversion eines sogenannten Microcode-Updates sei bereits an PC- und Betriebssystemhersteller ausgeliefert worden, heißt es. Intel-Managerin Leslie Culbertson schreibt, man gehe davon aus, dass entsprechende Software-Updates für Endkunden innerhalb der kommenden Wochen bereitstehen.
Ohne Performance-Einbußen werden aber auch die neuen Updates nicht funktionieren. Intel selbst habe auf Computern mit dem Patch um zwei bis acht Prozent weniger Leistung gemessen, sagt Culbertson. Aber das müsse man nicht hinnehmen, schließlich - das ist neu - habe man als Anwender bei diesem Patch die Option, ihn abzuschalten. Dann gäbe es gar keine Leistungseinbußen.
Dass das Abschalten vertretbar sei, suggeriert die Managerin in einem anderen Satz, in dem es heißt, Intel seien keine Berichte bekannt, wonach die Sicherheitslücke bereits ausgenutzt worden ist. Intel zufolge ist es für potenzielle Angreifer sehr schwierig, einen "Speculative Store Bypass" erfolgreich einzusetzen, da die meisten Browserhersteller ihre Software bereits nach Bekanntwerden von Spectre und Meltdown im Januar abgesichert hätten.
