{"id":199270,"date":"2018-01-03T05:34:00","date_gmt":"2018-01-03T04:34:00","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=199270"},"modified":"2024-10-04T21:16:50","modified_gmt":"2024-10-04T19:16:50","slug":"sicherheitslcke-bug-in-intel-cpus-bedroht-betriebssysteme","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2018\/01\/03\/sicherheitslcke-bug-in-intel-cpus-bedroht-betriebssysteme\/","title":{"rendered":"Sicherheitsl&uuml;cke: Bug in Intel CPUs bedroht Betriebssysteme"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\" width=\"40\" height=\"47\" align=\"left\" \/>[English]Ein Designfehler in existierenden Intel CPUs scheint gravierende Auswirkungen auf alle Betriebssysteme zu haben, die auf diesen CPUs laufen. Im Linux-Kernel wurde schon gepatcht. Aber was ist mit Windows und anderen Betriebssystemen, die auf diesen CPUs laufen?<\/p>\n<p><!--more--><\/p>\n<h2>Erste Informationen<\/h2>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/ssl-vg03.met.vgwort.de\/na\/9af035b3b2b94b62add11836510c9b06\" alt=\"\" width=\"1\" height=\"1\" \/>Noch ist einiges Spekulation \u2013 aber ich hatte vor zwei Tagen den Bericht <a href=\"https:\/\/web.archive.org\/web\/20210410004233\/https:\/\/pythonsweetness.tumblr.com\/post\/169166980422\/the-mysterious-case-of-the-linux-page-table\" target=\"_blank\" rel=\"noopener\">The mysterious case of the Linux Page Table Isolation patches<\/a> gelesen, wo sich folgende Information findet:<\/p>\n<blockquote><p>there is presently an embargoed security bug impacting apparently all contemporary CPU architectures that implement virtual memory, requiring hardware changes to fully resolve. Urgent development of a software mitigation is being done in the open and recently landed in the Linux kernel, and a similar mitigation began appearing in NT kernels in November. In the worst case the software fix causes huge slowdowns in typical workloads. There are hints the attack impacts common virtualization environments including Amazon EC2 and Google Compute Engine, and additional hints the exact attack may involve a new variant of Rowhammer.<\/p><\/blockquote>\n<p>Zu Deutsch: Es gibt derzeit ein Sicherheitsproblem (welches unter Embargo gehalten wird), das offensichtlich alle zeitgen\u00f6ssischen [Intel] CPU-Architekturen betrifft. Dessen vollst\u00e4ndige Behebung erfordert Hardware-\u00c4nderungen. Um das Sicherheitsproblem abzuschw\u00e4chen, muss per Software nachgebessert werden. Ein Patch ist vor kurzem im Linux-Kernel gelandet, und ein \u00e4hnlicher Fix wurde ab November 2017 im NT-Kernel von Windows eingef\u00fchrt. Die letztere Information geht aus <a href=\"https:\/\/twitter.com\/aionescu\/status\/930412525111296000\" target=\"_blank\" rel=\"noopener\">diesem Tweet<\/a> der hervor.<\/p>\n<blockquote class=\"twitter-tweet\" data-lang=\"de\">\n<p dir=\"ltr\" lang=\"en\">Windows 17035 Kernel ASLR\/VA Isolation In Practice (like Linux KAISER). First screenshot shows how NtCreateFile is not mapped in the kernel region of the user CR3. Second screenshot shows how a 'shadow' kernel trap handler, is (has to be). <a href=\"https:\/\/t.co\/7PriLIJHe1\">pic.twitter.com\/7PriLIJHe1<\/a><\/p>\n<p>\u2014 Alex Ionescu (@aionescu) <a href=\"https:\/\/twitter.com\/aionescu\/status\/930412525111296000?ref_src=twsrc%5Etfw\">14. November 2017<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Diese Software-Fixes f\u00fchren aber zu einer massiven Verlangsamungen typischer Workloads. Es gibt Hinweise darauf, dass der Angriff Auswirkungen auf g\u00e4ngige Virtualisierungsumgebungen wie Amazon EC2 und Google Compute Engine hat, und zus\u00e4tzliche Hinweise, dass der genaue Angriff eine neue Variante von Rowhammer beinhaltet.<\/p>\n<h2>Linux-Kernel-Entwickler haben umgebaut<\/h2>\n<p>Um die Weihnachtsfeiertage 2017 gab es bei den Linux Kernel-Entwicklern heftige Aktivit\u00e4ten, wie ComputerBase <a href=\"https:\/\/www.computerbase.de\/2018-01\/intel-cpu-pti-sicherheitsluecke\/\" target=\"_blank\" rel=\"noopener\">hier<\/a> schreibt. In den letzten Wochen wurden Teile des <a href=\"https:\/\/de.wikipedia.org\/wiki\/Virtuelle_Speicherverwaltung\" target=\"_blank\" rel=\"noopener\">Virtual-Memory-Subsystem<\/a> kr\u00e4ftig umgebaut. Konkret handelt es sich um den <a href=\"https:\/\/lwn.net\/SubscriberLink\/741878\/78d70a9fed62f496\/\" target=\"_blank\" rel=\"noopener\">Kernel Page-Table Isolation<\/a> (KPTI), der es erzwingt, dass der Speicherbereich des Kernels nicht mehr in den Speicherbereich der Prozesse gemappt wird. Bei ComputerBase findet sich eine etwas ausf\u00fchrlichere Beschreibung des Ganzen.<\/p>\n<p>Die Umbauten beziehen sich nicht nur auf den Linux-Kernel 4.15, der erst ver\u00f6ffentlicht wird. Sondern die Patches beziehen sich auch f\u00fcr \u00e4ltere Linux-Kernel-Versionen 4.9 und 4.14. Das ging dieses Mal ohne gro\u00dfe Diskussionen und Streit ab, es muss also einen triftigen Grund f\u00fcr den Umbau geben.<\/p>\n<h2>Rowhammer-Angriff in Intel CPUs m\u00f6glich<\/h2>\n<p>Rowhammer ist eine hardwarebasierende Sicherheitsl\u00fccke, die man erstmals bei Android-Ger\u00e4ten nachgewiesen hat (siehe meinen Blog-Beitrag Drammer-Exploit nutzt Rowhammer-L\u00fccke f\u00fcr Android-Root). Durch eine als Flip Feng Shui (FFS) benannte Technik lassen sich Speicherzellen im RAM manipulieren.<\/p>\n<p>Auf Intel CPUs lassen sich durch eine fehlerhafte Implementierung der virtuellen Speicherverwaltung Speicherbereiche spekulativ laden. Der Zugriff auf diese Speicherbereich erfolgt dann ohne weitere Pr\u00fcfung, ob der Prozess die erforderlichen Rechte hat. Dies ist nat\u00fcrlich der Super-GAU, denn damit kann jeder nicht privilegierte Prozess auf den Speicher des Kernels zugreifen, um zumindest sensible Daten auszulesen.<\/p>\n<h2>Das Ganze schl\u00e4gt Wellen<\/h2>\n<p>Nun ist Linux das Eine, aber die Intel CPUs der x86-Architektur stecken ja in vielen Ger\u00e4ten und Systemen und es gibt eine Menge Betriebssysteme, die Intel verwenden. Oben hatte ich ja ausgef\u00fchrt, dass Microsoft bereits im November 2017 mit Kernel-Updates begonnen hat, dieses Loch ins einen Windows-Clients zu stopfen. Aber es gibt ja noch mehr Systeme, auf die wir unser Augenmerk richten sollten. Was ist mit der Cloud? Die l\u00e4uft auch auf Rechnern \u2013 die (richtig beobachtet) Intel CPUs verwenden.<\/p>\n<p>Cloud-Provider wie Amazon (AWS) und <a href=\"https:\/\/web.archive.org\/web\/20210410004233\/https:\/\/pythonsweetness.tumblr.com\/post\/169166980422\/the-mysterious-case-of-the-linux-page-table\" target=\"_blank\" rel=\"noopener\">Google<\/a> d\u00fcrften genau so betroffen sein, wie Microsoft mit seinem Azure. Auch Apple d\u00fcrfte in macOS nachbessern m\u00fcssen. The Register <a href=\"https:\/\/web.archive.org\/web\/20210410004233\/https:\/\/pythonsweetness.tumblr.com\/post\/169166980422\/the-mysterious-case-of-the-linux-page-table\" target=\"_blank\" rel=\"noopener\">berichtet hier<\/a>, dass eigentlich alle Betriebssysteme einem Redesign unterzogen werden m\u00fcssen.\u00a0 Der englischsprachige Artikel enth\u00e4lt einige Details zu den Angriffsszenarien.<\/p>\n<p>Weiterhin gibt es <a href=\"https:\/\/www.computerbase.de\/2018-01\/intel-cpu-pti-sicherheitsluecke\/\" target=\"_blank\" rel=\"noopener\">Spekulationen<\/a>, dass die als \u201eDefense in Depth\" eingesetzte Sicherheitstechnik <a href=\"https:\/\/de.wikipedia.org\/wiki\/Address_Space_Layout_Randomization\" target=\"_blank\" rel=\"noopener\">Address Space Layout Randomization<\/a> (ASLR) des Kernels ausgehebelt werden k\u00f6nnte.<\/p>\n<h2>Patch f\u00fcr Azure VMs am 10. Januar 2018<\/h2>\n<p>Beim Januar 2018-Patchday (n\u00e4chsten Mittwoch, 10. 1. 2017) plant Microsoft seine Azure Virtual Machines zu patchen. Im Microsoft Azure-Forum gibt es <a href=\"https:\/\/web.archive.org\/web\/20230618095522\/https:\/\/social.msdn.microsoft.com\/Forums\/azure\/en-US\/1949c2df-9fb1-4978-b41c-59ee22d98bde\/january-10th-2018-planned-virtual-machine-maintenance-reboot-strategy?forum=WAVirtualMachinesforWindows\" target=\"_blank\" rel=\"noopener\">hier einen Beitrag<\/a>:<\/p>\n<blockquote><p>Your Azure Virtual Machines (VMs) require an important security and maintenance update. The vast majority of Azure updates are performed without impact but, for this specific update, a reboot of your VMs is necessary.<\/p><\/blockquote>\n<h2>Workaround f\u00fchrt zur Verlangsamung der Systeme<\/h2>\n<p>Zum Jahresende gab es einen recht <a href=\"https:\/\/twitter.com\/grsecurity\/status\/947439275460702208\" target=\"_blank\" rel=\"noopener\">merkw\u00fcrdigen Tweet<\/a> von grsecurity, in dem \u00fcber Performance-Verluste auf einem AMD-System als Folge von (K)PTI berichtet wurde.<\/p>\n<blockquote class=\"twitter-tweet\" data-lang=\"de\">\n<p dir=\"ltr\" lang=\"en\">This is bad: performance hit from PTI on the du -s benchmark on an AMD EPYC 7601 is 49%. <a href=\"https:\/\/t.co\/TT2aQpsb5U\">https:\/\/t.co\/TT2aQpsb5U<\/a> <a href=\"https:\/\/t.co\/Y12B1SIUMd\">https:\/\/t.co\/Y12B1SIUMd<\/a><\/p>\n<p>\u2014 grsecurity (@grsecurity) <a href=\"https:\/\/twitter.com\/grsecurity\/status\/947439275460702208?ref_src=twsrc%5Etfw\">31. Dezember 2017<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Merkw\u00fcrdig ist aber, dass die AMD-CPUs von der PTI nicht betroffen sind. Caschy weist auf einen sehr <a href=\"https:\/\/www.reddit.com\/r\/sysadmin\/comments\/7nl8r0\/intel_bug_incoming\/\" target=\"_blank\" rel=\"noopener\">interessanten Diskussionsthread<\/a> bei reddit.com zu diesem Thema hin. Dort wird \u00fcber Leistungseinbu\u00dfen von 30 % und mehr spekuliert, wobei die Bandbreite von 5% bis 50 % variiert). Erste Benchmarks sind <a href=\"https:\/\/www.phoronix.com\/scan.php?page=article&amp;item=linux-415-x86pti&amp;num=2\" target=\"_blank\" rel=\"noopener\">hier<\/a> (und in <a href=\"https:\/\/twitter.com\/TheRegister\/status\/948342806367518720\" target=\"_blank\" rel=\"noopener\">diesem Tweet<\/a>) zu finden. Nutzer einer PostgreSQL-Datenbank haben <a href=\"https:\/\/web.archive.org\/web\/20220122223227\/https:\/\/lkml.org\/lkml\/2018\/1\/2\/678\" target=\"_blank\" rel=\"noopener\">hier<\/a> einen Benchmark ver\u00f6ffentlicht, wie sich PTI auf die Performance der Datenbank auswirkt.<\/p>\n<h2>AMD-CPUs nicht betroffen<\/h2>\n<p>Und noch etwas ist klar schnell klar: Die Besitzer einer AMD-CPU haben diesbez\u00fcglich Schwein gehabt. Diese CPU-Familie ist nicht betroffen, wie <a href=\"https:\/\/web.archive.org\/web\/20220914195652\/https:\/\/lkml.org\/lkml\/2017\/12\/27\/2\" target=\"_blank\" rel=\"noopener\">diese Stellungnahme<\/a> von AMD ausf\u00fchrt.<\/p>\n<blockquote><p>AMD processors are not subject to the types of attacks that the kernel<br \/>\npage table isolation feature protects against. The AMD microarchitecture<br \/>\ndoes not allow memory references, including speculative references, that<br \/>\naccess higher privileged data when running in a lesser privileged mode<br \/>\nwhen that access would result in a page fault.<\/p>\n<p>Disable page table isolation by default on AMD processors by not setting<br \/>\nthe X86_BUG_CPU_INSECURE feature, which controls whether X86_FEATURE_PTI<br \/>\nis set.<\/p><\/blockquote>\n<p>Von Intel liegt meines Wissens nach noch keine Stellungnahme vor. Erg\u00e4nzung: Bei heise.de ist inzwischen <a href=\"https:\/\/www.heise.de\/security\/meldung\/Massive-Luecke-in-Intel-CPUs-erfordert-umfassende-Patches-3931562.html\" target=\"_blank\" rel=\"noopener\">dieser Artikel<\/a> erschienen, wo noch einige zus\u00e4tzliche Details zu finden sind.<\/p>\n<h2>Nachtrag: Lahme Stellungnahme von Intel<\/h2>\n<p>Inzwischen hat Intel eine Stellungnahme zum Problem f\u00fcr die Presse <a href=\"https:\/\/web.archive.org\/web\/20230306055608\/https:\/\/newsroom.intel.com\/news\/intel-responds-to-security-research-findings\/\" target=\"_blank\" rel=\"noopener\">verteilt<\/a>. Hier die deutsche \u00dcbersetzung von mir:<\/p>\n<blockquote><p>Intel reagiert auf Erkenntnisse der Sicherheitsforschung<\/p>\n<p>Intel und andere Technologieunternehmen wurden auf die neue Sicherheitserkenntnis aufmerksam gemacht, die Software-Analysemethoden beschreibt, die, wenn sie f\u00fcr b\u00f6swillige Zwecke eingesetzt werden, das Potenzial haben, sensible Daten von Computern, die so funktionieren, wie sie entworfen wurden, unsachgem\u00e4\u00df zu erfassen. Intel ist der Ansicht, dass diese Exploits nicht das Potenzial haben, Daten zu besch\u00e4digen, zu ver\u00e4ndern oder zu l\u00f6schen.<\/p>\n<p>J\u00fcngste Berichte, dass diese Exploits durch einen \"Bug\" oder einen \"Fehler\" verursacht werden und nur f\u00fcr Intel-Produkte gelten, sind falsch. Basierend auf der bisherigen Analyse sind viele Arten von Computerger\u00e4ten &#8211; mit Prozessoren und Betriebssystemen verschiedener Hersteller &#8211; anf\u00e4llig f\u00fcr diese Exploits.<\/p>\n<p>Intel hat sich der Produkt- und Kundensicherheit verschrieben und arbeitet eng mit vielen anderen Technologieunternehmen, darunter AMD, ARM Holdings und verschiedenen Betriebssystemherstellern, zusammen, um einen branchenweiten Ansatz zu entwickeln, um dieses Problem schnell und konstruktiv zu l\u00f6sen. Intel hat damit begonnen, Software- und Firmware-Updates bereitzustellen, um diese Exploits abzuschw\u00e4chen. Im Gegensatz zu einigen Berichten sind die Auswirkungen auf die Performance arbeitslastabh\u00e4ngig und sollten f\u00fcr den durchschnittlichen Computerbenutzer nicht signifikant sein und werden im Laufe der Zeit gemildert.<\/p>\n<p>Intel bekennt sich zu den branchenweit besten Praktiken der verantwortungsbewussten Offenlegung potenzieller Sicherheitsprobleme, weshalb Intel und andere Anbieter geplant hatten, dieses Problem n\u00e4chste Woche offenzulegen, wenn weitere Software- und Firmware-Updates verf\u00fcgbar sein werden. Allerdings macht Intel diese Aussage heute wegen der aktuellen ungenauen Medienberichte.<\/p>\n<p>Erkundigen Sie sich bei Ihrem Betriebssystemhersteller oder Systemhersteller und wenden Sie alle verf\u00fcgbaren Updates an, sobald sie verf\u00fcgbar sind. Die Befolgung guter Sicherheitspraktiken, die im Allgemeinen vor Malware sch\u00fctzen, wird auch dazu beitragen, vor einer m\u00f6glichen Ausbeutung zu sch\u00fctzen, bis Aktualisierungen durchgef\u00fchrt werden k\u00f6nnen.<\/p>\n<p>Intel ist davon \u00fcberzeugt, dass seine Produkte die sichersten der Welt sind und dass die aktuellen L\u00f6sungen mit Unterst\u00fctzung seiner Partner die bestm\u00f6gliche Sicherheit f\u00fcr seine Kunden bieten.<\/p><\/blockquote>\n<p>Der letzte Satz erinnert mich an die Zeit vor vielen Jahrzehnten, als ich meiner damals kleinen Tochter aus dem M\u00e4rchenbuch Geschichten vorlesen musste. Da gab es auch immer die gute Intel Fee, die einfach per Zauberstab das B\u00f6se wech zauberte &#8211; und das Kind war gl\u00fccklich &#8230;<\/p>\n","protected":false},"excerpt":{"rendered":"<p>[English]Ein Designfehler in existierenden Intel CPUs scheint gravierende Auswirkungen auf alle Betriebssysteme zu haben, die auf diesen CPUs laufen. Im Linux-Kernel wurde schon gepatcht. Aber was ist mit Windows und anderen Betriebssystemen, die auf diesen CPUs laufen?<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[1080,4328],"class_list":["post-199270","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-intel","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/199270","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=199270"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/199270\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=199270"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=199270"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=199270"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}