Forschende der ETH Zürich haben eine Sicherheitslücke bei Prozessoren der Marktführer Intel und AMD entdeckt. Bereits haben mehrere Techkonzerne Massnahmen ergriffen.Bild: EPA/EPA
Über die «Retbleed» getaufte Prozessor-Schwachstelle könnten sich Hacker Zugang auf Verschlüsselungscodes und Passwörter verschaffen. Nun haben unter anderem Microsoft, Google, Intel und AMD reagiert.
13.07.2022, 08:1413.07.2022, 11:43
Ann-Kathrin Amstutz / ch media
ETH-Forschende haben eine «schwerwiegende Sicherheitslücke» in der Computer-Hardware entdeckt. Die «Retbleed» genannte Schwachstelle betreffe Mikroprozessoren der Marktführer Intel und AMD.
Wo ist das Problem?
Betroffen seien weltweit alle kommerziell erhältlichen Betriebssysteme, die diese Prozessoren verwenden, teilte die ETH Zürich am Dienstagabend mit.
Die Sicherheitslücke entstehe in den Mikroprozessoren, welche die Anweisungen eines Computerprogramms ausführen und die entsprechenden Berechnungen durchführen. Zum Teil würden die zentralen Recheneinheiten dabei Schritte ausführen, welche die Rechenzeit verkürzen.
Genau da liegt laut den ETH-Forschenden das Problem: Diese Schritte würden im Speicher Spuren hinterlassen, die Hacker ausnutzen könnten, «um unbefugt Zugriff auf beliebige Informationen im System zu erhalten» – etwa Verschlüsselungscodes oder sicherheitsrelevante Passwörter.
Besonders riskant sei dies in Cloud-Umgebungen, in denen mehrere Unternehmen gemeinsame Computersysteme nutzen würden.
Wer ist betroffen?
Aller Wahrscheinlichkeit nach betroffen seien Intel-Mikroprozessoren, die 3 bis 6 Jahre alt sind, oder AMD-Prozessoren im Alter von 1 bis 11 Jahren.
«Wir haben den Proof-of-Concept-Code für Linux erstellt. Da das grundlegende Problem jedoch auf Hardwareebene liegt, haben auch Microsoft- und Apple-Computer mit der betroffenen Hardware dieses Problem.»
ETH-Forscherquelle: comsec.ethz.ch
Wie die ETH weiter schreibt, erachte das Nationale Zentrum für Cybersicherheit in Bern die Schwachstelle als «schwerwiegend», da die betroffenen Prozessoren weltweit im Einsatz seien. Am Dienstag hat das Zentrum die CVE-Nummern der betroffenen Prozessoren aufgeschaltet (siehe Infobox unten).
Wie gefährdet sind normale PCs?
Laut dem Techportal heise.de stellt Retbleed wohl «keine zusätzliche Bedrohung für typische Desktop-PCs und Notebooks mit Windows» dar. Wie bereits die mehr als 14-seitige Beschreibung der Retbleed-Angriffstechnik zeige, sei sie sehr kompliziert. Sogenannte «Seitenkanalangriffe» vom Typ Spectre (
2018 publik gemacht) seien primär für Cloudserver relevant sowie für Systeme, die sehr sensible Daten verarbeiten und stark abgeschottet sind.
Die ETH-Forscher schreiben, wer einen PC nutze, solle die neuesten Betriebssystem-Updates installieren. Und wer «Geheimnisse auf virtuellen Maschinen mit gemeinsam genutzter Hardware (z. B. in der Cloud)» habe, sollte sich des Problems bewusst sein. Es sei aber nicht gut für die Gesundheit, sich zu viele Sorgen zu machen.
(dsc)
Wie geht es weiter?
Unterdessen hätten die Hersteller bereits erste Massnahmen ergriffen, um die Sicherheitslücke zu schliessen, heisst es von der ETH. Wie in solchen Fällen üblich, habe man zuerst die betroffenen Hersteller informiert, bevor die Sicherheitslücke veröffentlicht wurde.
Die Firmen Microsoft, Oracle, Google, Linux, Intel, AMD und ARM hätten bereits an Schutzmassnahmen gearbeitet.
Wer hat das herausgefunden?
Entdeckt haben die Sicherheitslücke der Doktorand Johannes Wikner und Kaveh Razavi, ETH-Professor für Computersicherheit. Im Februar hätten sie den Nachweis erbracht, dass Retbleed ein ernsthaftes Problem darstelle.
In einem Fachartikel haben die beiden Forscher den ersten Ansatz der Hersteller Intel und AMD zur Lösung des Problems untersucht.
Warum «Retbleed»?
In der ETH-Medienmitteilung heisst es: «Manchmal blutet ein Computer aus seinem Herzen und gibt tröpfchenweise private Informationen preis.» Das treffe auf die am Dienstag publik gemachte Hardware-
Sicherheitslücke «Retbleed» zu: Sie entstehe in den Mikroprozessoren, welche die Anweisungen eines Computerprogramms ausführen und die entsprechenden Berechnungen durchführen.
Das Nationale Zentrum für Cybersicherheit (NCSC) in Bern hat in Zusammenarbeit und in Absprache mit den Forschenden der ETH Zürich für Retbleed die CVE-
Nummern
CVE-
2022-29900 (für Prozessoren des Herstellers AMD) und
CVE-
2022-29901 (für Prozessoren des Herstellers Intel) vergeben.
(dsc)
Quellen
(dsc/aargauerzeitung.ch)
2019 gabs «Smotherspectre»:
2018 sorgten «Meltdown» und «Spectre» für Aufregung:
2014 war «Heartbleed» ...
Die gefährlichsten Cyberwaffen und ihre Folgen
1 / 15
Die gefährlichsten Cyberwaffen und ihre Folgen
Mit der Entdeckung von Stuxnet geriet erstmals eine von staatlichen Hackern entwickelte Cyberwaffe ungewollt in private Hände. Die Schadsoftware war sehr wahrscheinlich von den USA und Israel um 2006 entwickelt worden – auch wenn die beteiligten Verantwortungsträger bis heute schweigen.
Hacker übernimmt die Kontrolle über selbstfahrendes Auto
Video: srf
Das könnte dich auch noch interessieren:
Der Krieg bringt nicht nur das Böse im Menschen hervor, sondern auch viel Gutes. watson lässt Ukrainerinnen und Ukrainer zu Wort kommen, die sich abseits der Front für die Verteidigung ihrer Heimat einsetzen.
Wegen der nur zögerlich erfolgenden und zum Teil ganz ausbleibenden Hilfe aus dem Westen sind viele Ukrainerinnen und Ukrainer von sich aus tätig geworden. Sie versuchen, den Mangel an Munition und Waffen mit unkonventionellen Ideen und innovativer Technik auszugleichen.
