Meltdown und Spectre – Lösungen für Digital Signage

Derzeit sind drei verschiedene Angriffswege bekannt, um über Spectre (Schreckgespenst) und Meltdown (Kernschmelze) Rechner zu kompromittieren. Stark vereinfacht gesagt: Jedes stationäre oder mobile Betriebssystem ist dadurch angreifbar und nahezu jeder Prozessor, der seit 1995 das Licht der Welt erblickt hat (so dieser noch lebt, und nicht im Transistoren-Himmel seiner Nirvana-Glückseligkeit frönt).

In diesem Artikel geht es nicht um die exakte Funktionsweise der Angriffswege. Dazu hat die in- und ausländische IT-Fachpresse zahlreiche ausführliche Artikel veröffentlicht. Ein kurzer Abriss erklärt die drei Lücken, zeigt, wie sich Nutzer derzeit generell schützen können, um dann die absehbaren und möglichen Folgen für die IT-basierten Services Digital Signage, VR und AR zu skizzieren. Einen kleinen Ausweg haben wir auch gefunden – der ist aber nicht für jedes DS-Szenario und -Projekt umsetzbar.

Spectre – der Evil Twin von Hui Buh

Weniger sympathisch als das Schlossgespenst Hui Buh ist Spectre. Diese Sicherheitslücke ähnelt mehr der (in Versalien geschriebenen) fikitiven, aus James Bond bekannten, Geheimorganisation Spectre (Special Executive for Counterintelligence, Terrorism, Revenge and Extortion), die so ziemlich alles und jeden angreift. Derzeit werden zwei Angriffsszenarien als Spectre bezeichnet: CVE-2017-5753 und CVE-2017-5715. Beschreibungen zu den beiden Spectre-Varianten sowie zu Meltdown hat das CERT/CC (Computer Emergency Response Team / Coordination Center) der Carnegie Mellon University an dieser Stelle veröffentlicht.

Spectre nutzt die Speculative Execution (SE) aus, mit der Prozessoren sozusagen erratent, welcher Befehl demnächst ausgeführt wird. Der Vorteil von SE: Unterm Strich sind Prozessoren und Systeme deutlich leistungsfähiger.

Meltdown – das eingebaute Fukushima

Auch Meltdown ist ein Problem. Diese Sicherheitslücke firmiert unter dem Kürzel CVE-2017-5754. Ein Angreifer kann hier den Inhalt des Kernelspeichers auslesen (Rogue Data Cache Read). Das Problem, das diesen Angriffsweg ermöglicht, rührt daher, dass sich der Kernel und der Userspace Cache-Speicher teilen. Auch dies aus Effizienz- beziehungsweise Schnelligkeitsgründen. Problem: der Kernel ist der hardware-nahe Teil eines Betriebssystems, der sich direkt mit CPU, Speicher und Komponenten austauscht und auf den weiter außen liegenden Schichten wiederum mit den Applikationen kommunziert (jeweils in beiden Richtungen). Hier gibt es also ein ebenfalls nicht triviales Problem.

Erste Hilfe

Die Erste Hilfe werden Sie als verantwortlicher Nutzer eines Systems auch privat schon in Anspruch genommen haben. Ansonsten ist Ihr System auch von anderen Angriffswegen bedroht, die deutlich einfacher funktionieren. Also: Updaten (Betriebssystem), updaten (Browser) und updaten (Programme) – das gibt den derzeit maximal möglichen Schutz.

Unter Umständen sind weitere spezielle Patches und Treiber von Dritten notwendig – ein Fall für die IT-Abteilung (!) – ansonsten von diesem Punkt Finger und Gedanken weg. Das Gesagte betrifft jedes Betriebssystem – also jedes Android, jedes Linux, jedes Windows, jedes UNIX und jedes MacOS. So gut es ging, haben die Hersteller und Distributionen hier Abhilfe geschaffen. Da heute BYOD in der Geschäftswelt allgemein genutzt wird, ist ein Update stets vorzunehmen. Punkt. Wenn Sie ein Digital Signage Device oder einen Collaboration Screen mit Ihrem Tablet, Mobiltelefon oder Was-auch-immer-Gerät ansteuern, ist ein aktuelles System ebenso Pflicht, wie sich allgemein darüber Gedanken zu machen, welche unnötigen Applikationen man nicht braucht. Werden spezielle Betriebssysteme benötigt, also etwa ein seit Jahren nicht mehr gepflegtes OS oder entsprechende Devices, kümmert sich der interne oder externe Dienstleister darum. Dieser wird in solchen Spezialfällen sowieso täglich benötigt (Kompatibilitätdsprobleme).

„Ich warte lieber auf sichere CPUs…“

„…weil ich in einem Bunker lebe und einen Zuse 1 betreibe – mit Fahrrad-Dynamo.“ Ohne der Hardware- oder Softwareindustrie das Wort reden zu wollen: Steht eine Neuanschaffung an, sollte diese nicht mit dem Verweis darauf aufgeschoben werden, dass man gerne noch wartet, bis Prozessoren auf den Markt kommen, die unverwundbar sind. Auf absehbare Zeit werden auch neue CPUs mit Workarounds auskommen müssen. Bis der perfekte Prozessor erscheint, ist der BER nicht nur eröffnet, sondern schon wieder geschlossen. Möglicherweise also niemals.

Bis dahin hätten Sie kein Business und eine Sch…-Performance, da Sie noch mit einem Intel-i X Core-Prozessor der ersten Generation herumgurken. Außerdem wird die mit so einem Stück Technikgeschichte nutzbare Software weniger, langsamer und generell sicherheitsanfälliger sein. Derzeit werden Performance-Probleme diskutiert, die sich aus den Gegenmaßnahmen der Prozessorherstellern ergeben – die sind erstens alternativlos und dürften sich zweitens bei eher neuen Prozessortypen (beispielsweise ab der Skylake-Generation bei den Intels) in vielen Anwendungsfällen in kaum bemerkbaren Bereichen bewegen.

Server, Cloud und Co.

Recht große Performance-Auswirkungen können sich zeigen. Und zwar dort, wo Cloud Services und Server genutzt werden, oder genutzt werden müssen. Das hängt davon ab, wie die Serverfarm aufgebaut ist. Hier hilft nur: ruhige Diskussion mit dem Dienstleister (und diesem auch Zeit geben). Generell bieten Cloud-Lösungen sehr viele Vorteile. Dies wird auch mit den drei bislang bekannten Angriffswegen so bleiben.

Augmented Reality, Virtual Reality, Mixed Reality

VR, AR und MR sind junge Technologien; zumindest was ihre Tauglichkeit für den Massenmarkt betrifft. Sie benötigen viel Rechenpower. Auch hier kann mittelfristig auf Anwenderseite ein Problem mit der Performance entstehen. Ein Anwender kann in dem Fall auch ein Unternehmenskunde sein (Werbung, Anwendungen in der Industrie). Offene Diskussion mit dem Entwickler-Team. Das Gegenteil einer offenen Diskussion mit einem Experten finden Sie am Ende des Textes als eingebettetes Video 1; Video 2 zeigt dann das von einem YouTube-Nutzer erdachte Ergebnis, das angesichts der Absurdität der Aufgabe sogar genial (wenn auch natürlich falsch) ist.

IoT

Wird ein IoT-Projekt aufgesetzt, wäre nun eine gute Gelegenheit, das Thema Sicherheit (allgemein) und das Thema Performance nochmals eingehend zu diskutieren. Selbstredend mit Spezialisten.

Digital Signage

Je nach Projektart und Erfordernissen sowie (finanziellen) Möglichkeiten, kann Digital Signage über die Cloud genutzt werden, über externe Media Player, mit internen Modulen, interaktiv, als Standalone-Lösung. Leitfragen könnten sein: Welches System nutzen wir noch mal genau? Nutzen wir Lizenzen, regelmäßige Updates? Immer noch kein HTML5? Haben wir einen Integrator, mit dem wir seit Jahren zusammenarbeiten? Wollen wir billig anschaffen und viele Ausfälle haben? Sind wir ein Haus mit ausreichend Frickel-Freunden (und -Kundigen)? Möchten wir einfach nur Inhalte reinschieben und fertig los?

„Aber es gibt doch Prozessoren, die super-safe sind?“

Jau, beziehungsweise Jein. Betroffen sind: (fast) alle Prozessoren von Intel seit 1995. Also jeder i-Irgendwas Core, jeder Mobil-Prozessor von der zweiten bis zur achten Generation per se; jeder Core X, jeder Xeon, Atom und Celeron sowie zumindest einige Pentium. Ausnahmen sind Intel Itanium und Intel Atom – wenn sie von vor 2013 stammen. In freier Wildbahn wohl eher selten. Ja, auch AMD ist betroffen: Deren CPUs sind mindestens von Spectre betroffen. Betriebssystem-Updates und Microcode-Updates sollen laut AMD das Problem erledigen. Ob dies ohne Probleme (etwa für Anwendungen) passieren kann, lässt sich nicht einfach beantworten. Also: Setzt Ihr Haus bislang auf Intel, ist dies noch kein Grund, direkt zu AMD zu wechseln (Berichte über Microsoft-Updates, die die AMD CPUs direkt zum Absturz führten, gab es bereits). Grafikprozessoren: Auch die NVIDIAs dieser Welt sind nicht nicht-betroffen.

„Wie schaut es mit ARM-Prozessoren aus?“

Zahlreiche ARM-Prozessoren sind von allen drei Angriffswegen betroffen. Mit sehr wenigen Ausnahme also alles, was sich in Tablets und Smartphones befindet. Qualcomm etwa nutzt die ARM-Architektur. Berichten zufolge sind Qualcomm-Chips mindestens für einen der drei Angriffswege offen.

Fein raus: Raspberry Pi
Zumindest nach bisherigem Kenntnisstand sind alle Raspberry Pi nicht betroffen. Grund: Glück (oder: Vorahnung) gehabt, respektive, Raspberry Pi nutzt einige spezielle ARM-Architekturen in seinen Modellen und ist laut eigener Aussage nicht betroffen. Details dazu in diesem Blogbeitrag des Herstellers. Demnach wäre Raspberry Pi eine Alternative. Auf der oben verlinkten CERT/CC-Info-Seite zu Meltdown und Spectre können Hersteller den Status ihres Produkts melden (befallen: ja/nein). Auch dort hat Raspberry dies so kommuniziert.

In den vergangenen Jahren hat sich das ursprünglich an Bastler, IT-Lernende und an Menschen ohne große Ressourcen wendende Projekt auch für den Business-Kontext weiter geöffnet. Server lassen sich längst auch mit bestimmten Raspberry-Modellen betreiben. Theoretisch kann jedes Betriebssystem auf einem Raspberry installiert werden – es sei denn, es ist so speicherhungrig, dass es aus praktischen Gründen durch ein anderes OS besser ersetzt werden kann. Stand Sommer 2017 waren es immerhin 40 praktisch mögliche Betriebssysteme, von denen allerdings sehr viele keine Alternative als OS für DS darstellen dürften. Ein Embedded-Windows, Android oder Linux stellen für den Rechner-Winzling kein Problem dar, MacOS könnte ein Performance-Problem bringen und wäre vor allem illegal, respektive eine Hackintosh-Lösung, die weniger etwas für ein Business-Projekt wäre.

Das Hardware Eco System zu Raspberry ist längst aus dem Bastelstuben-Modus hinaus gekommen. Media Player mit Raspberry Pi gibt es in verschiedenen Varianten und von mehreren Herstellern. Unter Umständen kann also beim Neuaufsetzen oder der Neuanschaffung eines Systems ein Raspberry Pi-Modul interessant sein. In solchen Szenarien dürften Sie sowieso eingehend alle am Markt befindlichen Möglichkeiten testen. Der Charme des Raspberry ist aber zugleich seine Grenze: Alles das, was sehr leistungshungrig ist, bringt ihn ins Schwitzen. Je nach Kontext und erwartetem Ausbau eines Netzwerks könnte ein kleiner und verhältnismäßig billiger Raspberry eine Möglichkeit sein – nicht nur, aber auch wegen der aktuellen Sicherheitsprobleme.

Mit dem Laden des Videos akzeptieren Sie die Datenschutzerklärung von YouTube.
Mehr erfahren

Video laden

YouTube immer entsperren

Mit dem Laden des Videos akzeptieren Sie die Datenschutzerklärung von YouTube.
Mehr erfahren

Video laden

YouTube immer entsperren