Mit Trampoline gegen Meltdown

Der Code gegen die Meltdown-Lücke wurde unter dem Namen Page Table Isolation (PTI) bereits Ende 2017 integriert - noch vor der vorzeitigen Bekanntgabe der Lücke. In die Patches flossen auch die sogenannten KAISER-Patches ein, die bereits im Herbst 2017 von Forschern an der Technischen Universität Graz veröffentlicht wurden. Sie waren an der Entdeckung der Sicherheitslücke Meltdown beteiligt.

Meltdown kann allerdings bei Intel-CPUs, die die sogenannten Process Context Identifiers (PCID) nicht ordentlich unterstützen, einen deutlichen Leistungsverlust mit sich bringen. PCIDs werden erst ab Prozessoren mit Haswell-Architektur unterstützt, die es seit Mitte 2013 auf dem Markt gibt. Für AMDs Prozessoren Epyc, Ryzen und Athlon ist der Patch nicht nötig und sollte vom Kernel beim Start automatisch deaktiviert werden. Auch hier gibt es aber noch Nachholbedarf: ARM64 soll erst in der nächsten Kernel-Version unterstützt werden, und wann der Patch für 32-Bit-Systeme fertig sein wird, steht noch nicht fest. Der Befehl cat /sys/devices/system/cpu/vulnerabilities/meltdown zeigt, ob das aktuelle System gegen Meltdown gewappnet ist.

Gegen die erste Variante der Spectre-Schwachstelle gibt es indes überhaupt noch keine Patches, die sollen erst im nächsten Linux-Kernel 4.16 umgesetzt werden, dessen Entwicklungsphase mit der finalen Veröffentlichung von Linux 4.15 beginnt. Die Arbeit an diesem Patch ist äußerst aufwendig, denn der gesamte Code des Linux-Kernels muss nach kritischen Stellen durchforstet werden. Die Ausgabe von cat /sys/devices/system/cpu/vulnerabilities/spectre_v1 wird wohl noch eine Weile "Vulnerable" lauten.

Spectre bleibt ein Problem

Einer der Entdecker der Sicherheitslücken, Daniel Gruß, bezweifelt indes, dass sich die beiden Schwachstellen überhaupt durch Softwarepatches vollständig beheben lassen. Zumindest dürften Meltdown und Spectre die Kernel-Entwickler noch lange Zeit beschäftigen und vermutlich noch den einen oder anderen Wutausbruch Torvalds provozieren.