Abo
  • IT-Karriere:

Meltdown und Spectre: "Dann sind wir performancemäßig wieder am Ende der 90er"

Wir haben mit einem der Entdecker von Meltdown und Spectre gesprochen. Er erklärt, was spekulative Befehlsausführung mit Kochen zu tun hat und welche Maßnahmen Unternehmen und Privatnutzer ergreifen sollten.

Ein Interview von veröffentlicht am
Daniel Gruß erzählt im Interview von seinen Forschungen zu Meltdown und Spectre.
Daniel Gruß erzählt im Interview von seinen Forschungen zu Meltdown und Spectre. (Bild: Helmut Lunghammer/TU Graz mit freundlicher Genehmigung)

Daniel Gruß kennt sich mit Sicherheitslücken in Hardware aus. Gemeinsam mit anderen hat er bereits Sicherheitslücken in DRAM-Modulen aufgedeckt, die sogenannten Rowhammer-Bitflips. Auch an der Forschung zu den CPU-Sicherheitslücken Meltdown und Spectre war er mit anderen Forschern der TU Graz und Jann Horn von Googles Project Zero beteiligt.

Gruß gibt im Interview mit Golem.de über Meltdown und Spectre Entwarnung für Privatnutzer. Diese müssten derzeit wenig fürchten, wenn sie ihr Betriebssystem auf dem aktuellen Stand halten und die Meltdown-Patches von Microsoft, Apple oder im Linux-Kernel installieren. Denn obwohl die Spectre-Lücken schwieriger zu schließen sind als Meltdown, gibt es für Letzteres bereits erste Exploits.

Viele der mit Spectre und Meltdown bekanntgewordenen Probleme werden uns nach Meinung unseres Experten über die kommenden Jahre begleiten. Es gäbe zwar Möglichkeiten, die Sicherheitsprobleme etwa durch die komplette Deaktivierung der Branch-Prediction komplett zu verhindern. Doch dann, so Gruß, würden wir von der Performance her dort landen, wo wir Ende der 90er waren.

Golem.de: In einfachen Worten: Welche Funktionsweisen von Prozessoren nutzen die Sicherheitslücken aus, die Ihr Team gefunden hat?

Stellenmarkt
  1. CURRENTA GmbH & Co. OHG, Leverkusen
  2. Alfred Kärcher SE & Co. KG, Winnenden bei Stuttgart

Daniel Gruß: Eigentlich ist das wie beim Kochen: Es passiert mir häufiger, dass ich dabei das ganze Rezept durchgehe und ganz am Ende steht dann "Jetzt mit Reis servieren". Und dann denke ich: Ich habe noch gar keinen Reis gekocht. Dann habe ich einfach nicht weit genug vorausgeschaut. Der Prozessor hat ein ähnliches Problem.

Deswegen startet er schon mal alle Prozesse, die parallel laufen können. Bei der spekulativen Befehlsausführung zieht der Prozessor also Berechnungen vor, die er aktuell noch nicht machen müsste, aber später brauchen könnte. Das führt aber dazu, dass am Ende auch Ergebnisse berechnet werden, die er letztlich gar nicht braucht, weil es in den Programmen Verschachtelungen und Alternativen gibt. Manchmal will ich eventuell was Vegetarisches kochen, mal was mit Fleisch. Ich als Mensch kann meist beurteilen, was ich am Ende benötige. Der Prozessor hingegen führt einfach stur Befehle aus und versucht, möglichst viel spekulativ auszuführen. Das können Angreifer ausnutzen.

Das zweite, was wir ausnutzen, ist das Caching von Informationen. Das kommt beim Kochen genauso vor. Wenn ich Kartoffeln kochen will, dann muss ich die natürlich vorher einkaufen - und das dauert lange. Und dann komm ich zurück und mir fällt auf, dass ich auch Karotten brauche - dann muss ich schon wieder zum Geschäft, und das dauert dann natürlich wieder sehr lang. Deswegen ist es clever, dass ich die Kartoffeln oder Karotten, die ich nicht gebraucht habe, lokal einlagere, etwa im Kühlschrank oder einem Kasten, so dass ich sie nachher immer griffbereit habe, wenn ich was Ähnliches zubereite.

Der Prozessor macht eigentlich genau das Gleiche. Der holt sich Daten aus dem langsameren Arbeitsspeicher und speichert sie in seinem Cache zwischen. Und da sind sie immer abrufbereit für neue Arbeitsaufträge. Das sind die beiden Effekte, die wir ausnutzen.

Erst Befehle ausführen, dann Fehlermeldungen prüfen 
  1. 1
  2. 2
  3. 3
  4. 4
  5.  


Anzeige
Spiele-Angebote
  1. 4,99€
  2. 4,75€
  3. 4,99€
  4. 4,67€

tomas_13 25. Jan 2018

Das ist der Nachteil: Du hast einen Patch installiert, den du eigentlich nicht brauchst...

tomas_13 25. Jan 2018

Du glaubst nur, es besser verstanden zu haben. Solange du nicht die richtige Erklärung...

tomas_13 25. Jan 2018

Wenn Spectre nicht prozessübergreifend ist, sind dann Chrome und FF nicht relativ sicher...

intergeek 22. Jan 2018

Sagen wir mal so, so verständlich wie das ein Techniker einem Nichttechniker wohl...

SkyNet2030 22. Jan 2018

Alles schön und gut, aber die Frage nach dem warum ist meiner Meinung nach nicht gut...


Folgen Sie uns
       


Besuch im Testturm Rottweil von Thyssen-Krupp - Bericht

Thyssen-Krupp testet in Baden-Württemberg in einen Turm einen revolutionären Aufzug, der ohne Seile auskommt.

Besuch im Testturm Rottweil von Thyssen-Krupp - Bericht Video aufrufen
Technologie: Warum Roboter in Japan so beliebt sind
Technologie
Warum Roboter in Japan so beliebt sind

Japaner produzieren nicht nur mehr Roboter als jede andere Nation, sie gehen auch selbstverständlicher mit ihnen um. Das liegt an der besonderen Geschichte und Religion des Inselstaats - und an Astro Boy.
Von Miroslav Stimac

  1. Heimautomatisierung Wäschefaltroboter-Hersteller Seven Dreamers ist insolvent
  2. Kreativität Roboterdame Ai-Da soll zeichnen und malen
  3. Automatisierung Roboterhotel entlässt Roboter

Raspi-Tastatur und -Maus im Test: Die Basteltastatur für Bastelrechner
Raspi-Tastatur und -Maus im Test
Die Basteltastatur für Bastelrechner

Für die Raspberry-Pi-Platinen gibt es eine offizielle Tastatur und Maus, passenderweise in Weiß und Rot. Im Test macht die Tastatur einen anständigen Eindruck, die Maus hingegen hat uns eher kaltgelassen. Das Keyboard ist zudem ein guter Ausgangspunkt für Bastelprojekte.
Ein Test von Tobias Költzsch

  1. Bastelcomputer Offizielle Maus und Tastatur für den Raspberry Pi
  2. Kodi mit Raspberry Pi Pimp your Stereoanlage
  3. Betriebssystem Windows 10 on ARM kann auf Raspberry Pi 3 installiert werden

Fitbit Versa Lite im Test: Eher smartes als sportliches Wearable
Fitbit Versa Lite im Test
Eher smartes als sportliches Wearable

Sieht fast aus wie eine Apple Watch, ist aber viel günstiger: Golem.de hat die Versa Lite von Fitbit ausprobiert. Neben den Sport- und Fitnessfunktionen haben uns besonders der Appstore und das Angebot an spaßigen und ernsthaften Anwendungen interessiert.
Von Peter Steinlechner

  1. Smartwatch Fitbit stellt Versa Lite für Einsteiger vor
  2. Inspire Fitbits neues Wearable gibt es nicht im Handel
  3. Charge 3 Fitbit stellt neuen Fitness-Tracker für 150 Euro vor

    •  /