Abo
  • Services:

Spectre und Meltdown: Browserhersteller patchen gegen Sidechannel-Angriff

Neben den Kernelentwicklern haben auch die großen Browserhersteller Notfallpatches bereitgestellt, die auf Spectre basierende Javascript-Angriffe verhindern sollen. Nutzer sollten ihre Browser aktualisieren.

Artikel veröffentlicht am ,
Auch Browser sind durch Spectre und Meltdown angreifbar.
Auch Browser sind durch Spectre und Meltdown angreifbar. (Bild: Pixabay/isromar/Golem.de / CC0 1.0)

Nach Angaben von Browserentwicklern ist es möglich, die Anfang Januar unter dem Namen Spectre bekannt gewordenen CPU-Bugs per Javascript auch in Web-Anwendungen auszunutzen. Auf diese Weise sei es bösartigen Webseiten möglich, Zugriff auf Daten anderer geöffneter Webseiten zu erlangen.

Stellenmarkt
  1. regiocom consult GmbH, Magdeburg
  2. MT AG, Großraum Düsseldorf-Köln-Dortmund

Um solche Angriffe zu verhindern, haben die großen Hersteller Google, Mozilla, Apple und Microsoft für ihre Browser jeweils Notfallpatches bereitgestellt oder angekündigt. Diese sollen vorerst künstlich die Genauigkeit der Methode performance.now() von 5 auf 20 Mikrosekunden reduzieren sowie das Sharedarraybuffer-Feature deaktivieren.

Workaround mit unpräziseren Timern

"Da diese neue Klasse von Angriffen das präzise Messen von Zeitintervallen benötigt, deaktivieren beziehungsweise reduzieren wir als eine kurzfristige und teilweise Lösung mehrere wichtige Zeitquellen", schreibt Mozilla in einem Blogpost. Auch Google und Microsoft nehmen in ihren Browsern Chrome, Edge und Internet Explorer diese Maßnahmen vor. "Die beiden Änderungen erschweren es einem Angreifer erheblich, vom Browserprozess aus erfolgreich auf den Inhalt des CPU-Caches zu schließen", erklärt Microsoft.

Während Microsoft seinen Patch ab Dienstag verteilen will, liefert Mozilla die Korrektur in allen Release Channels ab Firefox 57 bereits an Nutzer aus. Die Schutzmaßnahmen bei Google Chrome sollen dagegen erst mit der kommenden Version 64 am 23. Januar zur Verfügung stehen. Bis dahin rät Google seinen Nutzern, die Funktion Website-Isolierung zu aktivieren. Damit lädt Chrome jede Seite in einem eigenen Prozess und erschwert so das Abgreifen sensibler Daten über Webseiten hinweg.

Dies ist einfach über die Eingabe von chrome://flags/#enable-site-per-process in der Adressleiste des Chrome-Browsers möglich. Anschließend erscheint eine Liste mit Einstellungen, die von dem Eintrag Strikte Website-Isolierung angeführt wird. Mit einem Klick auf den dazugehörenden Aktivieren-Knopf lässt sich diese anschalten. Chrome muss neu gestartet werden, um die Schutzfunktion zu aktivieren. Die Nutzung der strickten Website-Isolierung kann allerdings laut Google den Speicherbedarf von Chrome um 10 bis 20 Prozent erhöhen und zu Problemen beim Drucken von iFrames führen.

Noch viele offene Fragen

Zunächst war unklar, ob auch Apples Produkte von dem Bug betroffen sind. Weil das Unternehmen aber ebenfalls Prozessoren von Intel beziehungsweise ARM einsetzt, wurde dies angenommen. Am Donnerstagabend bestätigte Apple nun, dass MacOS gegen Meltdown bereits gepatcht sei, Safari aber gegen Spectre ein Update benötige, das in Kürze verteilt werden solle.

Offenbar ist aber noch nicht vollständig geklärt, wie weitreichend diese Art von Angriff ist. "Den gesamten Umfang dieser Angriffsklasse müssen wir noch untersuchen", gibt Mozilla zu. "Für die lange Frist haben wir begonnen, mit Techniken zu experimentieren, um den Informationsleak näher an seiner Quelle zu beheben, anstatt ihn nur mithilfe deaktivierter Timer zu verstecken."

Wie lange diese Arbeiten dauern würden, sei schwer vorherzusehen, sagte Mozilla auf Nachfrage von Golem.de. "Es gibt aber noch ein paar grundlegende offene Fragen." Otimistisch sei mit einem Zeitraum von sechs bis zwölf Monaten zu rechnen. Irgendwann sollen die hochauflösenden Timer und auch Sharedarraybuffer wieder zur Verfügung stehen.



Anzeige
Blu-ray-Angebote
  1. Jetzt für 150 EUR kaufen und 75 EUR sparen

NixonRichardo 14. Jan 2018

Unter https://blog.mozilla.org/security/2018/01/03/mitigations-landing-new-class-timing...

Xiut 06. Jan 2018

ich weiß ja nicht, auf welchen Seiten ihr nur so unterwegs seid, aber das ist kompletter...

eidolon 05. Jan 2018

Die armen Politiker... :(

zZz 05. Jan 2018

Mikro- nicht Millisekunde, also noch genauer. Ich könnte mir vorstellen, dass die...


Folgen Sie uns
       


Forza Horizon 4 - Golem.de Live (Teil 1)

Michael zeigt alle Jahreszeiten und Spielmodi in Forza Horizon 4.

Forza Horizon 4 - Golem.de Live (Teil 1) Video aufrufen
Pixel 3 XL im Test: Algorithmen können nicht alles
Pixel 3 XL im Test
Algorithmen können nicht alles

Google setzt beim Pixel 3 XL alles auf die Kamera, die dank neuer Algorithmen nicht nur automatisch blinzlerfreie Bilder ermitteln, sondern auch einen besonders scharfen Digitalzoom haben soll. Im Test haben wir allerdings festgestellt, dass auch die beste Software keine Dual- oder Dreifachkamera ersetzen kann.
Ein Test von Tobias Költzsch

  1. Android Google-Apps könnten Hersteller bis zu 40 US-Dollar kosten
  2. Google Pixel-Besitzer beklagen nicht abgespeicherte Fotos
  3. Dragonfly Google schweigt zu China-Plänen

Mate 20 Pro im Hands on: Huawei bringt drei Brennweiten und mehr für 1.000 Euro
Mate 20 Pro im Hands on
Huawei bringt drei Brennweiten und mehr für 1.000 Euro

Huawei hat mit dem Mate 20 Pro seine Dreifachkamera überarbeitet: Der monochrome Sensor ist einer Ultraweitwinkelkamera gewichen. Gleichzeitig bietet das Smartphone zahlreiche technische Extras wie einen Fingerabdrucksensor unter dem Display und einen sehr leistungsfähigen Schnelllader.
Ein Hands on von Tobias Költzsch

  1. Keine Spionagepanik Regierung wird chinesische 5G-Ausrüster nicht ausschließen
  2. Watch GT Huawei bringt Smartwatch ohne Wear OS auf den Markt
  3. Ascend 910/310 Huaweis AI-Chips sollen Google und Nvidia schlagen

Probefahrt mit Tesla Model 3: Wie auf Schienen übers Golden Gate
Probefahrt mit Tesla Model 3
Wie auf Schienen übers Golden Gate

Die Produktion des Tesla Model 3 für den europäischen Markt wird gerade vorbereitet. Golem.de hat einen Tag in und um San Francisco getestet, was Käufer von dem Elektroauto erwarten können.
Ein Erfahrungsbericht von Friedhelm Greis

  1. 1.000 Autos pro Tag Tesla baut das hunderttausendste Model 3
  2. Goodwood Festival of Speed Tesla bringt Model 3 erstmals offiziell nach Europa
  3. Elektroauto Produktionsziel des Tesla Model 3 erreicht

    •  /