Abo
  • IT-Karriere:

Spectre und Meltdown: Browserhersteller patchen gegen Sidechannel-Angriff

Neben den Kernelentwicklern haben auch die großen Browserhersteller Notfallpatches bereitgestellt, die auf Spectre basierende Javascript-Angriffe verhindern sollen. Nutzer sollten ihre Browser aktualisieren.

Artikel veröffentlicht am ,
Auch Browser sind durch Spectre und Meltdown angreifbar.
Auch Browser sind durch Spectre und Meltdown angreifbar. (Bild: Pixabay/isromar/Golem.de / CC0 1.0)

Nach Angaben von Browserentwicklern ist es möglich, die Anfang Januar unter dem Namen Spectre bekannt gewordenen CPU-Bugs per Javascript auch in Web-Anwendungen auszunutzen. Auf diese Weise sei es bösartigen Webseiten möglich, Zugriff auf Daten anderer geöffneter Webseiten zu erlangen.

Stellenmarkt
  1. Kardex Deutschland GmbH, Frankfurt, Kassel, Dortmund
  2. Etengo (Deutschland) AG, Mannheim

Um solche Angriffe zu verhindern, haben die großen Hersteller Google, Mozilla, Apple und Microsoft für ihre Browser jeweils Notfallpatches bereitgestellt oder angekündigt. Diese sollen vorerst künstlich die Genauigkeit der Methode performance.now() von 5 auf 20 Mikrosekunden reduzieren sowie das Sharedarraybuffer-Feature deaktivieren.

Workaround mit unpräziseren Timern

"Da diese neue Klasse von Angriffen das präzise Messen von Zeitintervallen benötigt, deaktivieren beziehungsweise reduzieren wir als eine kurzfristige und teilweise Lösung mehrere wichtige Zeitquellen", schreibt Mozilla in einem Blogpost. Auch Google und Microsoft nehmen in ihren Browsern Chrome, Edge und Internet Explorer diese Maßnahmen vor. "Die beiden Änderungen erschweren es einem Angreifer erheblich, vom Browserprozess aus erfolgreich auf den Inhalt des CPU-Caches zu schließen", erklärt Microsoft.

Während Microsoft seinen Patch ab Dienstag verteilen will, liefert Mozilla die Korrektur in allen Release Channels ab Firefox 57 bereits an Nutzer aus. Die Schutzmaßnahmen bei Google Chrome sollen dagegen erst mit der kommenden Version 64 am 23. Januar zur Verfügung stehen. Bis dahin rät Google seinen Nutzern, die Funktion Website-Isolierung zu aktivieren. Damit lädt Chrome jede Seite in einem eigenen Prozess und erschwert so das Abgreifen sensibler Daten über Webseiten hinweg.

Dies ist einfach über die Eingabe von chrome://flags/#enable-site-per-process in der Adressleiste des Chrome-Browsers möglich. Anschließend erscheint eine Liste mit Einstellungen, die von dem Eintrag Strikte Website-Isolierung angeführt wird. Mit einem Klick auf den dazugehörenden Aktivieren-Knopf lässt sich diese anschalten. Chrome muss neu gestartet werden, um die Schutzfunktion zu aktivieren. Die Nutzung der strickten Website-Isolierung kann allerdings laut Google den Speicherbedarf von Chrome um 10 bis 20 Prozent erhöhen und zu Problemen beim Drucken von iFrames führen.

Noch viele offene Fragen

Zunächst war unklar, ob auch Apples Produkte von dem Bug betroffen sind. Weil das Unternehmen aber ebenfalls Prozessoren von Intel beziehungsweise ARM einsetzt, wurde dies angenommen. Am Donnerstagabend bestätigte Apple nun, dass MacOS gegen Meltdown bereits gepatcht sei, Safari aber gegen Spectre ein Update benötige, das in Kürze verteilt werden solle.

Offenbar ist aber noch nicht vollständig geklärt, wie weitreichend diese Art von Angriff ist. "Den gesamten Umfang dieser Angriffsklasse müssen wir noch untersuchen", gibt Mozilla zu. "Für die lange Frist haben wir begonnen, mit Techniken zu experimentieren, um den Informationsleak näher an seiner Quelle zu beheben, anstatt ihn nur mithilfe deaktivierter Timer zu verstecken."

Wie lange diese Arbeiten dauern würden, sei schwer vorherzusehen, sagte Mozilla auf Nachfrage von Golem.de. "Es gibt aber noch ein paar grundlegende offene Fragen." Otimistisch sei mit einem Zeitraum von sechs bis zwölf Monaten zu rechnen. Irgendwann sollen die hochauflösenden Timer und auch Sharedarraybuffer wieder zur Verfügung stehen.



Anzeige
Top-Angebote
  1. (u. a. Corsair K70 RGB MK.2 Tastatur für 119,99€, Elgato Stream Deck mini für 74,99€, Corsair...
  2. 199,90€
  3. (u. a. PS4 Slim 500 GB inkl. 2 Controller & Fortnite Neo Versa Bundle für 249,99€, PS4 500 GB...
  4. 89,99€ (Release 24. September)

NixonRichardo 14. Jan 2018

Unter https://blog.mozilla.org/security/2018/01/03/mitigations-landing-new-class-timing...

Xiut 06. Jan 2018

ich weiß ja nicht, auf welchen Seiten ihr nur so unterwegs seid, aber das ist kompletter...

eidolon 05. Jan 2018

Die armen Politiker... :(

zZz 05. Jan 2018

Mikro- nicht Millisekunde, also noch genauer. Ich könnte mir vorstellen, dass die...


Folgen Sie uns
       


World of Warcraft Classic angespielt

Spielen wie zur Anfangszeit von World of Warcraft: Golem.de ist in WoW Classic durch die Fantasywelt Azeroth gezogen und hat sich mit Kobolden und Bergpumas angelegt.

World of Warcraft Classic angespielt Video aufrufen
MINT: Werden Frauen überfördert?
MINT
Werden Frauen überfördert?

Es gibt hierzulande einige Förderprogramme, die mehr Frauen für MINT begeistern und in IT-Berufe bringen möchten. Werden Männer dadurch benachteiligt?
Von Valerie Lux

  1. Recruiting Wenn das eigene Wachstum zur Herausforderung wird
  2. Recruiting Alle Einstellungsprozesse sind fehlerhaft
  3. LoL Was ein E-Sport-Trainer können muss

IAA 2019: PS-Wahn statt Visionen
IAA 2019
PS-Wahn statt Visionen

IAA 2019 Alle Autobosse bekennen sich auf der IAA zur Nachhaltigkeit, doch auf den Ständen findet man weiterhin viele große, spritfressende Modelle. Dabei stellt sich die grundsätzliche Frage: Ist das Konzept der Automesse noch zeitgemäß?
Eine Analyse von Dirk Kunde


    Innovationen auf der IAA: Vom Abbiegeassistenten bis zum Solarglasdach
    Innovationen auf der IAA
    Vom Abbiegeassistenten bis zum Solarglasdach

    IAA 2019 Auf der IAA in Frankfurt sieht man nicht nur neue Autos, sondern auch etliche innovative Anwendungen und Bauteile. Zulieferer und Forscher präsentieren in Frankfurt ihre Ideen. Eine kleine Auswahl.
    Ein Bericht von Dirk Kunde

    1. E-Auto Byton zeigt die Produktionsversion des M-Byte

      •  /