Eine Forschergruppe der Technischen Universität Graz hat herausgefunden, dass die Prozessoren von Milliarden von Computern wie PC, Laptop, Tablet oder Smartphone von einer gravierenden Sicherheitslücke betroffen sind. Sie sind anfällig für Angriffe, mit denen vertrauliche Daten wie Passwörter, Krypto-Schlüssel oder Informationen aus Programmen gestohlen werden können.
SRF News: Wie muss sich der gewöhnliche Smartphone-Benutzer solche Angriffe vorstellen?
Moritz Lipp: Um einen solchen Angriff durchzuführen, muss der Code auf dem Smartphone ausgeführt werden. Das kann beim Herunterladen einer App passieren, der man fälschlicherweise vertraut. Diese App führt dann im Hintergrund den Schadcode aus. Die heruntergeladene App kann dann alle Daten von anderen Apps lesen und so übers Internet den Benutzer ausspionieren.
Von Sicherheitslücken hört man immer wieder. Warum ist diese besonders gravierend?
Hier handelt es sich nicht um einen einfachen Bug, der durch die Schlampigkeit eines Programmierers entstanden ist und durch ein einfaches Software-Update behoben werden kann. Der Ursprung dieser Lücke stammt vielmehr aus der Hardware, die nicht so einfach aktualisiert beziehungsweise ausgetauscht werden kann. Vor allem, wenn es so viele Geräte betrifft.
Der Ursprung der Lücke stammt aus der Hardware, die nicht so einfach aktualisiert oder ausgetauscht werden kann.
Sie haben diese Lücke entdeckt. Waren Sie aktiv auf der Suche nach Schwachstellen, hatten Sie Indizien, oder war es ein Zufallsfund?
Wir sind ein Teil von vier verschiedenen Gruppen, die diese Lücken entdeckt haben. Bei uns war es so, dass wir 2016 einen Angriff präsentierten, für den wir Anfang letzten Jahres auch eine Gegenmassnahme entwickelt haben. Diese weckte im letzten November das Interesse grosser Firmen wir Intel und Amazon. Dieses Echo auf unseren damaligen Angriff machte uns ein wenig stutzig. Offensichtlich nahm man den Performance-Verlust, der die Gegenmassnahme mit sich bringt, in Kauf. Wir haben dann weiter nach Massnahmen gesucht und sind auf die Sicherheitslücke «Meltdown» gestossen.
Chip-Hersteller wie Intel bezweifeln, dass diese Schwachstellen bereits für Angriffe benutzt werden. Teilen Sie diesen Optimismus?
Man kann es natürlich nicht ausschliessen. Aber es ist bislang nicht bekannt, dass das irgendwo ausgenutzt worden ist. Von daher kann man dieses Statement wohl vertreten.
Ist es nicht logisch, dass ein Hersteller so reagiert?
Natürlich. Aber es wird ja auch oft bekannt gegeben, wenn gewisse Sicherheitslücken irgendwo in der freien Welt auch wirklich ausgenützt worden sind. Auch ist es nicht so einfach, auf diese Sicherheitslücke zu kommen. Man kann nicht einfach einen Programmcode anschauen und versuchen, einen allfälligen Fehler eines Programmierers zu verstehen. Die neuen Sicherheitslücken sind eine ganz andere Welt.
Der Nutzer merkt davon also nichts?
Nein. Das Problem solcher Angriffe ist, dass der Angreifer keine Rechte auf dem Gerät benötigt. Weder eine Berechtigung, um auf die Bilder zuzugreifen, noch Administrationsrechte. Er kann einfach ein normales Programm ausführen, das keine Rechte verlangt, um an die Daten zu gelangen.
Der Angreifer kann ein normales Programm ausführen, das keine Rechte verlangt, um an Daten zu gelangen.
Ist ein Schutz in diesem Fall also gar nicht möglich?
Das stimmt so nicht. Es kommt auf den Angriff an, und es gibt auch schon Gegenmassnahmen, die in Form von Updates für die verschiedenen Betriebssysteme ausgeliefert werden. Auch Browser-Hersteller wie der Google-Chrome-Browser oder der Firefox-Browser haben Updates angekündigt. Es wird zudem nahegelegt, dass jeder seine Geräte auf dem letzten Stand hält und die Updates einspielt.
Sind unsere Computer- und IT-Systeme falsch konstruiert, dass es diese Lücken in der Hardware gibt?
Jein. Es wird eben oft gewünscht, dass die Computer immer schneller werden. Mit diesen Performance-Optimierungen vernachlässigt man die Sicherheit bis zu einem gewissen Grad. In vielen Fällen kann man das in Kauf nehmen, weil man kryptografische Algorithmen dennoch so implementieren kann, dass sie sicher sind. Andere Probleme sind nicht so leicht zu lösen, wie man sieht. Man sollte vermutlich in Zukunft wieder vermehrt über die Sicherheit nachdenken statt nur übers Geschwindigkeit. In Zukunft wird die Hardware wohl auch so gebaut sein, dass genau diese Probleme nicht auftreten.
Das Gespräch führte Samuel Wyss.
