ZombieLoad: Neue CPU-Sicherheitslücke bei Intel-Chips gefunden – Mac ist sicher

Nach Meltdown und Spectre gibt es mal wieder eine Sicherheitslücke bei Intel-Prozessoren zu bestaunen. Sie heißt diesmal ZombieLoad und beschreibt eine Möglichkeit, Daten auszulesen, die eigentlich geheim bleiben sollten. Es gibt aber eine Reihe von guten Nachrichten.

Macs wurden gepatcht

Kurz die Beruhigungspille vorab: Mit dem gestern erschienenen Update, macOS Mojave 10.14.5, sowie den angehängten Sicherheitsupdates für ältere Versionen, hat Apple die Sicherheitslücke gestopft – jedenfalls so gut es geht. Es soll diesmal auch keine messbaren Performance-Einbußen geben, wenn man mit dem Fix zufrieden ist, der „gut genug“ ist. Wer die Lücke komplett schließen will, muss im Rescue-Modus eine CPU-Instruktion ein- und HyperThreading ausschalten. Das wird aber 40% Leistung kosten, wie Apple anmerkt. Es sind nur Intel-Prozessoren betroffen, ab 2011 erstmals auf den Markt kamen. ARM-basierte Rechner wie iPhones und iPads sowie AMD-PCs (z.B. Ryzen) sind nicht betroffen.

Was ist denn da los?

Die Sicherheitslücke wurde von einer Gruppe von Forschern entdeckt, manche von ihnen waren auch schon am Aufspüren von Spectre und Meltdown beteiligt. Normalerweise kann ein Programm nur seine eigenen Daten aus den Prozessor-Registern auslesen. Dank der Sicherheitslücke kann ein entsprechend präpariertes Programm aber auch andere Daten auslesen – beispielsweise Passwörter oder die Schlüssel für die Festplattenverschlüsselung.

Wer sich genauer für die Funktionsweise der Sicherheitslücke interessiert, wird im White Paper fündig, das die Forscher veröffentlicht haben. Da es sich hierbei um eine Hardware-Lücke handelt, die von der Sache her unabhängig vom verwendeten Betriebssystem ist (durch ein Software-Update aber umgangen werden kann), ist auch mit Updates für Windows und Linux zu rechnen.

-----
Willst du keine News mehr verpassen? Dann folge uns auf Twitter oder werde Fan auf Facebook. Du kannst natürlich in Ergänzung unsere iPhone und iPad-App mit Push-Benachrichtigungen hier kostenlos laden.