Ein Ereignis, dass die IT-Nachrichten auch der letzten Woche immer noch nachhaltig beschäftigte, war der Super-GAU unter den Bugs, die CPU-Schwachstellen Meltdown und Spectre.
Dabei kann man sich fragen, warum sie gerade jetzt ans Licht gekommen sind. Die Technik des spekulativen Vorausberechnens möglicher Programmabläufe, die die Spectre-Schwachstelle ausnutzt, beherrschen CPUs aller Coleur (Intel, AMD, ARM und andere) schon seit Mitte der 1990er Jahre (seit dem Intel Pentium Pro). Es ist also jahrzehntelang niemandem aufgefallen, dass sich dieses Verhalten für Angriffe mißbrauchen lässt – oder zumindest wurde das nicht öffentlich. Scheinbar sind erst jetzt Sicherheitsexperten von Google darauf gestoßen.
Haben die Chipentwickler da einfach nicht gründlich genug die Konsequenzen bedacht? Oder sind aufgrund der hohen Komplexität dieser Technik solche Fehler prinzipiell nicht vorhersehbar? Sind es nach der Terminologie des libanesischen Essayisten Nassim Nicholas Taleb Schwarze Schwäne, unvorhersehbare Ereignisse mit gravierenden Folgen, die sich prinzipiell nicht prognostizieren lassen? Und sollte es so sein, wie viele harren dann noch ihrer Entdeckung?
Nichts ist der Wirklichkeit näher als eine falsche Prognose. [1]
Wie dem auch sei, die Distributoren und Kernel-Entwickler haben jedenfalls alle Hände voll zu tun. Nach ersten Patches, die das Ausnutzen der Lücken unmöglich machen sollten, die aber gleichzeitig zu Performanceeinbußen führten, geht es nun an die Feinjustage. Die ist nicht ganz leicht. Allein bei Google haben nach eigener Aussage Hunderte Ingenieure monatelang daran gearbeitet. Lange Zeit glaubten Sie, das Abschalten der fraglichen CPU-Features wäre die einzige sichere Lösung. Das aber hätte massive Auswirkungen auf die Performance gehabt. Deshalb gaben sie nicht auf und kamen im Ergebnis schließlich zu einem neuen Patch, genannt Redpoline, der keine negativen Auswirkungen auf die Performance mehr haben soll. Er schützt die Applikationen während des Kompilierens und ohne dass der Sourcecode modifiziert zu werden braucht. Laut Linux-Kernel-Entwickler Greg Kroah-Hartman gibt es Retpoline-optimierte Versionen nun für den Kernel 4.14.14 sowie die langzeitunterstützten Kernel-Versionen 4.9.77 und 4.4.112.
Rück-Sichts-voll
Jens-Christoph Brendel
[1] Billy, eigentlich Walter Fürst, Schweizer Aphoristiker
