Security Advisory

Security Advisory

Betrifft: Meltdown CVE-2017-5754 | Spectre CVE-2017-5753, CVE-2017-5715

Chief Technology Officer

1. Überblick/Hintergrund

Meltdown und Spectre sind Angriffsszenarien, bei denen kritische Sicherheitslücken moderner Prozessoren ausgenutzt werden. Diese Sicherheitslücken in der Hardware ermöglichen bösartigen Programmen den Diebstahl lokal auf einem PC verarbeiteter Daten.

Bereits im Juni vergangenen Jahres hat Jann Horn – ein Forscher beim Google Project Zero – die Prozessorhersteller Intel, AMD und ARM über die Schwachstelle informiert. Anfang Januar 2018 schließlich sind Meltdown und Spectre öffentlich bekannt geworden. Fast alle Mikroprozessoren sind betroffen.

Weiterhin sind alle relevanten Betriebssysteme von Meltdown und Spectre betroffen, z. B.:

  • Microsoft Windows
  • Linux
  • macOS
  • iOS
  • Android
  • FreeBSD

Über Meltdown

Durch Meltdown wird die grundlegendste Trennung der Benutzeranwendungen vom Betriebssystem aufgehoben. Mit anderen Worten gibt es einen „Meltdown“ zwischen dem Benutzerbereich und dem geschützten Bereich innerhalb einer CPU. Bei einem solchen Angriff kann ein Programm auf den Speicher und damit sensible Informationen anderer Programme sowie des Betriebssystems zugreifen. Dies betrifft sowohl PCs als auch die Cloud-Infrastruktur.

Dieser Fehler findet sich unter anderem in denjenigen Intel- und ARM-CPUs, die Out-of-Order-Execution – die Ausführung in anderer Reihenfolge als im Programmcode – einsetzen, d. h. sämtliche Prozessoren, die nach 1995 hergestellt wurden (Ausnahmen bilden Intel Itanium und Intel Atom, die vor 2013 hergestellt wurden). Meltdown geht auf ein Zusammenspiel interner Verhaltensweisen von Intel CPUs zurück, die dazu führen, dass eigentlich geschützter Speicher ausgelesen werden kann – von Programmen, die dazu nicht in der Lage sein sollten.

Die Ursache für die Schlichtheit und trotzdem schweren Folgen eines Meltdown-Angriffs ist in den Nebenwirkungen der Out-of-Order-Execution zu finden. Die Out-of-Order-Execution ist eine wichtige Funktion moderner Prozessoren zur Reduktion der Latenz stark ausgelasteter Ausführungseinheiten, z. B. zur Außerkraftsetzung eines Programms. Anstatt die Ausführung zu stoppen, führen moderne Prozessoren die Operationen „außerhalb der Reihenfolge“ aus, d. h. sie antizipieren den weiteren Programmverlauf und planen eine spätere Ausführung ein. Dies findet in den Leerlauf-Ausführungseinheiten des Prozessors statt. Dieser Bereich ist zwar nicht besonders geschützt, aber ein Zugriff von Benutzerebene ist normalerweise nicht möglich. Durch Meltdown kann dieser geschützte Bereich nun ausgelesen werden.

Über Spectre

Mit Spectre wird die Isolation verschiedener Anwendungen umgangen. Spectre ist wesentlich komplexer und betrifft nicht nur Intel-Prozessoren, sondern auch andere Hersteller wie AMD und ARM.

Das Schlüsselwort lautet „spekulative Ausführung“. Auch diese Funktion realisiert – mittels „over-execution“ oder „over-utilization“ – Leistungsvorteile. Der Prozessor führt verschiedene Leistungsberechnungen aus, um die Anfrage eines Programms innerhalb weniger Nanosekunden zu beantworten.

Die meisten dieser Prognosen werden jedoch nicht verwendet und letztlich verworfen. Sie landen dann in einem Cache in der CPU. Spectre kann auf diesen Bereich zugreifen oder Prozessoren dazu veranlassen, Anweisungen auszuführen, die nicht hätten ausgeführt werden sollen. Spectre erhält somit über eine schädliche Anwendung, z. B. auf Basis von JavaScript, Zugriff auf vertrauliche Informationen anderer Anwendungen, die sich im Speicher befinden.

2. Allgemeine Sicherheitshinweise

Grundsätzlich ist es ratsam, die Updates des jeweiligen Betriebssystems, der Hersteller der Computersysteme, der Prozessorhersteller und der Software-Anwendungen zu installieren. Unter diesem Link finden Sie eine Liste mit Links zu den Seiten der Hersteller: https://meltdownattack.com/#faq-fix

Im Zusammenhang mit den am 3. Januar 2018 veröffentlichen Updates hat Microsoft einige Kompatibilitätsprobleme mit Antivirensoftware bekanntgegeben. Unter diesem Link finden Sie eine Stellungnahme von Microsoft sowie entsprechende Handlungsempfehlungen: https://support.microsoft.com/en-hk/help/4072699/january-3-2018-windows-... Meanwhile, the antivirus manufacturers have responded to this circumstance. Erkundigen Sie sich bei Ihrem Hersteller, ob ein entsprechendes Update bereitgestellt wurde.

Grundsätzlich können die Updates die Leistungsfähigkeit des Prozessors beeinträchtigen. Bei Prozessoren des Typs Intel Core i-6000 (Skylake) sind die Verluste jedoch gering. Bei älteren Prozessoren sind Geschwindigkeitseinbußen feststellbar. Microsoft hat unter der folgenden Adresse eine ausführliche Einschätzung gegeben: https://cloudblogs.microsoft.com/microsoftsecure/2018/01/09/understandin...

Intel hat seinen eigenen Leistungsvergleich hier veröffentlicht: https://newsroom.intel.com/wp-content/uploads/sites/11/2018/01/Blog-Benc...

3. Rohde & Schwarz Cybersecurity Endpunkt- und Managementprodukte

Rohde & Schwarz Cybersecurity empfiehlt folgende Vorgehensweise:

1. Installieren Sie die jeweiligen Patches/Updates für die Plattform/das Betriebssystem. Liste der Produkte, die ein solches Update erfordern:

  • Browser in the Box
  • TrustedDisk
  • TrustedGate
  • TrustedIdentity Manager

2. Installieren Sie die jeweiligen Betriebssystem-Patches/Updates der Plattformen, von denen über einen Browser auf die Management-Komponente zugegriffen wird.

Liste der Produkte, die ein Update erfordern:

  • CommandCenter
  • SITScope
  • TrustedObjects Manager

4. Bitte nehmen Sie Kontakt mit uns auf!

Falls Sie weitere Fragen haben, Ihr von uns verwendetes Produkt nicht aufgeführt ist oder Sie auf Probleme stoßen, kontaktieren Sie uns bitte.

Betrifft: Sicherheitslücke in Infineon Smartcard mit SLE78 Chip und TPM 1.2 SLB9655 der Serie FW 4.32

Chief Technology Officer

Eine Forschergruppe hat eine Schwachstelle in Sicherheitschips des Herstellers Infineon gefunden, die zur Erzeugung unsicherer RSA-Schlüssel führt. Die Sicherheitslücke soll in Infineon-Chips ab dem Herstellungsjahr 2012 auftreten. Im Folgenden erfahren Sie, welche Produkte betroffen sind und wie Sie vorgehen sollten.

Bitte beachten Sie, dass es sich hierbei nicht um eine Sicherheitslücke in der Software von Rohde & Schwarz Cybersecurity handelt, sondern in Infineons.

1. Kunden, die TrustedDisk und TrustedIdentity Manager mit Infineon Smartcards der Serie SLE78 (Serie SLE66 und ältere sind nicht betroffen) und ATOS-Firmware CardOS 5.X verwenden – wir empfehlen

  • die Verwendung ausschließlich mit der neuen ATOS Middleware Version CardOS API 5.4. Während einer (neuen) Personalisierung der Smartcard wird hierdurch ein geeignetes Patch auf der Karte installiert, wodurch das Problem behoben wird
  • die Firmware durch Repersonalisierung bereits in Betrieb genommener Smartcards durch diese Middleware zu patchen.

Wir stellen unseren Kunden die neueste Version CardOS API 5.4 über unseren Support bereit.

2. Kunden mit TrustedObject Manager der Serie TOM - S (Revision 2) aus den Jahren 2014 – 2017. Diese Systeme verfügen über einen integrierten Infineon TPM-Chip (TPM 1.2 SLB9655) der Serie FW 4.32, der die oben erwähnte Sicherheitslücke aufweist. Nach heutigem Kenntnisstand ist die Sicherheit der Systeme nicht unmittelbar gefährdet, da andere Sicherheitsmechanismen greifen. Dennoch empfehlen wir, den TPM-Chip im Rahmen der nächsten TOM Release Updates zu patchen.

3. Wir weisen darauf hin, dass die Version TOM – S (Rev. 2) nicht für die Verwendung in georedundanten Umgebungen zugelassen ist. Wir empfehlen denjenigen Kunden, die diese Version dennoch in einer solchen Konfiguration einsetzen, dringlich die Implementierung zusätzlicher Schutzmaßnahmen für die Verbindung, beispielsweise durch ein TrustedVPN, oder die Verwendung einer TOM L Version, die für diese Konfiguration zugelassen wurde.

Wir bedauern die Komplikationen, die sich aus dem Fehler in der Infineon Smartcard Firmware ergeben, und stehen Ihnen für Fragen und weitere Informationen gerne zur Verfügung:

Uwe Dietzmann

Support Engineer | Customer Support

Telefon: +49 341 59403 012

E-Mail: uwe.dietzmann@rohde-schwarz.com

Mit freundlichen Grüßen

Rohde & Schwarz Cybersecurity GmbH

Request information

Do you have questions or need additional information? Simply fill out this form and we will get right back to you.

Marketing-Einverständniserklärung

Ich möchte Informationen von Rohde & Schwarz erhalten per

Was bedeutet das im Einzelnen?

Ich bin damit einverstanden, dass die ROHDE & SCHWARZ GmbH & Co. KG und die im Impressum dieser Website genannte, ROHDE & SCHWARZ zugehörige Gesellschaft oder Niederlassung, mich über den gewählten Kommunikationskanal (E-Mail oder Post) zu Marketing- und Werbezwecken kontaktiert (z.B. zur Übersendung von Informationen über Sonderangebote und Rabattaktionen), die in Zusammenhang mit Produkten und Lösungen aus den Bereichen Messtechnik, sichere Kommunikation, Monitoring and Network Testing, Rundfunk- und Medientechnik sowie Cybersicherheit stehen, aber nicht auf diese beschränkt sind.

Ihre Rechte

Diese Einverständniserklärung kann jederzeit durch Senden einer E-Mail, in deren Betreffzeile "Unsubscribe" steht, an news@rohde-schwarz.com, widerrufen werden. Darüber hinaus enthält jede von uns versandte E-Mail einen Link, durch den das Abbestellen zukünftiger Werbung per E-Mail möglich ist. Weitere Einzelheiten zur Verarbeitung personenbezogener Daten und zum Widerrufsverfahren finden sich in unserer Datenschutzerklärung..

Ihre Anfrage wurde erfolgreich versendet. Wir nehmen in Kürze Kontakt mit Ihnen auf.
An error is occurred, please try it again later.