US-CERT erfuhr von Meltdown und Spectre erst aus den Medien

Intel sieht kein Risiko für kritische Infrastrukturen. Google wiederum überlässt den Chipherstellern die Entscheidung, die Behörden zu informieren. AMD zufolge verlängert Google jedoch die 90-Tage-Frist für die Offenlegung von Zero-Day-Lücken zweimal.

Intel hat das US-Computer Emergency Readiness Team (US-CERT) erst über die CPU-Sicherheitslücken Meltdown und Spectre informiert, nachdem erste Details durch einen Bericht von The Register durchgesickert waren. Das geht aus Briefen hervor, mit denen US-Technikfirmen auf Fragen von US-Abgeordneten geantwortet haben und die der Agentur Reuters vorliegen. Demnach informierte Intel die US-Regierung nicht, weil es keine Anzeichen dafür gab, dass die Schwachstellen von Cyberkriminellen ausgenutzt wurden.

Meltdown Spectre (Bild: Google)Entdeckt wurden die drei Anfälligkeiten, von denen zwei auch Chips von AMD und ARM betreffen, unter anderem von Sicherheitsforschern von Google. Die Google-Mutter Alphabet erklärte in ihrem Brief, man habe Intel, AMD und ARM im Juni kontaktiert und über die Probleme informiert. Die Entscheidung, Vertreter der US-Regierung einzubeziehen, habe man den Chipherstellern überlassen, was gängige Praxis sei.

Darüber hinaus gab Google den Chipherstellern anfänglich nur die üblichen 90 Tage, um die Schwachstellen zu beseitigen. AMD zufolge wurde diese Frist zweimal verlängert: zuerst bis zum 3. Januar und dann bis zum 9. Januar – Microsofts regulärem Patchday. Vor allem die als Variante 2 bezeichnete Spectre-Lücke, die ein Microcode-Update erfordert, ist bei den meisten Nutzern weiterhin ungepatcht.

Die Abgeordneten kritisieren, dass das US-CERT nicht informiert wurde, obwohl die Anfälligkeiten auch eine Gefahr für kritische Infrastrukturen darstellen. Intel erklärte dazu, man habe eine mögliche Gefährdung kritischer Infrastrukturen nicht geprüft, weil man davon ausgegangen sei, dass Industriekontrollsysteme nicht betroffen seien. Man habe sich aber mit anderen Technikfirmen in Verbindung gesetzt, die die anfälligen Chips in ihren Produkten einsetzten.

Die Briefe wurden nicht nur an Intel und Google, sondern auch an Apple, AMD, ARM, Amazon und Microsoft verschickt. Der Softwarekonzern aus Redmond erklärte, er habe einige Wochen vor der für den 9. Januar geplanten Offenlegung die Details der Schwachstellen an verschiedene Anbieter von Antivirensoftware weitergeleitet. Sie wurden informiert, um mögliche Kompatibilitätsprobleme mit den von Microsoft entwickelten Windows-Patches zu beseitigen.

Das grundsätzliche Problem von Meltdown und Spectre ist, dass die zugrundeliegenden Sicherheitslücken nicht geschlossen werden können. Die derzeit verfügbaren Patches sind lediglich in der Lage, die bereits bekannten Angriffe abzuwehren. Erst kürzlich meldeten Forscher die Entdeckung neuer Angriffsvektoren. Sie schließen nicht aus, dass Intel einen weiteren Hardware-Fix bereitstellen muss, um auch diese Attacken zu verhindern. Nutzer müssen darüber hinaus wahrscheinlich bis 2019 warten, bis die ersten Prozessoren ohne Meltdown- und Spectre-Lücken in den Handel kommen.

ANZEIGE

So lassen sich Risiken bei der Planung eines SAP S/4HANA-Projektes vermeiden

Ziel dieses Ratgebers ist es, SAP-Nutzern, die sich mit SAP S/4HANA auseinandersetzen, Denkanstöße zu liefern, wie sie Projektrisiken bei der Planung Ihres SAP S/4HANA-Projektes vermeiden können.

Themenseiten: AMD, Google, Intel, Microsoft, Politik, Prozessoren, Security, Sicherheit, US-CERT

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

Artikel empfehlen:

Neueste Kommentare 

2 Kommentare zu US-CERT erfuhr von Meltdown und Spectre erst aus den Medien

Kommentar hinzufügen
  • Am 24. Februar 2018 um 12:35 von C

    Das US-CERT hatte selbst angegeben, aus der Presse die Info erhalten zu haben.

    Das US-CERT hatte als Behebung des Fehlers ein Austausch der HW (= CPU) empfohlen. Später musste das US-CERT – wohl auf politischen Druck durch Intel oder der Rechtsabteilung – diese Empfehlung von der WEB-Seite nehmen.

    Soviel zum Theme „Freunde“ und Transparenz. Es geht immer nur um Geld… und der Verbraucher wird verschaukelt & abgezockt. Siehe Diesel-Skandal.

  • Am 19. April 2023 um 20:19 von A. Goettert

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *