Hertzbleed: Viele Prozessoren sollen eine Schwachstelle haben

Sicherheitslücken in Chips – da hatten wir ja bereits Spectre und Meltdown, dann gabs jüngst bei Apples M1 den Pacman-Fund und nun sollen wieder Intel, AMD und andere betroffen sein. Die jüngste Lücke hört auf den Namen Hertzbleed. Wird die Lücke ausgenutzt, so können Angreifer an kryptografische Schlüssel und andere Daten gelangen, die über die Hardware übertragen werden, so die Sicherheitsforscher.

Man habe die Ergebnisse zusammen mit dem Proof-of-Concept-Code im dritten Quartal 2021 an Intel, Cloudflare und Microsoft und im ersten Quartal 2022 an AMD weitergegeben. Ursprünglich verlangte Intel, dass die Ergebnisse bis zum 10. Mai 2022 unter Embargo gestellt werden. Später beantragte Intel eine erhebliche Verlängerung dieses Embargos, und die Forscher stimmten sich mit dem Unternehmen ab, um die Ergebnisse am 14. Juni 2022 zu veröffentlichen.

Gelistet ist das Ganze unter CVE-2022-23823 und CVE-2022-24436. Intel selbst stuft den Schweregrad als Medium ein. Updates für die Prozessoren selbst gibt es nicht. Obwohl dieses Thema aus der Sicht der Forschung interessant ist, glaubt man bei Intel nicht, dass dieser Angriff außerhalb einer Laborumgebung praktikabel ist. Außerdem sei CVE-2022-24436 nicht architekturspezifisch und jede moderne CPU mit dynamischem Energie- und Wärmemanagement ist potenziell betroffen. Intel teilte seine Erkenntnisse mit anderen Herstellern, damit diese ihre potenziellen Auswirkungen einschätzen konnten.

Gibt’s Abhilfe? Technisch gesehen, ja. Allerdings hat dies extreme Auswirkungen auf die gesamte Systemleistung, so die Sicherheitsforscher. In den meisten Fällen besteht eine Workload-unabhängige Abhilfe zur Abschwächung von Hertzbleed darin, den Frequenz-Boost zu deaktivieren. Intel nennt diese Funktion „Turbo Boost“, AMD nennt sie „Turbo Core“ oder „Precision Boost“. Die Deaktivierung der Frequenzerhöhung kann entweder über das BIOS oder zur Laufzeit über den Frequenzskalierungstreiber erfolgen. In den Experimenten blieb die Frequenz bei deaktiviertem Frequenz-Boost während der Ausführung der Arbeitslast auf der Basisfrequenz fixiert, wodurch Leckagen über Hertzbleed verhindert wurden. Dies ist jedoch keine empfohlene Strategie, da sie die Leistung erheblich beeinträchtigt.

Mal schauen, was sich da noch herausstellt, was getan werden kann, muss – oder auch nicht.

Transparenz: In diesem Artikel sind Partnerlinks enthalten. Durch einen Klick darauf ge­lan­gt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir ei­ne kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.