„Meltdown“ hat genügend Verdienste, um die Welt der Informatik zu erschüttern, aber die schlechte Nachricht ist, dass sie nicht allein ist. Sie wurde auch von „Spectre“ begleitet, einer Schwachstelle, die im Wesentlichen fast alle Prozessoren mit Unterstützung für spekulative Ausführung betrifft und Sicherheitsexperten Kopfzerbrechen bereitet. Als ob das nicht genug wäre, ermöglicht Spectre eine ganze Reihe neuer Angriffe, darunter einen über JavaScript. Wie anfällig sind also die Browser? Ein neues Online-Tool von Tencent hilft uns, das herauszufinden.
Die Herausforderung für die Industrie
Die Industrie wird mehrere Jahre arbeiten müssen, um die Auswirkungen von Meltdown und Spectre zu mildern, einzudämmen und schließlich zu beseitigen. Beide Schwachstellen können bis zu einem gewissen Grad mit Hilfe von Patches eingedämmt werden, aber der Preis ist ein Verlust an Leistung in bestimmten Arbeitsumgebungen. Grundlegende Lösungen erfordern neue Architekturen und neue Hardware, daher ist die Priorität aller Verantwortlichen, die Auswirkungen auf die Geschwindigkeit zu minimieren. Aus technischer Sicht ist Spectre schwieriger auszunutzen als Meltdown und auch schwieriger zu neutralisieren. Eine der verfügbaren Strategien besteht darin, die wichtigsten auf Spectre basierenden Exploits mit Hotfixes zu bekämpfen, und einige Webbrowser haben begonnen, diese zu übernehmen.
Der Online-Check von Tencent
Das Problem ist, dass nicht alle Browser in jedem Fall auf dem neuesten Stand sind, und wenn wir die Informationen über Spectre richtig interpretieren, betrifft es Computer, Server, mobile Geräte und IoT-Plattformen, die bei Updates oft weit zurückliegen. Eine Möglichkeit, den eigenen Status zu überprüfen, besteht darin, das Portal des XuanWu-Labors von Tencent zu besuchen und auf die Schaltfläche zu klicken. Der Check ist fast sofort durchgeführt, aber die offizielle Beschreibung zwingt uns, das Ergebnis mit Vorsicht zu genießen. Wenn das Tool meldet, dass der Browser „verwundbar“ ist, ist das definitiv wahr, aber die Ankündigung „nicht verwundbar“ macht ihn keineswegs sicher, da es draußen noch andere unbekannte Exploits geben könnte.
Schutzmaßnahmen und Updates
Im Allgemeinen sind die Schutzmaßnahmen gegen Spectre eine Arbeit in Fortschritt. Google wird die erste Runde von Patches für Google Chrome ab dem 23. Januar verteilen, aber es gibt auch die Option, den experimentellen Modus „Strict Site Isolation“ zu aktivieren. Auf der Firefox-Seite hat der Standard-Build bereits Anpassungen erhalten, während die ESR-Edition am 23. ein eigenes Update bekommt. Geduld.
