CPU-Angriffe sind seit rund drei Jahren ein heiß diskutiertes Thema in der IT-Sicherheitsforschung. 2018 wurde bekannt, dass Schwachstellen in den weitverbreiteten Intel- und AMD-Prozessoren Angreifer:innen ermöglichen, teils sensible Daten aus dem Speicher auszulesen. „Die meisten der Angriffsvarianten, die klingende Namen wie Spectre, Meltdown oder Zombieload tragen, sind kompliziert auszuführen und erfordern einiges an Know-how“, erklärt CISPA-Faculty Dr. Michael Schwarz. Deshalb sind solche Attacken bislang glücklicherweise kaum massentauglich; die Komplexität der Angriffe erschwert aber auch Cybersicherheitsforscher:innen und IT-Sicherheitsexpert:innen in Unternehmen mögliche Angriffsvarianten zu finden und effektive Gegenmaßnahmen zu entwickeln. Hierfür ist bisher oftmals langwierige Forschungs- und Analysearbeit nötig.
Diese Arbeit wird durch libtea und SCFirefox künftig deutlich erleichtert. Michael Schwarz, der auch an der Entdeckung von Spectre und Meltdown beteiligt war, hat die Frameworks mitentwickelt. „Die Frameworks erleichtern uns zu testen, welche Angriffe machbar sind. Mit ihnen können wir schnell Prototypen von Attacken erstellen, die uns helfen zu verstehen, wie Angriffe funktionieren. So können wir Risiken besser abschätzen und schneller entsprechende Gegenmaßnahmen ergreifen.“
Soweit zu den guten Nachrichten. Die schlechte Nachricht ist, dass die Forscher:innen beim Test des Frameworks SCFirefox den ersten sogenannten Zombieload-Angriff über den Browser modellieren konnten. Zombieload-Attacken nutzen eine Schwachstelle aus, die beim Überprüfen von Berechtigungen bei Datenzugriffen vorhanden ist, und noch immer über das sogenannte Hyperthreading ausgenutzt werden kann. Hyperthreading ist eine Funktion, die es Rechnern erlaubt, parallel mehrere Prozesse, also zum Beispiel Aufgaben verschiedener auf dem Computer geöffneter Programme zu verarbeiten. Die Programme teilen sich Ressourcen auf den einzelnen CPU-Kernen, wodurch diese besser ausgelastet werden können und der Rechner schneller arbeitet. Zombieload-Attacken durchbrechen die zwischen den Prozessen eigentlich bestehenden Barrieren und Programme können Zugriff auf die Geheimnisse anderer Programme erhalten. Diese Daten können Angreifer:innen mittels Schadsoftware auslesen.
Angriffe, die über den Browser ausgeführt werden, sind dabei besonders gefährlich, da hierfür keine Schadsoftware auf dem Rechner installiert werden muss. Zudem ersparen browserbasierte Attacken den Angreifer:innen Umwege über infizierte Webseiten, die über Fehler in den Browsern Schadcode auf die Opferrechner schleusen.
In der Vergangenheit wurden bereits browserbasierte Angriffe ähnlicher Art beschrieben, allerdings mussten dafür bislang erst bestimmte Sicherheitsmechanismen außer Kraft gesetzt und der Browser verändert werden. „Das war aufwendig und stellt eine zusätzliche Hürde für Angreifer:innen dar. Wir konnten jetzt einen gänzlich unmodifizierten Browser ausnutzen und über einen Zombieload-Angriff Daten stehlen“, sagt Schwarz. „Bislang ist die einzige Lösung für dieses Problem, Geheimnisse verschiedener Anwendungen auf verschiedenen Kernen laufen zu lassen. Aber das führt zu Leistungseinbußen.“
Die Suche nach Gegenmaßnahmen, die Sicherheit und Leistung miteinander vereinbaren, geht für die Forscher:innen weiter. Michael Schwarz ist überzeugt, dass die beiden Frameworks dabei künftig eine große Hilfe sein werden.
