Schwer ausnutzbar: Die ungefixten Sicherheitslücken
Sicherheitslücken wie Spectre, Rowhammer und Heist lassen sich kaum vollständig beheben, ohne gravierende Performance-Einbußen zu akzeptieren. Daher bleiben sie ungefixt. Trotzdem werden sie bisher kaum ausgenutzt.
Diese Meldung sorgte für einige Aufregung unter den Linux-Kernel-Entwicklern: Die Webseite Phoronix hatte im November Messungen einer neuen Kernelversion durchgeführt und dabei bei einigen Benchmarks Geschwindigkeitsverluste von 40 Prozent festgestellt. Nach einigem Suchen stellte sich dann heraus: Was den Kernel so langsam machte, war ein Feature namens STIBP (Single Thread Indirect Branch Predictors), eine Funktion, die das Ausnutzen bestimmter Varianten der Spectre-Sicherheitslücke verhindern sollte.
Nach einigen Umbauarbeiten funktioniert STIBP inzwischen ohne diese gravierenden Performanceeinbußen und ist in jüngsten Kernelversionen auch standardmäßig aktiviert. Aber die Episode zeigt, wie Entwickler von Betriebssystemen mit den Folgen der CPU-Sicherheitslücken Meltdown, Spectre und den zahlreichen Varianten zu kämpfen haben.
