Categories: PolitikRegulierung

US-CERT erfuhr von Meltdown und Spectre erst aus den Medien

Intel hat das US-Computer Emergency Readiness Team (US-CERT) erst über die CPU-Sicherheitslücken Meltdown und Spectre informiert, nachdem erste Details durch einen Bericht von The Register durchgesickert waren. Das geht aus Briefen hervor, mit denen US-Technikfirmen auf Fragen von US-Abgeordneten geantwortet haben und die der Agentur Reuters vorliegen. Demnach informierte Intel die US-Regierung nicht, weil es keine Anzeichen dafür gab, dass die Schwachstellen von Cyberkriminellen ausgenutzt wurden.

Entdeckt wurden die drei Anfälligkeiten, von denen zwei auch Chips von AMD und ARM betreffen, unter anderem von Sicherheitsforschern von Google. Die Google-Mutter Alphabet erklärte in ihrem Brief, man habe Intel, AMD und ARM im Juni kontaktiert und über die Probleme informiert. Die Entscheidung, Vertreter der US-Regierung einzubeziehen, habe man den Chipherstellern überlassen, was gängige Praxis sei.

Darüber hinaus gab Google den Chipherstellern anfänglich nur die üblichen 90 Tage, um die Schwachstellen zu beseitigen. AMD zufolge wurde diese Frist zweimal verlängert: zuerst bis zum 3. Januar und dann bis zum 9. Januar – Microsofts regulärem Patchday. Vor allem die als Variante 2 bezeichnete Spectre-Lücke, die ein Microcode-Update erfordert, ist bei den meisten Nutzern weiterhin ungepatcht.

Die Abgeordneten kritisieren, dass das US-CERT nicht informiert wurde, obwohl die Anfälligkeiten auch eine Gefahr für kritische Infrastrukturen darstellen. Intel erklärte dazu, man habe eine mögliche Gefährdung kritischer Infrastrukturen nicht geprüft, weil man davon ausgegangen sei, dass Industriekontrollsysteme nicht betroffen seien. Man habe sich aber mit anderen Technikfirmen in Verbindung gesetzt, die die anfälligen Chips in ihren Produkten einsetzten.

Die Briefe wurden nicht nur an Intel und Google, sondern auch an Apple, AMD, ARM, Amazon und Microsoft verschickt. Der Softwarekonzern aus Redmond erklärte, er habe einige Wochen vor der für den 9. Januar geplanten Offenlegung die Details der Schwachstellen an verschiedene Anbieter von Antivirensoftware weitergeleitet. Sie wurden informiert, um mögliche Kompatibilitätsprobleme mit den von Microsoft entwickelten Windows-Patches zu beseitigen.

Das grundsätzliche Problem von Meltdown und Spectre ist, dass die zugrundeliegenden Sicherheitslücken nicht geschlossen werden können. Die derzeit verfügbaren Patches sind lediglich in der Lage, die bereits bekannten Angriffe abzuwehren. Erst kürzlich meldeten Forscher die Entdeckung neuer Angriffsvektoren. Sie schließen nicht aus, dass Intel einen weiteren Hardware-Fix bereitstellen muss, um auch diese Attacken zu verhindern. Nutzer müssen darüber hinaus wahrscheinlich bis 2019 warten, bis die ersten Prozessoren ohne Meltdown- und Spectre-Lücken in den Handel kommen.

ANZEIGE

So lassen sich Risiken bei der Planung eines SAP S/4HANA-Projektes vermeiden

Ziel dieses Ratgebers ist es, SAP-Nutzern, die sich mit SAP S/4HANA auseinandersetzen, Denkanstöße zu liefern, wie sie Projektrisiken bei der Planung Ihres SAP S/4HANA-Projektes vermeiden können.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Apple meldet Rekordumsatz im vierten Fiskalquartal

Die Einnahmen klettern auf fast 95 Milliarden Dollar. Allerdings belastet der Steuerstreit mit der EU…

2 Tagen ago

Microsoft steigert Umsatz und Gewinn im ersten Fiskalquartal

Das stärkste Wachstum verbucht die Cloud-Sparte. Microsoft verpasst bei der Umsatzprognose für das laufende Quartal…

3 Tagen ago

Bezahlkarten: Infineon verspricht weniger Plastikmüll

Ein Coil-on-Module-Package integriert Chip und Antenne, was den Kartenkörper fast vollständig recycelbar machen soll.

3 Tagen ago

Firefox 132 schließt elf Sicherheitslücken

Mindestens eine Anfälligkeit erlaubt das Einschleusen von Schadcode. Außerdem erweitern die Entwickler den Support für…

3 Tagen ago

Telekom nennt Termin für 2G-Ende

Zum 30. Juni 2028 soll das 2G-Netz komplett abgeschaltet werden und den Weg für schnellere…

3 Tagen ago

Alphabet übertrifft die Erwartungen im dritten Quartal

Gewinn und Umsatz legen deutlich zu. Zum Wachstum tragen auch die Sparten Cloud und Abonnements…

4 Tagen ago