\n <\/em><\/p>\n
Noch vor dem ersten Arbeitstag am 3. Januar 2018 tauchten Medienberichte<\/a><\/strong> auf, wonach alle g\u00e4ngigen CPU-Prozessoren massive Sicherheitsl\u00fccken aufweisen w\u00fcrden. Die Namen Meltdown und Spectre-1 und Spectre-2 machten die Runde. Von Meltdown sind aktuell alle Intel-Rechner betroffen, bei den beiden Spectre-Varianten sind beinahe s\u00e4mtliche CPUs (Intel\/AMD und ARM) anf\u00e4llig f\u00fcr Angriffe.<\/p>\n Worum geht es? Sehr vereinfacht gesagt darum, dass ein Programm beliebige Daten eines anderen Programmes auslesen kann und somit (sofern vertrauliche Daten im Klartext gespeichert werden) diese Informationen (entgegen allen Schutzmechanismen) x-beliebig ‚ausspuckt‘. Die Probleme sind \u00fcber mehr als ein Jahrzehnt entstanden, weil die Geschwindigkeit der Rechner immer weiter gesteigert wurde, ohne gen\u00fcgend an die Sicherheit zu denken.<\/p>\n Die ArchivistaBox geht (entgegen einem jeden Trend) seit dem Jahre 2005 an jedem nur erdenklichen Punkt jenen Weg, dass mit den Ressourcen sehr sparsam umgegangen wird. So kann heute die ArchivistaBox problemlos auf dem Kleinstrechner Raspberry PI (Albis und Bachtel) betreiben werden — und witzigerweise sind gerade diese Rechner nicht von den Angriffen betroffen.<\/p>\n Dadurch, dass bei der ArchivistaBox eine Box-Appliance (Einheit aus Hard- und Software) ausgeliefert wird, l\u00e4sst es sich nicht vermeiden, dass bei der Entwicklung der ArchivistaBox eine sehr tiefe Auseinandersetzung mit dem Betriebssystem erfolgen muss. Dabei konnte \u00fcber die letzen Jahre beobachtet werden, dass bereits seit l\u00e4ngerem die Entwicklung nach unserer Ansicht zu stark nach Neuerungen denn nach Gesichtspunkten der Stabilit\u00e4t stattfindet.<\/p>\n Dazu zwei (nicht abschliessende) Beispiele: Im August 2015 wurden ARM-basierte ArchivistaBoxen<\/a><\/strong> pr\u00e4sentiert, die sowohl beim Stromverbrauch als auch beim Platzbedarf neue Massst\u00e4be setzten. Auf dem Markt wurden diese kaum beachtet. Intel oder AMD, alles andere scheint im Server-Markt zu sehr ein Fremdwort darzustellen, als dass Interesse daran best\u00fcnde. Im September 2016 wurde ein aktualisierter Unterbau<\/a><\/strong> mit Debian Jessie ver\u00f6ffentlicht. Dabei wurde der allumfassende ‚gefr\u00e4ssige‘ Boot-Dienst SystemD nicht in den Startprozess eingebaut.<\/p>\n Diese und viele andere Massnahmen f\u00fchren dazu, dass die ArchivistaBox schlanker und deutlich performativer dasteht, als dies bei vergleichbaren anderen Systemen der Fall ist. Kunden sind immer wieder erstaunt, auf welch moderater Hardware die ArchivistaBox ausgeliefert wird. Doch mit dem Ansatz, bei der Hardware ‚geizig‘ zu sein, mit diesem Ansatz bildet die ArchivistaBox die Ausnahme, ganz sicher nicht die Regel. Dies gilt f\u00fcr Business-Software (hier bietet die ArchivistaBox eine Alternative), leider aber auch zunehmend stark f\u00fcr Linux selber. Die Zeit, zu der Linux als schlank bezeichnet werden konnte, ist vorbei. Der Linux-Kernel ben\u00f6tigt heute weit \u00fcber 10 GByte, ehe er vom Programmcode auf die gew\u00fcnschte Hardware \u00fcbersetzt werden kann.<\/p>\n Damit all diese Arbeiten innert vern\u00fcnftiger Zeit erledigt werden k\u00f6nnen, ist aktuelle Hardware notwendig. Doch genau darin liegt das Problem. Die Leistungsf\u00e4higkeit aktueller Hardware l\u00e4sst sich nur im gew\u00fcnschten Masse steigern, indem allenthalben Zwischenspeicher (Caches) angelegt werden. Der Prozessor z.B. rechnet schon mal Dinge, von denen er mutmasslich davon ausgeht, dass sie sp\u00e4ter ben\u00f6tigt werden, damit er sp\u00e4ter auf diese Teile (allf\u00e4llig schneller) zur\u00fcckgreifen kann.<\/p>\n Die aktuellen Probleme von Meltdown und Spectre liegen nun darin begraben, dass die Hardware-Herstellen sich die letzten zehn Jahre kaum bzw. offensichtlich nicht gen\u00fcgend Gedanken machten, wie die zwischengespeicherten Daten gegen Zugriffe von anderen Programmen abgesichert werden. Und darum sind heute fast alle Prozessoren verwundbar. Wohin uns die Reise f\u00fchrt, l\u00e4sst sich aktuell nicht voraussagen. Klar ist wohl, dass es in Zukunft nicht nur darum gehen wird, wie schnell eine Hardware ist, sondern vor allem darum, wie sicher sie ist.<\/p>\n In den letzten beiden Wochen erfolgte eine intensive Auseinandersetzung mit Meltdown und Spectre. Positiv zu vermerken ist, dass die ArchivistaBox von Meltdown faktisch nicht betroffen ist, weil nahezu alle Systeme mit AMD und\/oder ARM ausgeliefert werden. Weniger toll stellt sich die Sachlage bei Spectre-1 und Spectre-2 dar. Hier sind fast alle ArchivistaBoxen (Ausnahme Albis und Bachtel) betroffen. Bis gestern gab es zu Spectre-1 un Spectre-2 keine Patches. Nun, da die ersten Patches verf\u00fcgbar sind, wurden diese selbstverst\u00e4ndlich in die ArchivistaBox 2018\/I integriert.<\/p>\n Aktueller Stand (18.1.2018):<\/strong> Meltdown und Spectre-2 k\u00f6nnen gefixt werden, bei Spectre-1 gibt es aktuell noch keinen Schutz. Weil die Spectre-Patches Software erfordern, die noch nicht in allen Ecken und Enden getestet wurde (GCC-Kompiler mit Version 8.0.1 wird als experimentell beschrieben), werden die entsprechenden Fixes (Kernel 4.9.77) nur f\u00fcr jene Kunden ausgeliefert, die dies w\u00fcnschen. Dies ganz klar unter dem Gesichtspunkt, dass Spectre-1 und Spectre-2 einen Angriff lokal erfordern und dass praktisch kein Kunde lokal an der ArchivistaBox arbeitet. Aktuell gibt es keine bekannten Exploits \u00fcber Web-Dienste, entsprechende Angriffe (JavaScript) m\u00fcssten zudem auf Rechner erfolgen, die auf die ArchivistaBox zugreifen.<\/p>\n In diesem Sinne sind aktuell prim\u00e4r die Desktop-Rechner zu patchen. Ob und inwiefern dies bei Smartphones m\u00f6glich ist, wird sich zeigen. Apple d\u00fcrfte hier die deutlich bessere Position haben, weil die im Einsatz stehende Hardware im Vergleich zu Android bescheiden ist. Bei Android stehen zwar aktuell Patches bereit, doch ist l\u00e4ngst nicht klar, ob bzw. wie die Hersteller diese integrieren bzw. ausliefern.<\/p>\n Die ArchivistaBox-Systeme selber werden \u00fcber WebConfig durch die Kunden aktualisiert. Wer ein Update erhalten m\u00f6chte, meldet uns dies, und das entsprechende Release wird gerne (kostenfrei im Rahmen des Wartungsvertrages) zur Verf\u00fcgung gestellt. Fragen rund um die Sicherheit betreffend Meltdown und Spectre werden gerne per Mail<\/a><\/strong> oder Telefon<\/strong><\/a> beantwortet.<\/p>\n Update vom 19.2.2018: <\/strong>Mittlerweile ist Kernel 4.9.82 eingepflegt. Damit gibt es auch erstmalig einen Schutz gegen (gewisse) Angriffe betr. Spectre-1.<\/p>\n Bildquellen: Wandern zwischen Florenz und Siena, Jahreswechsel 2017\/18, https:\/\/azurgo.ch<\/a><\/em><\/p>\n\n\n\n\t![\"\"](\"https:\/\/archivista.ch\/cms\/wp-content\/uploads\/2018\/01\/weg2.jpg\")
<\/a><\/p>\nMeltdown und Spectre:<\/a><\/strong> Ein Ungl\u00fcck kommt selten alleine<\/h2>\n
<\/a><\/p>\nArchivistaBox 2018\/I mit aktuellen Patches verf\u00fcgbar<\/h2>\n
# cat \/proc\/version <\/code>
\n Linux version 4.9.77 (root@avbox177) (gcc version 8.0.1 20180118 (experimental) (GCC) ) #1 SMP Thu Jan 18 14:01:21 CET 2018<\/code><\/p>\n# cat \/sys\/devices\/system\/cpu\/vulnerabilities\/meltdown<\/code>
\n Mitigation: PTI<\/code><\/p>\n# cat \/sys\/devices\/system\/cpu\/vulnerabilities\/spectre_v1<\/code>
\n Vulnerable<\/code><\/p>\n# cat \/sys\/devices\/system\/cpu\/vulnerabilities\/spectre_v2<\/code>
\n Mitigation: Full generic retpoline<\/code><\/p>\n<\/a><\/p>\n