Sicherheitsupdate Meltdown und Spectre

Transkript

1 Sicherheitsupdate Meltdown und Christoph Mitasch, Thomas-Krenn.AG Webinar, 14. März 2018

2 Über mich Christoph Mitasch seit 2005 bei der Thomas-Krenn.AG Niederlassung Österreich Diplomstudium Computer- und Mediensicherheit Erfahrung in Web Operations, Linux und HA Cyber-Security-Practitioner 2

3 Chronologie 1. Juni 2017: Hersteller von Google über Spectre informiert 28. Juli 2017: Hersteller über Meltdown informiert 3. Jänner 2018: Disclosure Spectre und Meltdown, 6 Tage vor vereinbarten Termin Jänner 2018: Intel Microcode Updates 22. Jänner 2018: Intel Microcode Updates zurückgezogen...as they may introduce higher than expected reboots Februar 2018: neue Intel Microcode Updates für Kaby Lake, Coffee Lake und Skylake-basierte CPUs 3

4 Meltdown/Spectre kurz erklärt Moderne CPUs führen Befehle im Voraus spekulativ aus hoher Leistungsgewinn, da CPU viel schneller als alles andere ist = Out of Order Excecution Bei Fehlspekulationen werden Ergebnisse verworfen Cache-Inhalt wird aber leider nicht sauber aufgeräumt auf Cache kann nicht direkt zugegriffen werden, Rückschlüsse aber u.a. über Zugriffsgeschwindigkeit möglich Seitenkanal-Angriff 4

5 3 Varianten Spectre (Schreckgespenst) Variante 1 - bounds check bypass CVE während Längenprüfung der CPU werden Daten spekulativ gelesen Speichergeschwindigkeiten müssen exakt gemessen werden können z.b. via Javascript in Browser ausnutzbar Variante 2 - branch target injection CVE Branch Target Buffer (BTB) wird manipuliert unprivilegiertes Programm kann via Cache Kernel-Speicher auslesen z.b. von VM aus Speicher des Hypervisors lesen Meltdown (Kernschmelze) Variante 3 - rogue data cache load CVE Zugriff auf geschützte Daten von Schadprogramm bis es die CPU verbietet, wird weiter spekuliert und im Cache Spuren hinterlassen. unpriviligierter Prozess kann auf Kernel-Speicher zugreifen Quelle: 5

6 Agenda Welche CPUs sind betroffen? Gefährdungspotential unterschiedlicher Systeme (Cloud, Server, Desktop, ) Schutzmöglichkeiten Auswirkungen auf die Performance Ausblick 6

7 Betroffene CPUs Intel AMD POWER Spectre, Variante 1 Spectre, Variante 2 Meltdown, Variante 3 Nicht betroffen sind: x86-prozessoren vor 1995 CPUs ohne Speculative Execution oder Out-of-order execution z.b. Atom-Prozessoren vor 2013, Itanium-Architektur die meisten ARM CPUs (aktuell nur 11 Cortex CPUs betroffen) Rasperry PI ;-) 7

8 Intel CPUs Aktueller Linux Kernel gibt Auskunft ob CPU betroffen ist $ cat /proc/cpuinfo processor : 0 vendorid : GenuineIntel cpu family : 6 model : 60 model name : Intel(R) Celeron(R) CPU 2.40GHz... microcode : 0x22... flags : fpu vme de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat pse36 clflush dts acpi mmx fxsr sse sse2 ss ht tm pbe syscall nx pdpe1gb rdtscp lm constanttsc archperfmon pebs bts repgood nopl xtopology nonstoptsc aperfmperf eagerfpu pni pclmulqdq dtes64 monitor dscpl vmx est tm2 ssse3 sdbg cx16 xtpr pdcm pcid sse41 sse42 movbe popcnt tscdeadlinetimer xsave rdrand lahflm abm epb invpcidsingle retpoline kaiser tprshadow vnmi flexpriority ept vpid fsgsbase tscadjust erms invpcid xsaveopt dtherm arat pln pts bugs : cpumeltdown spectrev1 spectrev2... Performance Impact für Meltdown Patches durch folgende Flags deutlich reduziert: PCID (process context indentifier), INVPCID Bei Intel CPU mit Microcode Update: specctrl Flag 8

9 Agenda Welche CPUs sind betroffen? Gefährdungspotential unterschiedlicher Systeme (Cloud, Server, Desktop, ) Schutzmöglichkeiten Auswirkungen auf die Performance Ausblick 9

10 Gefährdungspotential Meltdown und Spectre 1 leicht ausnutzbar Spectre 2 komplizierter auszunutzen Angriffsversuche werden mehr Automat. Anpassung für verschiedene Chip-Architekturen schon in Arbeit 10

11 Gefährdungspotential Hohes Risiko: Desktop, Browser Cloud VMs Mittleres Risiko: eigene VMs die nicht an Externe vermietet werden Bare-Metal Server 11

12 Angriffszenarien Server: Meltdown: Ausbrechen aus VM nicht möglich (außer PV) vom Hypervisor auch auf VMs z.b. Shared Webhosting stark betroffen Spectre 2: Ausbrechen aus VM möglich Desktop: Meltdown: Schadsoftware kann Passwörter aufzeichnen Spectre 1: Javascript Code auf Webseiten kann Zugangsdaten stehlen 12

13 Agenda Welche CPUs sind betroffen? Gefährdungspotential unterschiedlicher Systeme (Cloud, Server, Desktop, ) Schutzmöglichkeiten Auswirkungen auf die Performance Ausblick 13

14 Linux /sys/devices/system/cpu/vulnerabilities/* Spectre/Meltdown Checker $ cat /sys/devices/system/cpu/vulnerabilities/* Mitigation: PTI Mitigation: OSB (observable speculation barrier, Intel v6) Mitigation: Full generic retpoline -v Option bietet zusätzliche Infos, --batch nrpe für Icinga Check 14

15 Linux 15

16 Linux Meltdown/Spectre 1 Schutz Meltdown: PTI = Page Table Isolation Synonym KPTI, Vorläufer KAISER bessere Trennung der Kernel- und User-Space Speicherbereiche Overhead durch PCID CPU-Feature reduziert (seit Mitte 2013 verfügbar) nur für 64-Bit verfügbar Kernel-Parameter nopti, pti=on/off/auto Spectre Variante 1 anfällige Stellen im Kernel besser abgesichert: mit LFENCE Instruktion mit arrayindexnospec() Makro 16

17 Linux Spectre 2 Schutz Spectre Variante 2 Kernel-Patch nutzt neue CPU-Funktionen IBPB, IBRS und STIBP Microcode Update erforderlich Ubuntu/Debian: intel-microcode Paket, muss extra installiert werden RedHat: microcodectl Paket Anfang Jänner veröffentlichte Microcode Updates in Distros wieder zurückgezogen Microcode kann zur Laufzeit aktualisiert werden (echo 1 > /sys/devices/system/cpu/microcode/reload) nospectrev2, spectrev2=on/off/auto/retpoline/retpoline,generic/retpoline,amd Retpoline Patch von Google kein Microcode Update erforderlich performanter als Microcode Variante Kernel und kritische Anwendungen müssen mit gepatchten Compiler übersetzt werden in Vanilla Kernel 4.15 integriert Skylake CPUs nicht geschützt dadurch Schutz für VMs nicht ausreichend dzt. neuer CPU Microcode erforderlich 17

18 Windows Desktop alle aktuellen Windows Versionen betroffen Windows XP, Vista und 8.0 bekommen kein Update Antiviren-Software muss Registry Key setzen, damit Update überhaupt installiert wird Microcode Updates sollen zukünftig doch via Windows Update ausgeliefert werden 32 Bit Updates sind später aber doch erschienen 18

19 Windows Server Virenschutz Support ebenfalls notwendig Schutz ist per Default deaktiviert muss via Registry Keys aktiviert werden Erhöhtes Risiko für Spectre/Meltdown laut Microsoft: Hyper-V-Hosts Erfordert Schutz vor Angriffen zwischen VMs sowie zwischen VMs und Hosts. Remotedesktopdienste-Hosts (Remote Desktop Services Hosts, RDSH) Erfordert Schutz vor Angriffen zwischen Sitzungen oder zwischen Sitzungen und Hosts. Für physische Hosts oder virtuelle Computer, auf denen nicht vertrauenswürdiger Code ausgeführt wird, wie etwa Container oder nicht vertrauenswürdige Datenbankerweiterungen, nicht vertrauenswürdige Webinhalte oder Workloads, für die von externen Quellen bereitgestellter Code ausgeführt wird. Erfordert Schutz vor Angriffen zwischen nicht vertrauenswürdigen Prozessen oder zwischen einem nicht vertrauenswürdigen Prozess und dem Kernel. 19

20 Windows Server für Windows Server 2012 und 2008 dzt. kein Update verfügbar Quelle: 20

21 Windows PowerShell-Modul SpeculationControl Prüfen auf Schutz vor Spectre 2 und Meltdown 21

22 Browser, GPU, VMware Browser aktualisieren Grafikkarten sind teilweise auch betroffen Treiber aktualisieren VMware Hypervisor von Spectre 1 und 2 betroffen Integrierte Microcode Updates wieder zurückgezogen Virtual Appliances: von allen 3 Angriffs-Varianten betroffen u.a. vcenter Server 6.0/6.5, vsphere Data Protecion, Identity Manager,

23 Agenda Welche CPUs sind betroffen? Gefährdungspotential unterschiedlicher Systeme (Cloud, Server, Desktop, ) Schutzmöglichkeiten Auswirkungen auf die Performance Ausblick 23

24 Auswirkungen auf die Performance Systeme mit SSDs und NVMe SSDs besonders betroffen Stark abhängig von Workload mit sehr vielen Syscalls großer Overhead PTI laut Brendan Gregg 1-800% Overhead auf Syscalls 24

25 Benchmarks Vergleich von Kernel 4.14, 4.15, 4.16(RC) sowie ohne KPTI und Retpoline, mit Intel Xeon Gold 6138 (Skylake) Random/Seq. Read & Seq. Write kaum Auswirkungen Random Write massive Auswirkungen Quelle: 25

26 Benchmarks Apache: Statische Webseite PostgreSQL R/W Workload Normal R/W Workload Minimal Quelle: 26

27 Agenda Welche CPUs sind betroffen? Gefährdungspotential unterschiedlicher Systeme (Cloud, Server, Desktop, ) Schutzmöglichkeiten Auswirkungen auf die Performance Ausblick 27

28 Ausblick Schutz derzeit immer als Mitigation (= Minderung) bezeichnet Patches werden laufend erweitert und verbessert Nicht-Einspielen der Patches sicherheitstechnisch kaum eine Option Neue CPUs werden unter Umständen noch Jahre dauern BIOS Updates bei Thomas-Krenn Update für X11DPi-N/NT und H11DSi-NT verfügbar Test von X10-Boards steht unmittelbar bevor für X8, X9 sowie Asus Boards dzt. noch keine Updates der Mainboard-Hersteller verfügbar

29 Vielen Dank für Ihre Aufmerksamkeit! 29