Chips in computers en telefoons blijken al een hele tijd kwetsbaar. Slimme hackers kunnen via de besturing van de halfgeleiders informatie stelen. Wachtwoorden of persoonlijke foto's en video’s - niks is meer veilig. Er wordt koortsachtig naar een praktische oplossing gezocht.

Read this article in English

Berichten over de kwetsbaarheid in chips werden deze week openbaar, hoewel de problematiek al een half jaar suddert op het web. In feite gaat het om twee kwetsbaarheden. Meltdown, zoals de beveiligingsgemeenschap het fenomeen noemt, raakt enkel de chips van Intel. Spectre is een bug die ingewikkelder is om uit te buiten, maar wel breder toepasbaar is: naast Intel zijn ook chips van AMD en ARM kwetsbaar.

'Het grote acute gevaar komt nu vooral van Meltdown', vertelt Bert Hubert, uitvinder van software voor websites (PowerDNS) en bekend in de security-gemeenschap. 'Ik heb nog nooit zoiets meegemaakt. Linux-programmeurs werken dag en nacht om een oplossing te vinden. Dit is zo groot en veelomvattend, onvoorstelbaar.' Meltdown is gevaarlijker omdat het in feite een makkelijke achterdeur tot gegevens op een computer geeft. Of, zoals Hubert het zegt: 'Meltdown geeft je een luikje waarmee je een computer binnen kan gaan. Spectre is meer een soort kier, en zelfs als je je hand daar doorheen krijgt tast je nog in duister. Bij Meltdown staat het licht echter aan.'

Dat er plotseling zo'n groot lek blijkt te zijn in chips heeft volgens Hubert een aantal redenen. 'Tot 10 jaar geleden werden "timing attacks", waarbij je de snelheid/traagheid van geheugen gebruikt om iets te lekken, nog als 'te academisch' gezien. Te moeilijk om echt te doen. We weten nu wel beter. Daarnaast had Intel altijd een heel sterke reputatie, dus maakte niemand zich zorgen over hun producten. En ten slotte heeft de gemeenschap sinds de onthullingen over de NSA van Edward Snowden veel meer aandacht voor kwetsbaarheden in IT-systemen. Dus ontdek je ook meer.'

Hoe werkt Meltdown?

Hubert legt in een blog op begrijpelijke wijze uit hoe een mogelijke aanval op Intel-chips zou werken. De aanval gebruikt de zogenoemde cache, het tijdelijke geheugen van een central processing unit (CPU) dat supersnel werkt. Om de CPU zo snel mogelijk te laten werken, kan hij (indien afkomstig van Intel) in de toekomst kijken. Daarbij kan hij óók een snelle blik werpen op delen van het geheugen die eigenlijk niet toegankelijk moeten zijn. Als een regeltje programmacode bijvoorbeeld vraagt om een check van een verborgen stukje geheugen, dan kijkt de CPU via de cache heel eventjes of dat stukje geheugen er echt is. Dat mechanisme maakt computers sneller, maar kan dus ook gebruikt worden om officieel ontoegankelijke informatie toegankelijk te maken. 'De code die nodig is om deze zwakheid uit te buiten is ingewikkeld, maar als er eenmaal één keer een geschreven is, kan iedereen het gebruiken. Dat is nu gebeurd. Google haalde met een test al een informatiesnelheid van 2000 bytes per seconde. Dan heb je dus in no-time een wachtwoord van iemands computer gehaald.'

Meteen nadat Meltdown openbaar werd ging chipmaker Intel in de verdediging. De kwetsbaarheid stond volgens het bedrijf bijvoorbeeld beschreven in de handleiding, en de oplossing voor het probleem was beschikbaar. Dat laatste klopt technisch gezien: browsers zorgen ervoor dat javascript geen grote programma's meer kan uitvoeren, terwijl die juist nodig zijn om via een website in een computer in te breken gebruikmakend van Meltdown. En de operating systems (Windows, Linux, OSx enzovoort) hebben bijna allemaal updates klaar staan om de effecten van Meltdown tegen te gaan.

Maar die updates hebben een probleem: ze passen de manier waarop een processor informatie opvraagt en verwerkt aan. Dat kan leiden tot een vertraging van computers en servers, met grote gevolgen. Hubert: 'Stel dat je een server hebt die een website in de lucht houdt en op 90 procent capaciteit draait. Als die plotseling 20 procent langzamer werkt, kan hij de vraag van alle websitebezoekers niet meer aan en crasht de hele site. Dat kan voor een heleboel situaties gebeuren door die update-patch.'

Hoe ontstond Meltdown?

De bug in Intel-chips bestaat al sinds 1995, in ieder geval volgens IT-website The Register. 'Toen zagen weinig mensen het als bug. Het enige dat je er mee kon was je eigen computer hacken. Geinig, maar niet heel gevaarlijk', vertelt Hubert. Niemand kon toen voorzien dat het delen van een computer gemeengoed zou worden. Netwerken, de cloud, het bezoek van websites - allemaal fenomenen waarbij anderen toegang hebben tot (een deel van) de persoonlijke computers. 'Daar kwam bij dat javascript, oorspronkelijk een geinige toevoeging voor websites, steeds meer kon. Nu kunnen er zelfs hele programma's op draaien. En dan wordt het aanvallen van kwetsbare chips plotseling eenvoudiger.' Kortom: een reeks ontwikkelingen lijken nu een apotheose te bereiken, waardoor in een keer een enorm deel van de computers, smartphones en tablets op aarde kwetsbaar is. Overigens was Meltdown al een half jaar terug bekend, toen een onderzoeker een blog publiceerde met de boodschap dat het hem bijna gelukt was om via de hardware van een apparaat binnen te dringen. Vanaf dat moment werken de betrokken partijen aan een oplossing, met Google als grote aanjager van het werk.

Intel ontkent overigens dat computers bij normaal gebruik veel langzamer zullen worden. Of de chipmaker in dit geval een betrouwbare bron is valt te betwijfelen; Intel wil vooral zijn eigen hachje redden. 'Op dit moment is Intel nog steeds bezig met de productie van chips die kwetsbaar zijn voor Meltdown. Die willen ze niet allemaal terugroepen. Bovendien zullen ze het hele ontwerp van hun chips moeten aanpassen om dit probleem definitief op te lossen. En zelfs dan zijn er nu al miljoenen computers in omloop die kwetsbaar zijn.

 

Using #Meltdown to steal passwords in real time #intelbug#kaiser#kpti /cc @mlqxyz@lavados@StefanMangard@yuvalyaromhttps://t.co/gX4CxfL1Axpic.twitter.com/JbEvQSQraP

— Michael Schwarz (@misc0110) 4 januari 2018

Hubert denkt bovendien dat de updates voor operating systems en browsers doekjes tegen het bloeden zijn. 'Nu mensen weten dat er een kwetsbaarheid in de hardware zit, letterlijk in het hart van de computer, zullen er een heleboel pogingen komen om de bescherming van die software-updates te omzeilen. Meltdown en Spectre maken een hele nieuwe vorm van hacken mogelijk.'

De dappere mannen en vrouwen die Linux-software onderhouden ploeteren ondertussen door. Volgens Huberts laatste informatie zou er nu een patch zijn die de kwetsbaarheid voorlopig oplost, zonder dat computers er veel langzamer van worden. 'Maar als je het over een uur weer vraagt, kan de situatie best helemaal anders zijn. Zo snel gaat het op dit moment.'

Beeld: Flickr, Lungstruck