Raspberry Pi – Meltdown und Spectre
In diesem Artikel kläre ich euch über die Meltdown und Spectre Thematik beim Raspberry Pi auf. Diesen beiden Security Themen beherrschten die Technik Schlagzeilen der letzten Tagen. Das Security Desaster der CPU Hersteller schlug große Wellen. Mit einigen Notfalls Patches wurde die Geschwindigkeit zahlreicher Systeme drastisch beschnitten, Klagen und Aufarbeitung wird die nächsten Wochen und Monate angesagt sein. Doch was ist mit dem Raspberry Pi?
Raspberry Pi – Meltdown und Spectre
In einem sehr gut geschriebenen Blogeintrag beschreibt Ebon Upton, warum sowohl Meltdown als auch Spectre kein Thema für die Raspberry Pis ist. Es wird dort anhand einfacher Code Schnipsel erklärt wie moderne CPUs einen Geschwindigkeitsvorteil bekommen. Der geht, wie nun bekannt wurde, auf Kosten der Sicherheit. Ein Angreifer kann normalerweise geschützte Bereiche im Speicher (Hauptspeicher) auslesen und so beispielsweise Passwörter oder Private Keys geöffneter Programme auslesen. Dieser Hardware Fehler ist eigentlich nur durch einen Tausch der Hardware lösbar, beziehungsweise über Softwareänderungen die enorme Geschwindigkeitseinbußen (vor allem für Speicherzugriffs intensive Tasks wie Datenbanken) zur Folge haben.
Raspberry Pi
Der Raspberry Pi ist weder von Meltdown noch von Spectre betroffen. Warum? Zum einen Betrifft Meltdown nur Intel CPUs und zum anderen ist die ARM Architektur der beim Raspberry Pi verwendeten CPUs immun gegen Spectre (was nicht für alle ARM Chips gilt!). Gerade in dieser Zeit macht es sinn, sich einen günstigen Raspberry Pi Rechner aufzusetzen über den man Bankgeschäfte und sicherheitsrelavante Arbeiten erledigt.
Worum geht es bei Meltdown und Spectre?
Im Netz findet man bereits zahlreiche interessante Artikel mit guter Erklärung. Besonders die beiden Papers zu den Themen sind spannend zu lesen. Im Prinzip geht es darum, dass Speicherzugriffe sehr langsam sind (im Vergleich zur Verarbeitung der Daten). Damit man das Beschleunigt werden bei einem Speicherzugriff gleich viel mehr Daten in den schnellen CPU Cache geladen. Das passiert in der Hoffnung, dass diese später verwendet werden. Das kostet nicht mehr Zeit, bringt aber auf längere Sicht sehr viel. Leider kann dabei auch aus dem geschützten Speicher gelesen werden und der CPU Cache ist nicht gegen das Auslesen geschützt. Das führt soweit, dass man über JavaScript den Speicher auslesen kann. Ein Angriff wäre so extrem einfach. Man platziert JavaScript auf einer Seite – jemand ruft diese im Browser auf und schon hat man den Speicher ausgelesen. Neben den Betriebssystemen wurden auch Browser gepatcht, die bereits bekannte Angriffsvektoren im JavaScript Code unschädlich machen.
Fazit
Mit dem Raspberry Pi hat man aufs richtige Pferd gesetzt. Meltdown und Spectre sind kein Thema, der Pi ist dagegen immun.
