Als Anfang 2018 erste Berichte über grundlegende Fehler in der Arbeitsweise aktueller Prozessoren auftauchten, sorgte dies in der Branche für einige Aufregung. Unter Hochdruck arbeiteten Soft- und Hardwarehersteller an Patches, um die Auswirkungen von "Meltdown" und "Spectre" zu umschiffen. Und tatsächlich: Wer die Angelegenheit nur am Rande verfolgte, konnte bereits wenige Wochen später den Eindruck haben, dass alles schon wieder vorbei sei. Die Hersteller hatten Updates geliefert, auch Intel als hauptbetroffener CPU-Entwickler hatte seine Arbeit gemacht.
Immer mehr Probleme
Doch die Freude hielt nur kurz an. In den folgenden Monaten wurden nämlich eine Reihe weiterer Spectre-Varianten entdeckt. Am Dienstag kam dann der nächste Schlag: Unter dem Namen "Zombieload" haben jene Forscher der TU Graz, die schon an der Entdeckung von Meltdown und Spectre maßgeblich beteiligt waren, neue Probleme mit Intel-Prozessoren öffentlich gemacht. Auch hier können wieder sensible Daten ausgelesen werden – und zwar unabhängig vom verwendeten Betriebssystem oder zusätzlichen Schutzebenen wie virtuellen Maschinen. Unter den Namen "RIDL", "Fallout", "Store-to-Leak Forwarding" und "Meltdown UC" wurden kurz danach noch weitere entsprechende Probleme bekannt.
Die betroffenen Hersteller reagieren hier nach außen mit Updates und der Versicherung, dass man alles im Griff habe. In Wirklichkeit scheint sich in der Branche aber zunehmend Resignation breitzumachen. Der Grund: Mit vielen dieser Updates gehen massive Leistungseinbrüche einher. So sprechen die Forscher der TU Graz in Zusammenhang mit Zombieload von einer Performance-Reduktion zwischen 30 und 50 Prozent.
Apples halbe Lösung
Diesen Umstand bestätigt nun auch Apple, in einem Supporteintrag ist von einer um 40 Prozent verringerten Leistung die Rede. Und daraus zieht man Konsequenzen: Die Patches für das von Intel offiziell als Oberbegriff gewählte "Microarchitectural Data Sampling" (MDS) sind mit den aktuellen Updates auf Mac-Rechnern nur teilweise aktiviert. Kunden, die besonders hohe Sicherheitsansprüche haben, könnten den kompletten Schutz über eine Reihe von Befehlen im macOS Recovery aktivieren, heißt es.
Der Grund für diesen starken Leistungseinbruch ist dabei einfach zu erklären: Ein vollständiger Schutz lässt sich derzeit nur erreichen, indem Intels Hyperthreading komplett deaktiviert wird. Google nimmt dies etwa bei Chromebooks aus Sicherheitsgründen tatsächlich in Kauf, mit Chrome OS 74 wurde diese grundlegende Beschleunigungsmethode von Intel-Prozessoren komplett abgeschaltet. Das Unternehmen betont dabei, dass man derzeit an besseren – also vor allem effizienteren – Lösungen arbeitet. Schon in der Vergangenheit wurden immer wieder ähnlich für die Leistung negative Patches nach und nach mit performanteren Fehlerbereinigungen ersetzt. So hatte etwa Microsoft bei Windows zum Teil – so wie jetzt Apple – mit Spectre-Updates länger zugewartet, da die Auswirkungen auf die Performance zunächst zu stark waren.
Gleichzeitig werden aber auch zunehmend Stimmen laut, die dieses ewige Ausbessern all der Prozessorlücken grundlegend infrage stellen. So haben die Entwickler von Googles Javascript-Engine v8 vor einigen Wochen Bilanz über ihre Spectre-Aufräumarbeiten gezogen. Darin kommt man zu dem Schluss, dass der massive Aufwand, der dadurch entstanden ist, eigentlich in keinem Verhältnis zur realen Gefährdung durch diese Lücken steht. Man habe in einem Browser laufend mit Sicherheitslücken zu kämpfen, die wesentlich einfacher und vor allem schneller auszunutzen seien als Spectre und Co. Die Umbauarbeiten, die zur Abhilfe gegen die Prozessorlücken notwendig sind, seien aber nicht nur zeitlich aufwendig, sie würden die eigene Software komplexer und schwerer zu warten machen – wodurch erst recht wieder neue Sicherheitsprobleme entstehen könnten. Von den Performance-Defiziten einmal ganz abgesehen. Dazu komme, dass es mit Spectre v4 mittlerweile eine Variante gebe, die in Software realistisch überhaupt nicht behoben werden kann.
Nur neue Hardware hilft
Insofern bewahrheitet sich zunehmend das, was manche Forscher schon bei der Vorstellung von Meltdown und Spectre betont hatten: Solche Probleme können in Wirklichkeit nur durch neue Hardware ausgeräumt werden. All die Softwareabhilfen werden mit steigender Zahl der bekannten Probleme aus einer Performance-Sicht zunehmend untragbar. Zumindest gibt es in dieser Hinsicht gewisse Fortschritte. Zombieload betrifft etwa die aktuellsten Intel-Chips nicht mehr. (Andreas Proschofsky, 16.5.2019)