Spectre: Power6 wird nicht gepatcht

Diese Empfehlung hat IBM jetzt im PSIRT Blog veröffentlicht, über den die gesamte offizielle Kommunikation zum Umgang mit Meltdown und Spectre läuft. Dort heißt es weiter: Man fühle sich den Kunden aber verpflichtet und werde am 6. Februar den betroffenen Kunden ein Angebot unterbreiten, ihr Sicherheitsprofil zu verbessern und sich durch den Kauf von Power8- oder Power9-Systemen gegen Spectre und Meltdown zu wappnen; IBM werde entsprechende Services für Migration, Security-Support, und Finanzierung anbieten. Zielgruppe dürften vor allem Power6-Anwender mit laufendem Wartungsvertrag sein, auch wenn IBM im Januar 2017 das Ende der Firmware- und Microcode-Wartung für Power6 angekündigt hatte.

„Information about generations prior to Power4 will be communicated on an as-needed basis“, heißt es offiziell. Das Patching der Firmware beseitigt die Schwachstelle nur teilweise und ist eine Voraussetzung dafür, dass die Betriebssystem-Patches wirksam sind. Diese Fixes für das Betriebssystem – weitere werden folgen – können laut IBM unabhängig von den Firmware-Patches für die Power-Hardware installiert werden.

Auf die Frage, ob ein Fix für Power6 überhaupt notwendig ist, hat DV-­Dialog von IBM bisher keine Antwort er­halten. Anders als vielfach gedacht sind aber offenbar auch die 2007 lancierten Power6-Modelle durch Spectre-­Attacken angreifbar, obwohl die Prozessoren die Befehle strikt in der vorgegebenen Reihenfolge abarbeiten – also mit In-Order-Execution statt der Verruf geratenen spekulativen Out-of-Order-Execution, die alle späteren Power-Generationen verwenden. Aus diesem Grunde wären für ein Patching von Power6 auch andere Wege gefragt als bei den Nachfolgern.

Update: Im Mitschnitt eines Vortrages der beiden Hardware-Experten Thomas Prescher und Werner Haas an der BTU Cottbus-Senftenberg, werden - vor allem in der ersten Hälfte - die mit Meltdown und Spectre zusammenhängenden Probleme anschaulich beschrieben. Die zweite Hälfte enthält die Geschichte der Entdeckung. Der Vortrag hilft auch zu verstehen, wo Patching Sinn macht und worauf sich die Hersteller fokussieren.

Mit seinem Vortrag zu den Sicherheitslücke Meltdown und Spectre kehrte Thomas Prescher am 23. Januar 2018 an die BTU Cottbus-Senftenberg zurück. Prescher machte 2013 seinen Abschluss an der BTU und gehört zu den Entdeckern der Sicherheitslücke Meltdown. Zusammen mit seinem Kollegen Werner Haas von Cyberus Technology hat er die Vorgänge in einem Prozessor auch für Nicht-Informatiker verständlich erklärt und die Entdeckungsgeschichte der Sicherheitslücke beleuchtet.

Bildquelle: Thinkstock / iStock