LN-Waschpress

Schlagwort: Greg Kroah-Hartman

  • Intel wegen Meltdown und Spectre in der Kritik

    Intel in der Kritik
    Bild: Penguins | Quelle: pxhere | Lizenz: CC0

     

    Der Linux-Kernel-Entwickler Greg Kroah-Hartman übte in dieser Woche in Vancouver in einem Vortrag auf dem Open Source Summit North America scharfe Kritik an Intels langsamer erster Reaktion auf die Spectre- und Meltdown-Bugs. Er sprach in diesem Zusammenhang unter anderem von fahrlässigem Verhalten.  Die Kernel-Entwickler hätten erst Ende Oktober vergangenen Jahres gerüchteweise von den Problemen erfahren, obwohl diese bereits im Juli gefunden und Intel bekannt gemacht wurden. Das berichtete das Magazin Eweek.

    Intel in der Kritik

    Kroah-Hartman sagte, dass, als Intel endlich beschloss, den Linux-Entwicklern zu eröffnen, worum es bei den Sicherheitslücken geht, dies in einer Art und Weise geschah, die jegliche Zusammenarbeit der Kernel-Entwickler mit den Distributionen per Embargo unterbunden habe. SUSE, Red Hat und Canonical seien informiert worden, ihnen sei aber untersagt worden, miteinander darüber zu reden. Oracle wurde gar nicht informiert, Debian erst sehr spät. Aus der Sicherheitsperspektive recht verheerend, so der Entwickler.

    Community außen vor

    Die Community sei insgesamt total außen vor geblieben. Die meisten Distributionen arbeiten mit vom Mainline-Kernel abgeleiteten Kerneln und seien somit »mit heruntergelassenen Hosen« erwischt worden. Intel sei die Zusammenarbeit mit großen Unternehmen gewohnt, wo andere Regeln gelten als in der Linux-Community. Da aber Intel zu einem der größten Beitragenden zum Kernel zählt und viele Kernel-Entwickler beschäftigt, klingt das insgesamt wenig glaubwürdig.

    Gestresste Kernel-Entwickler

    Kroah-Hartman sagte, typischerweise arbeiteten die verschiedenen Linux-Anbieter im Fall solch allgemeiner Sicherheitslücken zusammen. In diesem Fall waren sie jedoch gezwungen, jeder für sich zu arbeiten und kamen so zu unterschiedlichen Lösungen. Erst durch massiven Protest bei Intel sei das Embargo in der letzten Dezemberwoche 2017 aufgehoben worden. Das ruinierte die Weihnachtsferien für alle Beteiligten, denn Anfang Januar sollten die Lücken der Öffentlichkeit bekannt gemacht werden, was auch am 3. Januar geschah.

    Kroah-Hartman sagte, nach den ersten lautstarken Protesten der Entwickler habe sich die Zusammenarbeit bei den später folgenden Enthüllungen weiterer Lücken gebessert.

    Bessere Zusammenarbeit

    Ein interessanter Nebeneffekt der Meltdown- und Spectre-Schwachstellen besteht laut Kroah-Hartman darin, dass Linux- und Windows-Entwickler jetzt bei der Sicherheit zusammenarbeiten, da beide Betriebssysteme ähnliche Risiken aufgrund der CPU-Schwachstellen aufweisen. »Windows- und Linux-Kernel-Entwickler haben jetzt diesen wundervollen Rückkanal. Wir reden miteinander und wir reparieren Fehler füreinander«, sagte Kroah-Hartman. »Wir arbeiten gut zusammen. Das haben wir schon immer gewollt.« Ende gut – alles etwas besser.

  • Meltdown & Spectre aus Sicht eines Kernel-Entwicklers

    Meltdown & Spectre
    Bild: „Greg Kroah-Hartman“: von tian2992 – CC BY-SA 2.0

     

    Kernel-Entwickler Greg Kroah-Hartman (GregKH) hat in seinem Blog einen Statusbericht über den derzeitigen Stand der Dinge bei Meltdown und Spectre veröffentlicht. Als Essenz bleiben zwei Kernsätze:

    • Linux-Nutzer sollten in den nächsten Monaten noch eifriger auf zeitnahe Kernel-Updates achten.
    • Wer eine Distribution nutzt, die noch keinen aktualisierten Kernel mit den KPTI-Patches anbietet, sollte jetzt die Distribution wechseln.

    GregKH, der Maintainer der Stable-Kernel-Reihe, verweist zum Verständnis der Ereignisse auf das Projekt-Zero-Papier der GoogleSicherheitsforscher, das er in seiner Qualität für preisverdächtig hält. Weitere technische Details, wie die Kernel-Entwickler die Lücken zu schließen versuchen, finden sich auf LWN im Artikel »Addressing Meltdown and Spectre in the kernel«, der allerdings derzeit nur für Abonnenten zugänglich ist.

    Kritik an den betroffenen Unternehmen gibt es nicht nur von Linus Torvalds, sondern auch von GregKH, wenn der sagt, dies sei ein Paradebeispiel dafür, wie man nicht mit der Kernel-Entwicklergemeinde umgehen sollte. Es gibt laut GregKH dazu noch einiges zu sagen, jetzt sollen allerdings zunächst die Fehler beseitigt werden.

    Meltdown – x86

    Der heute erwartete Kernel 4.15-rc7 wird alle Patches gegen Meltdown enthalten, die bisher verfügbar sind. Da aber die wenigsten Anwender rc-Kernel nutzen, hat GregKH als Hüter der stabilen Kernelreihen den Page-Table-Isolation-Code, der Meltdown-Angriffe vereitelt, in den aktuellen Kernel 4.14.12 übernommen. In  den nächsten Tagen wird dieser von 4.14.13 abgelöst, der einige Patches für Systeme enthält, die Bootprobleme mit 4.14.12 haben. Auch die LTS-Kernel 4.4 und 4.9 sind mit der Option CONFIG_PAGE_TABLE_ISOLATION neu gebaut und veröffentlicht worden.

    Meltdown – ARM64

    Die Meltdown-Patches für ARM64 sind noch im aktuellen Kernel-Zweig integriert. Sie sind fertig und sollen, sobald 4.15 in wenigen Wochen aus der Tür ist, in 4.16-rc1 gemerged werden. Anwender, die auf einen ARM64-Kernel angewiesen sind, sollten daher derzeit auf den Android Common Kernel-Zweig setzen. Die Patches sind dort in die Zweige 3.18, 4.4 und 4.9 gemerged worden.

    Spectre

    Bisher sind keine Patches gegen diesen Angriffsvektor in die offiziellen Kernelreihen eingebracht worden. Es liegen eine Menge Patches auf diversen Mailinglisten vor, die das Problem angehen, aber alle sind noch in heftiger Entwicklung begriffen. Teilweise gibt es Konflikte zwischen diesen Patches, die zum Teil noch nicht einmal so weit sind, dass sie gebaut werden können. Hier herrscht ziemliches Durcheinander. Das liegt daran, dass die Spectre-Probleme die letzten waren, die von den Kernel-Entwicklern angegangen wurden. Alle arbeiteten an Meltdown-Lösungen, und es lagen keine wirklichen Informationen darüber vor, was genau das Spectre-Problem überhaupt war.

    Aus diesem Grund wird es noch einige Wochen brauchen, um diese Probleme zu lösen und sie Upstream zusammenzuführen. Die Korrekturen kommen in verschiedenen Subsystemen des Kernels an und werden gesammelt und in den stabilen Kernel-Updates veröffentlicht sobald sie gemerged sind. Also ist es auch hier am besten, mit den Kernel-Releases der verwendeten Distribution oder den LTS- und stabilen Kernel-Releases auf dem Laufenden zu bleiben.

    Meltdown & Spectre: Alle im gleichen Boot

    Die gesamte Industrie sitzt hier derzeit im gleichen Boot. Kein Betriebssystem scheint gegen Spectre bisher ausreichend gewappnet. Die vorgeschlagenen Lösungen sind nicht gerade trivial, aber einige von ihnen sind erstaunlich gut. Der Retpoline-Post von Googles Paul Turner ist ein Beispiel für einige der neuen Konzepte, die zur Lösung dieser Probleme entwickelt wurden. Dies wird in den nächsten Jahren ein Bereich mit vielen Forschungsarbeiten sein, um Wege aufzuzeigen, wie man die potenziellen Probleme im Bereich der spekulativen Ausführung bei modernen Prozessoren in den Griff bekommt.

    Derzeit liegen Patches für Meltdown und Spectre lediglich für die Architekturen x86 und arm64 vor. Einige Patches sind in Unternehmens-Distributionen gesichtet worden, die hoffentlich bald in den Upstream eingeführt werden.

    »Im Moment gibt es eine Menge sehr überarbeiteter, mürrischer, schlafloser und einfach nur angepisster Kernel-Entwickler, die so hart wie möglich daran arbeiten, diese Probleme zu lösen, die sie selbst überhaupt nicht verursacht haben. Bitte seid hier rücksichtsvoll. Sie brauchen die ganze Liebe und Unterstützung und kostenlose Versorgung mit ihrem Lieblingsgetränk, das wir ihnen zur Verfügung stellen können, um sicherzustellen, dass wir alle so schnell wie möglich mit reparierten Systemen arbeiten können.«