Am Beispiel von "Meltdown-Spectre": Wie gehen wir mit bekannt gewordenen Sicherheitslücken um?

12.01.2018 03:36

Prozessoren im Visier von Hackern

Zur Beantwortung dieser Frage haben wir ein Interview mit unserem CTO und Inhaber, Michel Zenhäusern durchgeführt.

In den vergangenen Tagen hat man von einer Schwachstelle in der Architektur der Prozessoren gehört. Eine Aussage war: Besonders Cloud-/Server-Anbieter seien betroffen - warum?

Diese Anbieter setzen auf die Virtualisierung. Nun hat sich herausgestellt, dass die Abschottung zwischen Speicherbereichen nicht funktioniert. [Anmerkung: Das spricht für den Anspruch jener Kunden, die aus Sicherheitsüberlegungen bei uns eine dedizierte Hardware mieten.]

Wir haben am Tag der Veröffentlichung, am 4. Januar 2018, Kenntnis erhalten. Was geschah dann bei webstyle?

Die erste Frage ist immer: Sind wir betroffen? Das war der Fall und bei diesem Vorfall gleich sämtliche Systeme. Danach die Abklärung: Kann man bereits patchen?

Anschliessend folgt die umfangreichste Arbeit: die Planung. Wir planen einerseits die Ausführung der Arbeiten und andererseits die Kommunikation mit den Kunden, besonders mit jenen, welche bei uns virtuelle Server und Infrastruktur mieten.

Bei den Ausführungsarbeiten beginnen wir mit den Tests auf unserer Testinfrastruktur.

Wie aufwändig ist das Patchen der Systeme und bis wann sind die Arbeiten abgeschlossen?

Wie erwähnt ist insbesondere die Planung und Kommunikation aufwändig. So ist zum Beispiel die Situation jenes Kunden, der in diesen Tagen eine börsenrelevante Medienmitteilung publiziert, besonders zu berücksichtigen.
Die Updates müssen auf der Ebene der Virtualisierung und des Betriebssystems vorgenommen werden. Bei der Abfolge der Arbeiten werden Kunden mit dem Gold SLA priorisiert. Der Plan sieht vor, dass bis Ende KW 3/2018 alle Arbeiten abgeschlossen sind.


Wie beurteilt man bei webstyle eine Schwachstelle in Bezug darauf, wie kritisch sie ist?

Analysen und Einschätzungen von anerkannten Fachleuten werden bei uns studiert und ernst genommen. Nach diesen Studien prüfen wir auf unsere Technologien heruntergebrochen: wo ist das Risiko? Wie stehen diese im Verhältnis zu den Sicherheitsanforderungen der Kunden? Hierzu sei erwähnt: nicht jeder Kunde von webstyle hat die gleichen Sicherheitsanforderungen an den Betrieb seiner Applikation und Daten.

Man spricht ja von einem "Seitenkanalangriff" = Angreifer nutzen Funktionen, die zur Leistungssteigerung verwendet werden. Muss nun damit gerechnet werden, dass die Server weniger leisten können?

Nein. Nach den ersten statistischen Auswertungen können wir dies verneinen.

0  Kommentare

Schreiben Sie einen Kommentar zu dieser Seite

Antwort auf: Direkt auf das Thema antworten

7756 + 9
Google+ aktivieren