Chips in computers en smartphones vatbaar voor ernstige lekken

• Joost Schellevis en Nando Kasteleijn

  redacteuren Tech

Onderzoekers hebben twee grote lekken ontdekt in chips die door vrijwel alle laptops, smartphones en computerservers worden gebruikt. Dat heeft gevolgen voor thuisgebruikers, maar ook voor bedrijven met zakelijke systemen.

Het gaat om ontwerpfouten die al twee decennia in de centrale chip zitten. Een van de twee lekken kan relatief eenvoudig worden verholpen, maar daardoor kunnen computers tot 30 procent trager worden. Dit verschilt wel per programma. Het andere lek kan alleen goed worden gedicht door de chip te vervangen.

De lekken hebben tot gevolg dat kwaadwillenden, met behulp van malafide software, gegevens kunnen stelen die de computer op dat moment verwerkt. Denk bijvoorbeeld aan wachtwoorden, maar ook foto’s of documenten. "Dit is wel een joekel", zegt beveiligingsonderzoeker Rickey Gevers. "Dit kan wel eens het grootste probleem zijn dat we ooit hebben gehad."

Meltdown en Spectre

De twee lekken, die door de onderzoekers Meltdown en Spectre worden genoemd, hebben vergelijkbare effecten maar werken op een andere manier. Meltdown treft in ieder geval chips van Intel, die populair zijn in laptops en computers met Windows, maar ook Mac-computers. Ook clouddiensten, bijvoorbeeld voor het aanbieden van webruimte, zijn kwetsbaar.

Chips in smartphones en tablets komen er beter van af; volgens ARM, dat processors voor veel smartphones en tablets ontwerpt, zijn de meeste processoren niet getroffen.

Normaliter is het geheugen van een computer zo beschermd dat een programma - bijvoorbeeld een virus - niet zomaar bij het geheugen kan van een ander programma. Door een ontwerp in de Intel-chips kan een aanvaller echter doorbreken tot een speciaal, beschermd stuk van de computer. Vanuit daar kan een aanvaller bijvoorbeeld wachtwoorden onderscheppen en verder inbreken op het systeem.

Het beveiligingslek komt doordat computerprogramma's soms bij dat beschermde stuk van de computer, de zogeheten kernel, moeten kunnen om stukken computercode uit te voeren. Nu blijkt echter dat die verzoeken niet voldoende waren afgeschermd.

Doordat die fout in de computerchip zit, kan hij eigenlijk alleen worden opgelost door een nieuwe chip te maken. Een tijdelijke oplossing zorgt ervoor dat computers tot 30 procent trager worden, omdat het besturingssysteem zoals Windows, OS X of Linux zelf moet gaan controleren of een computerprogramma inderdaad bij het beschermde stuk computer mag komen. Volgens Gevers is het nog onduidelijk wat de precieze gevolgen zijn. Maar het kan bijvoorbeeld betekenen dat clouddiensten opeens veel extra capaciteit nodig hebben.

Voor normale gebruikers is Meltdown een probleem als kwaadwillenden er in slagen computercode uit te voeren op hun computer of laptop. Maar ook dat is niet zo ingewikkeld: dit kan gebeuren door een phishingmail met malafide software te versturen, of websites te hacken en hun bezoekers te infecteren.

Microsoft en Apple hebben voor hun computers inmiddels software-updates uitgebracht. Ook Linux, een besturingssysteem dat op veel servers van clouddiensten wordt gebruikt, heeft een update gekregen.

Spectre werkt op een iets andere manier, en geeft kwaadwillenden toegang tot het geheugen dat door andere computerprogramma's wordt gebruikt. Daardoor zouden wachtwoorden van e-maildiensten, gevoelige documenten en andere privégegevens kunnen worden achterhaald.

Het Spectre-lek heeft niet alleen gevolgen voor laptops en computers, maar ook voor smartphones en tablets. Dat komt doordat ook de chips in die apparaten kwetsbaar zijn voor het lek.

Om misbruik te maken van dit probleem moeten wel meer stappen worden gezet dan bij het Meltdown-lek: misbruik is dus moeilijker. Tegelijkertijd is het lek moeilijker op te lossen: op dit moment is er geen goede, breed werkende oplossing. Wel kunnen computerprogramma's zelf bescherming inbouwen tegen het lek.

"We hebben het verprutst", zegt Paul Kocher, een van de onderzoekers die Spectre heeft ontdekt, tegen The New York Times. "Er is in de computerindustrie het verlangen geweest om chips zo snel mogelijk en zo veilig mogelijk te maken. Spectre toont aan dat deze twee niet samengaan."

Geen sporen van 'inbraak'

De onderzoekers melden dat het voor gebruikers niet mogelijk is om te ontdekken of iemand misbruik heeft gemaakt van het probleem, omdat er geen sporen achterblijven als iemand binnen is gekomen. De onderzoekers zeggen daarnaast dat ze niet weten of de lekken al zijn misbruikt.

Omdat het om technisch erg ingewikkelde beveiligingsproblemen gaat, is de kans klein dat er op grotere schaal misbruik is gemaakt. Wel kunnen bijvoorbeeld inlichtingendiensten de lekken hebben misbruikt om doelwitten te bespioneren. Nu de lekken naar buiten zijn gebracht, is de kans groot dat kwaadwillenden de lekken gaan misbruiken.

De lekken zijn daarnaast slecht nieuws voor onder meer Intel, een van de partijen die de getroffen computerchips hebben gemaakt. De topman verkocht eind november 24 miljoen dollar aan aandelen. De chipmaker weet sinds juni van de problemen. Volgens het bedrijf heeft de verkoop niets te maken met de lekken, maar het leidt wel tot veel vragen.