Der Kernel ist der Kern eines Betriebssystems, der mit den höchsten Rechten läuft und Arbeitsspeicher, Prozesse, Hardwaretreiber und den Zugriff auf alle Systemressourcen verwaltet.
Wie der Kernel funktioniert
Moderne Prozessoren trennen Code in Privilegienstufen. Anwendungen laufen im Benutzermodus und dürfen weder Hardware noch den Speicher anderer Programme direkt ansprechen; Dienste fordern sie über Systemaufrufe beim Kernel an. Der Kernel und seine Treiber laufen im Kernelmodus (Ring 0) mit uneingeschränktem Zugriff. Bekannte Kernel sind Linux, der Windows-NT-Kernel und Apples XNU, das in macOS und iOS steckt.
Warum der Kernel für die Sicherheit wichtig ist
Wer den Kernel kontrolliert, kontrolliert das gesamte System – einschließlich der darauf laufenden Sicherheitssoftware. Deshalb ist der Kernel ein bevorzugtes Ziel:
- Rechteausweitung – Kernel-Fehler verschaffen lokalen Nutzern oder Malware Root- oder SYSTEM-Rechte. Beispiele sind Dirty COW (CVE-2016-5195) und Dirty Pipe (CVE-2022-0847) unter Linux. Solche Lücken sind ein Standardbaustein in Ketten zur Privilegieneskalation und in Exploits für mobile Spyware.
- Rootkits – Rootkits im Kernelmodus verbergen Dateien, Prozesse und Netzwerkverbindungen sogar vor dem Betriebssystem selbst.
- Verwundbare Treiber – bei „Bring Your Own Vulnerable Driver“-Angriffen (BYOVD) laden Ransomware-Banden einen legitim signierten, aber fehlerhaften Treiber, um EDR-Lösungen abzuschalten.
Kernel-Code ist auch ein Stabilitätsrisiko: Im Juli 2024 brachte ein fehlerhaftes Update für den Kernel-Sensor von CrowdStrike weltweit rund 8,5 Millionen Windows-Rechner zum Absturz.
Wie der Kernel geschützt wird
- Exploit-Schutzmaßnahmen wie Kernel-ASLR, SMEP/SMAP und Stack Canaries.
- Verpflichtende Treibersignierung, Microsofts Kernel Patch Protection und die Sperrliste für verwundbare Treiber.
- Virtualisierungsbasierte Sicherheit, bei der ein Hypervisor kritischen Kernel-Speicher schützt (HVCI).
- Zügige Installation von Betriebssystem-Updates, da Kernel-Korrekturen oft als wichtig oder kritisch eingestuft sind.
