News Sicherheitslücke: Malware kann via Browser Pixel aus Grafikchips auslesen

PCGH-Redaktion

Kommentar-System
Teammitglied
Jetzt ist Ihre Meinung gefragt zu Sicherheitslücke: Malware kann via Browser Pixel aus Grafikchips auslesen

Angreifer können über präparierte Webseiten Pixel aus dem Grafikchip auslesen und so sensible Daten rekonstruieren.

Bitte beachten Sie: Der Kommentarbereich wird gemäß der Forenregeln moderiert. Allgemeine Fragen und Kritik zu Online-Artikeln von PC Games Hardware sind im Feedback-Unterforum zu veröffentlichen und nicht im Kommentarthread zu einer News. Dort werden sie ohne Nachfragen entfernt.

Zurück zum Artikel: Sicherheitslücke: Malware kann via Browser Pixel aus Grafikchips auslesen
 
Vielleicht noch eine Wichtige Info, die im Text nicht konkret genannt wird:

Es wird bisher nur Google Chrome als betroffen genannt!
Ich würde aber davon ausgehen, dass auch noch andere Chromium Browser diese Lücke aufweisen!

What about other browsers?​


Chrome is vulnerable to the pixel stealing attack demonstrated in the paper because it satisfies the following three criteria:


  1. It allows cross-origin iframes to be loaded with cookies.
  2. It allows rendering SVG filters on iframes.
  3. It delegates rendering tasks to the GPU.

Other browsers, like Firefox and Safari, do not meet all these criteria and are therefore not vulnerable.

(https://www.hertzbleed.com/gpu.zip/)

Ich finde es allerdings schon eine kritische Design-Schwachstelle, dass eine Webseite überhaupt irgendwie die "Pixel" aus einer Grafikkarte auslesen kann. Dass das dann noch per CORS funktioniert, ist mMn. nur das Tüpfelchen auf dem i.
 
Jetzt ist Ihre Meinung gefragt zu Sicherheitslücke: Malware kann via Browser Pixel aus Grafikchips auslesen
Dieser Satz hat es für mich in sich "Dies ist eine wichtige Forschung darüber, wie Hardware funktioniert"

Ich habe von der gesamten Mikroelektronik gelinde gesagt keine Ahnung. Ich habe bis heute nicht verstanden, wie man mit 0 und 1 logische Operationen aufbauen kann, die Grundrechenarten verstehen. Ich müsste mir wohl mal in Ruhe die mechanischen Rechner von Zuse anschauen und verstehen. Noch weniger weiß ich, wie Chips aufgebaut sind. Ich erinnere mich nur an die Aussagen eines Mitbewohners, der Mikroelektronik als Vertiefungsfach in Elektrotechnik hatte, der meinte, dass die letzte komplett von Hand konstruierte CPU der 386er war und inzwischen alle CPUs von Programmen selber optimiert werden. Ähnliches kenne ich von heutigen CAD Programmen, die auf Knopfdruck Konstruktionen "optimieren". Wie und warum bleibt dem Anwender in der Regel verborgen.

Unter diesem Hintergrund, dass ich erwarte, dass viele Schaltungen in CPUs, GPUs und I/O Chips und ebenso in Software von Rechnern selbstständig optimiert werden, ist der Satz "Dies ist eine wichtige Forschung darüber, wie Hardware funktioniert" für mich tragikomisch. Wenn ich dazu dann noch die Komplexität heutiger Software sehe, komme ich zu dem vernichtenden Schluß "Wir wissen es nicht". Es funktioniert und scheint ríchtig zu berechen. Was aber im Detail wo passiert, weiß niemand, da zu komplex. Es werden sich entsprechend immer Lücken finden lassen.
 
"Dies ist eine wichtige Forschung darüber, wie Hardware funktioniert"

für mich tragikomisch. Wenn ich dazu dann noch die Komplexität heutiger Software sehe, komme ich zu dem vernichtenden Schluß "Wir wissen es nicht". Es funktioniert und scheint ríchtig zu berechen. Was aber im Detail wo passiert, weiß niemand, da zu komplex. Es werden sich entsprechend immer Lücken finden lassen.
Ja, aber genau so ist es.
Wir simulieren und testen Hardware und versuchen fehlerhafte Software dafür zu schreiben. Am Ende funktioniert es so gerade eben. Wir haben eine grobe Vorstellung, aber keine genaues Bild, wie ganz genau.

Das ist wie Quantenphysik. Du kanst postulieren, berechnen, simulieren und testen und dann abstrahiert ein Modell ableiten. Aber, wie es im Detail auf subatomrarer Ebene abläuft und was da ganz genau real passiert, wissen wir nicht.

KI-Modelle. Das Selbe. Blackbox. Shit in shit out, Bilanzrahmen drum und Prognose ziehen.
 
Eigentlich ist es doch recht einfach. Es sind nur so viele Transistoren, dass Du es nicht mehr im Gesamten nachvollziehen kannst und eventuell ist es einfacher, sich hinzustellen und zu sagen: "Ich hab keine Ahnung, was die CPU macht, aber ich lasse einen Fuzzer drauf los und schreibe ein Paper, was dabei passiert ist."
Aber eine CPU ist auch nicht anders als wenn Du eine Lochrasterplatine vor Dir hast mit Bauteilen drauf. Dass elektromagnetische Felder nebenliegende Bauteile beeinflussen können, ist ja klar.

Bei der KI ähnlich: Mit einem konstanten Wert kannst Du eine Linie in einer Höhe zeichnen. Mit 2 Werten eine vertikale Linie, und mit 3 Werten eine im dreidimensionalen Raum. In der IT haben wir oft komplexe Funktionen, die mehrere Eingabe- und Ausgabewerte haben.

Es ist nur logisch, dass wir mit unendlich vielen Eingaben und dazu passenden Ausgaben die Funktion auch näherungsweise interpolieren können. Wichtig dabei ist aber, dass diese Funktion dann nicht berechnet die einzig beste Lösung ist, sondern nur annähernd stimmt. Zur besseren Annäherung braucht man mehr Parameter. Und irgendwann hat man so genaue Ergebnisse, dass sie selbst für ein (aus unserer eigenen Sicht) hochkomplexes Wesen wie den Menschen als sinnvoll erscheinen.

Und wegen dieses Problems: Wenn es nach mir ginge, hätte jeder Browser eine standardisierte, mathematisch erwiesenermaßen sichere Funktion eingebaut, die ohne Javascript PGP-Ende-zu-Ende-Verschlüsselung ermöglicht. Zudem könnte CSS deutlich mehr. Sodass JavaScript nur im Notfall bei ganz wenigen ausgewählten Webseiten manuell zugeschaltet werden muss.
Denn wenn im Browser kein Code auf dem Webseitenbenutzer-System ausgeführt wird, sondern nur Daten von der Ferne abgerufen und dargestellt werden, kann niemand dieses System via Browser angreifen. Es sei denn, es gäbe einen eklatanten Bug an anderer Stelle - aber das ist sehr unwahrscheinlich.

Edit: Aber vielleicht hat auch einfach jemand ein Interesse, dass man alles und jeden angreifen kann und gar keine IT-Sicherheit möglich ist:
 
... KI-Modelle. Das Selbe. Blackbox. Shit in shit out, Bilanzrahmen drum und Prognose ziehen.
Da ist das meinem Empfinden nach noch eklatanter, wenn ich bewerte, was ich dazu lese. Ich komme aus dem klassischen Maschinenbau und ich verstehe noch bei jedem Strich auf der Zeichnung, wo Sinn und Zweck liegen. Aber selbst da wird das Verständnis es immer geringer.

Konstrukteure sind eben keine Ingenieure und kopieren in der Regel aus alten Konstruktionen Module zusammen, um neue Produktanforderungen zu erfüllen. Die verstehen aber in der Regel nicht, warum Dinge so waren wie sie sind und ob z.B. bestimmte Toleranzen im neuen Anwendungsfall überhaupt notwendig sind. Auch einfachen Standardfragen, ob übernommene Module im alten Anwendungsfall schon mit Fehlerhäufigkeit auffielen werden nur schlicht und dem "ja/nein-Denken geschuldet beantworten mit "Wieso, ist doch so in Serie". Und so wandern Fehler von einem Produkt ins nächste. Bei Software will ich mir die Konsequenzen gar nicht vorstellen.

Und dann weiß ich immer, Die Welt wird untergehen. Sie wird zu komplex. Die zunehmende Spezialisierung wird dazu führen, dass immer weniger Menschen verstehen, was andere sagen und machen. Wir reden zunehmend aneinander vorbei und dann entstehen Folgefehler aus Missverständnissen heraus. Im Falle von Hard- und Software damit Angriffvektoren.
... aber ich lasse einen Fuzzer drauf los ...
Wird das Wort immer noch genutzt? Die Namensgebung soll von der umwerfenden Logik des Fuzzy Jones kommen, einem Chaoten aus "Western von Gestern". Zu meiner Studienzeit hiess das Fuzzy-Logik aber ich lese gerade nach, dass die Ansätze schon im Jahr 1920 lagen, als sich Łukasiewicz dem Thema annahm.
... Sodass JavaScript nur im Notfall bei ganz wenigen ausgewählten Webseiten manuell zugeschaltet werden muss....
So mache ich das. So wenig Skripte wie möglich und immer nur temporär. Ist nervig, erhöht aber die Sicherheit
... Aber vielleicht hat auch einfach jemand ein Interesse, dass man alles und jeden angreifen kann und gar keine IT-Sicherheit möglich ist: ...
Auszuschließen ist das nicht. Aber das würde natürlich in einer digitalisierten Welt die Grundfesten erschüttern.
 
Zuletzt bearbeitet:
Es wird bisher nur Google Chrome als betroffen genannt!
Ich würde aber davon ausgehen, dass auch noch andere Chromium Browser diese Lücke aufweisen!

(https://www.hertzbleed.com/gpu.zip/)
Dann können wir ja froh sein das die Engine, die den Chrome Webseiten anzeigen lässt (wie genau heißt die eigentlich?) kaum verbreitet ist... . (Das war Ironie)

Was gibt es eigentlich noch für Browserengines aus die von Chrome, Firefox und Safari?
 
Joa eher eine recht umständlicher Hack zumindest wenn man es jetzt nur auf Passwörter abgesehen hat, einfacher wär mit einem Script alle Tastatureingaben des Nutzers auf der Seite ohne ihm ersichtlichen Grund im Hintergrund aufzuzeichnen.
 
Dieser Satz hat es für mich in sich "Dies ist eine wichtige Forschung darüber, wie Hardware funktioniert"

Ich habe von der gesamten Mikroelektronik gelinde gesagt keine Ahnung. Ich habe bis heute nicht verstanden, wie man mit 0 und 1 logische Operationen aufbauen kann, die Grundrechenarten verstehen. Ich müsste mir wohl mal in Ruhe die mechanischen Rechner von Zuse anschauen und verstehen. Noch weniger weiß ich, wie Chips aufgebaut sind. Ich erinnere mich nur an die Aussagen eines Mitbewohners, der Mikroelektronik als Vertiefungsfach in Elektrotechnik hatte, der meinte, dass die letzte komplett von Hand konstruierte CPU der 386er war und inzwischen alle CPUs von Programmen selber optimiert werden. Ähnliches kenne ich von heutigen CAD Programmen, die auf Knopfdruck Konstruktionen "optimieren". Wie und warum bleibt dem Anwender in der Regel verborgen.
Das ist eigentlich vom Grundprinzip nicht sonderlich kompliziert, aus Transistoren kann man Logikgatter bauen, die man dann wieder zu komplexeren Strukturen wie z.B. Addier zusammenschalten kann.
Algorithmen wie CORDIC sind in dem Zusammenhang vielleicht ganz interessant zu Erwähnen, damit lässt sich alles was du z.B. in einem Taschenrechner (oder Navigationsrechner in deinem Überschall-Atombomber :ugly: ) brauchst, mit wenig Schaltungsaufwand erschlagen.

Die Komplexität im digitalen Design wird durch viele Abstraktionsebenen beherrschbar, auf der Transistorebene kommen die Logikgatter-Modelle (für Simulation und Verifikation) oft vom Halbleiterfertiger.
Man versucht heutzutage, die digitalen Designs auf eine möglichst hohen Abstraktionsebene zu beschreiben, z.B. mit VHDL/Verilog oder SystemC, woraus dann die weniger Abstrakten Ebenen Schritt für Schritt synthetisiert und simuliert werden, bis man beim eigentlichen Layout des Chips (ASIC) oder BIT-File (FPGA) angekommen ist.
Das heisst aber nicht, dass man deshalb die Hardware nicht versteht.
Der übliche Entwurfsablauf im Digitalbereich wie folgt:
Auf System- bzw. algorithmischer Ebene wird eine Verhaltenssimulation durchgeführt und per High-Level-Synthese
ein Register-Transfer-Modell erstellt.
Davon ausgehend kann man auf die Gatter-Ebene gehen und unter Berücksichtigungen der physikalischen Realisierung nach einem Place and Route-Schritt Timing-Simulationen/Analyse durchführen.
Natürlich finden während der Synthese Optimierungen statt, aber die Vorstellung von "Wir wissen gar nicht was wir tun" ist sehr irreführend und falsch.

Analog läuft übrigens aber nach wie vor alles von Hand, dort wird die Schaltung auf Transistor-Ebene entworfen, inkl. der Dimensionen der Transistoren.
Allerdings hat ein moderner Opamp auch nicht mehr als 50-100 Transistoren.
Wenn ich aus diesen Opamps dann einen ADC baue, greife ich auch hier schlussendlich wieder auf (selbst entworfene, statt vom Halbleiterfertiger) Bausteine zurück.
 
Ich finde es allerdings schon eine kritische Design-Schwachstelle, dass eine Webseite überhaupt irgendwie die "Pixel" aus einer Grafikkarte auslesen kann. Dass das dann noch per CORS funktioniert, ist mMn. nur das Tüpfelchen auf dem i.
...und genau das ist der springende Punkt.

Man müsste doch schon mutwillig eine Seite ansurfen, die "wenig vertrauenserweckend" ist, um eine derartig präparierte Umgebung vorzufinden. Und dann müsste man auch obendrein noch ständig gleiche Passwörter verwenden und auch noch Dinge, wie z.B. Online-Banking über wichtige Konten, von denen auch die Miete oder andere essentielle Kosten abgebucht werden, praktizieren.

Wenn das alles zutreffen sollte und der Angreifer zusätzlich noch einen Batzen an Zeit und Geduld mitbringt, könnte man sich direkt bedroht fühlen :ugly:

Dass man durch einen Internetzugang lieber doppelt vorsichtig sein sollte, dürfte wohl jedem Nutzer, der keine zwölf Jahre alt oder völlig schmerzfrei ist, mittlerweile klar sein.

Für meinen Teil lege ich erstmal wieder die Füsse hoch, denke erneut über mein Konsumverhalten nach und entscheide dann, welche P0rnoseiten oder Tauschbörsen ich denn wirklich noch dringend besuchen möchte...
 
Dann können wir ja froh sein das die Engine, die den Chrome Webseiten anzeigen lässt (wie genau heißt die eigentlich?) kaum verbreitet ist... . (Das war Ironie)

Was gibt es eigentlich noch für Browserengines aus die von Chrome, Firefox und Safari?

Außer den drei von dir genannten (die Engines heißen übrigends Blink (Chrome), Gecko (Firefox) und Webkit (Safari)) aktuell zumindest keine mit Nennenswerter verbreitung. EdgeHTML taucht hier und da noch in Windows UWP-Apps auf und den ersten Versionen von Edge und Trident vom alten Internet Explorer. Mehr oder weniger Aktiv entwickelt werden noch Goana, ein Fork von Gecko und Flow, was man noch hier und da in Embedded Systems findet.

...und genau das ist der springende Punkt.

Man müsste doch schon mutwillig eine Seite ansurfen, die "wenig vertrauenserweckend" ist, um eine derartig präparierte Umgebung vorzufinden. Und dann müsste man auch obendrein noch ständig gleiche Passwörter verwenden und auch noch Dinge, wie z.B. Online-Banking über wichtige Konten, von denen auch die Miete oder andere essentielle Kosten abgebucht werden, praktizieren.

Wenn das alles zutreffen sollte und der Angreifer zusätzlich noch einen Batzen an Zeit und Geduld mitbringt, könnte man sich direkt bedroht fühlen :ugly:

Dass man durch einen Internetzugang lieber doppelt vorsichtig sein sollte, dürfte wohl jedem Nutzer, der keine zwölf Jahre alt oder völlig schmerzfrei ist, mittlerweile klar sein.

Für meinen Teil lege ich erstmal wieder die Füsse hoch, denke erneut über mein Konsumverhalten nach und entscheide dann, welche P0rnoseiten oder Tauschbörsen ich denn wirklich noch dringend besuchen möchte...
Klar ist der Aufwand zur Zeit noch sehr groß und daher sehr unwahrscheinlich, dass man darüber stolpert.
Aber das "Problem" kann sich ausweiten, wenn irgendjemand herausfindet, wie man das effizienter und großflächiger einsetzten kann... oder wie man das auf andere Chromium-Browser ausweiten kann.

Das Ding ist halt, dass man hier eben keine wenig vertrauenerweckende Seite aufrufen muss, damit das funktioniert.
Die wenigsten Seiten spielen Werbung direkt von Ihren Servern aus. Die wird in aller Regel noch immer von Extern nachgeladen. Wäre nicht das erste mal, dass versucht wird, Malware über verseuchte Werbebanner zu verteilen.
Und Chromium findet man nicht nur in Browsern, sondern auch in Desktop Apps.

Außerdem wird Chome auch auf Smartphone eingesetzt. Hier wird in der Regel das zuletzt eingetippte Zeichen eines Passwortes kurz angezeigt, bevor es zu einem Punkt wird. Und viele, vor allen die aktuelle Jugend, nutzen ausschließlich das Smartphone.

Aber ja, noch kann man die Füße hochlegen. :-D
 
Klingt schon nicht so gut. Und Chromium-Basis? Große Nutzerbase = größere lucky found Wahrscheinlichkeit.
 
Dieser Satz hat es für mich in sich "Dies ist eine wichtige Forschung darüber, wie Hardware funktioniert"

Ich habe von der gesamten Mikroelektronik gelinde gesagt keine Ahnung. Ich habe bis heute nicht verstanden, wie man mit 0 und 1 logische Operationen aufbauen kann, die Grundrechenarten verstehen. Ich müsste mir wohl mal in Ruhe die mechanischen Rechner von Zuse anschauen und verstehen. Noch weniger weiß ich, wie Chips aufgebaut sind. Ich erinnere mich nur an die Aussagen eines Mitbewohners, der Mikroelektronik als Vertiefungsfach in Elektrotechnik hatte, der meinte, dass die letzte komplett von Hand konstruierte CPU der 386er war und inzwischen alle CPUs von Programmen selber optimiert werden. Ähnliches kenne ich von heutigen CAD Programmen, die auf Knopfdruck Konstruktionen "optimieren". Wie und warum bleibt dem Anwender in der Regel verborgen.

Unter diesem Hintergrund, dass ich erwarte, dass viele Schaltungen in CPUs, GPUs und I/O Chips und ebenso in Software von Rechnern selbstständig optimiert werden, ist der Satz "Dies ist eine wichtige Forschung darüber, wie Hardware funktioniert" für mich tragikomisch. Wenn ich dazu dann noch die Komplexität heutiger Software sehe, komme ich zu dem vernichtenden Schluß "Wir wissen es nicht". Es funktioniert und scheint ríchtig zu berechen. Was aber im Detail wo passiert, weiß niemand, da zu komplex. Es werden sich entsprechend immer Lücken finden lassen.
Im Grunde ist es so:

Die CPU Entwickler entwerfen die grundlegende Recheneinheit einer neuen CPU und erstellen den ersten Kern per Hand.
Das ganze Drumherum... Cache... optimierte Platzierung der einzelnen Baugruppen.... Verkürzung von Datenleitungen zwischen den einzelnen Stellen - im Endeffekt das Bauteile-Tetris - wird dann von Algorithmen übernommen, die nach festen Regeln arbeiten.
Die sind dann mal auf Leistung, mal auf möglichst kompakte Bauweise eingestellt.
Leistung kostet mehr Platz, da die einzelnen Transistoren nicht so nah an einander sein dürfen.

Dabei passieren mal mehr, mal weniger Fehler.
Bei diversen dutzend Milliarden Transistoren kann auch keiner mehr den echten Überblick über jeden einzelnen behalten.
 
Dieser Satz hat es für mich in sich "Dies ist eine wichtige Forschung darüber, wie Hardware funktioniert"

Ich habe von der gesamten Mikroelektronik gelinde gesagt keine Ahnung. Ich habe bis heute nicht verstanden, wie man mit 0 und 1 logische Operationen aufbauen kann, die Grundrechenarten verstehen. Ich müsste mir wohl mal in Ruhe die mechanischen Rechner von Zuse anschauen und verstehen. Noch weniger weiß ich, wie Chips aufgebaut sind. Ich erinnere mich nur an die Aussagen eines Mitbewohners, der Mikroelektronik als Vertiefungsfach in Elektrotechnik hatte, der meinte, dass die letzte komplett von Hand konstruierte CPU der 386er war und inzwischen alle CPUs von Programmen selber optimiert werden. Ähnliches kenne ich von heutigen CAD Programmen, die auf Knopfdruck Konstruktionen "optimieren". Wie und warum bleibt dem Anwender in der Regel verborgen.

Unter diesem Hintergrund, dass ich erwarte, dass viele Schaltungen in CPUs, GPUs und I/O Chips und ebenso in Software von Rechnern selbstständig optimiert werden, ist der Satz "Dies ist eine wichtige Forschung darüber, wie Hardware funktioniert" für mich tragikomisch. Wenn ich dazu dann noch die Komplexität heutiger Software sehe, komme ich zu dem vernichtenden Schluß "Wir wissen es nicht". Es funktioniert und scheint ríchtig zu berechen. Was aber im Detail wo passiert, weiß niemand, da zu komplex. Es werden sich entsprechend immer Lücken finden lassen.
Ich empfehle mal in Minecraft Redstone Schaltungen reinzuschauen. Damit lassen sich digitale Schaltungen sehr einfach erlernen. Gibt schon Leute die komplette CPUs gebaut haben.
Oh nein1!!!1! Den benutzernamen !! Dann ist der account verloren, denn sie sehen auch noch das Passwort, oh warte sie sehen nur:******
Ganz selten kommt es mal vor, dass ich ein PW anzeige um es auf einen anderen Rechner oder aufn Handy einzugeben. Aber das ist so selten und kurz, dass die Chance doch astronomisch klein ist, dass da was passiert. Bzw aufn Handy kommt es schon eher mal vor dass ich es anzeige, aber wie man oben sieht, spielt die Geschwindigkeit der GPU auch eine große Rolle.
 
Der Angriff ist doch durchaus Interessant. Wenn auch mit der Einschränkung, dass es sich hier um visuell dargestellte Informationen handelt, deren Nutzen mitunter beschränkt ist. Anhand derer kann man aber schon Nutzernamen, E-Mail Adressen, Bankdaten o.a. sensitive Informationen erspähen.
Diese werden bei anderen Programmen mitunter kritischer - beispielsweise wenn man eine Seite mit entschlüsselten Passwörtern einsehen könnte (Passwortmanager oder Passwort-Seite gängiger Browser). Vor allem falls es gelingt, Speicherbereiche der Grafikkarte "anzusehen", die nicht zum aktuellen Programmcontext gehören.
 
nuja, es gibt bestimmt noch der ein oder andere Office-Nutzer der nicht nur physische Notiz-Zettel am Monitor mit Passwörtern hat, sondern auch virtuelle. Wo ich derzeit arbeite ist zum Glück ein PW Manager vorgeschrieben. Aber hier gibt es noch ganz andere Daten zu sehen, die man ausspionieren könnte. Da ist aber wiederum die Geschwindigkeit auch entscheidend. Alle Laptops haben nur eine iGPU und nach 5 Minuten Inaktivität wird der Bildschirm ausgeschaltet. Kann man also nicht wirklich was herausfinden.

Eine Frage ergibt sich mir noch, würde das Ändern des Bildschirminhaltes nicht die Rekonstruktion komplett zurücksetzen? Man bräuchte doch eigentlich die 30-200 Minuten ein komplett unverändertes Bild. Oder sehe ich das falsch?
 
Jetzt ist Ihre Meinung gefragt zu Sicherheitslücke: Malware kann via Browser Pixel aus Grafikchips auslesen
Den Bildschirm unseres CEOs würde ich gerne auslesen. Das gibt das beste Insiderwissen. Ich halte das für eine ziemlich perfide Angriffsstrategie. Mal schauen, wann ganze Bildschirmseiten rekonstruiert werden können. Denn Oft genug stehen Rechner ungenutzt herum. Dann muss man also doch den Bildschirmschoner ganz schnell aktivieren.
 
Zurück