L1 Terminal Fault: Intel erlaubt Herstellern eigene Benchmarks wieder

Die in der vergangen Woche bekannt gewordenen neuen Sicherheitslücken in Intel-Prozessoren unter der Bezeichnung Foreshadow und L1 Terminal Fault hatte der Chipriese mit eigenen Benchmarks untermauert. In einer geänderten Update Policy für Softwarehersteller ist diesen das laut Debian und Gentoo jedoch untersagt.

Unmut macht sich seit der Veröffentlichung der neuen Microcode-Updates von Intel für nahezu alle aktuellen Prozessoren und die der letzten acht Jahre breit. Während fast alle Softwareanbieter diese übernehmen, haben sich die Programmierer des Linux-Betriebssystems Debian das Kleingedruckte näher betrachtet und von einer Implementierung vorerst abgesehen, obwohl diese theoretisch bereits möglich wäre.

Unfortunately, that release is undistributable (refer to the new "license" file that was added by Intel to the microcode data file pack version 20180807).

Packages have been ready since 2018-08-08, but could not be uploaded (or even pushed to public git trees) for that reason.

Intel has been made aware of the issue and pestered by just about everyone, and should get it straightened up soon.

Henrique de Moraes Holschuh, Debian

Debian erklärt dabei auch, dass RedHat und SuSe die Bedingungen von Intel akzeptiert hätte, neben Debian aber auch Gentoo sich die Bedingungen näher ansehe, vor allem auch was das Mirroring, also die Weiterverteilung über alternative Server, betreffe. Dem Passus hatte Intel gegenüber The Register zumindest zum Teil bereits widersprochen, demnach sei es erlaubt, die angepassten Betriebssysteme inklusive neuem Microcode zu verteilen.

Intels Downloadarchiv führt den neuen Microcode separat zum Download und anschließenden Integration auf. Die betreffenden Zeilen, um die es geht, sind in einer separaten Datei zu finden, alternativ auch online bei Ubuntu in einem pastebin.

You will not, and will not allow any third party to (i) use, copy, distribute, sell or offer to sell the Software or associated documentation; (ii) modify, adapt, enhance, disassemble, decompile, reverse engineer, change or create derivative works from the Software except and only to the extent as specifically required by mandatory applicable laws or any applicable third party license terms accompanying the Software; (iii) use or make the Software available for the use or benefit of third parties; or (iv) use the Software on Your products other than those that include the Intel hardware product(s), platform(s), or software identified in the Software; or (v) publish or provide any Software benchmark or comparison test results.

Intel

Insbesondere in den letzten Punkten stimmt auch Opensource-Pionier Bruce Perens in einem Blog-Posting mit ein. Demnach sei der Punkt der unabhängigen Vergleichbarkeit, Lieferung und Bereitstellung von eigenen Messwerten elementar wichtig und die Bedingungen nicht akzeptabel. Theoretisch und überspitzt ausgedrückt erklärt Perens, dies würde in dem Fall nämlich sogar einschließen können, dass CPU-Tests auf einer Plattform mit diesem Microcode gänzlich untersagt sind, da sie am Ende immer eigene Messwerte und Benchmarks liefern.

Benchmarks gibt es bisher deshalb nur von Intel. Diese zeigen kaum größere Auswirkungen durch die Fixes der neuen Sicherheitslücken, was nun jedoch unter Vorbehalt steht. Doch ist dies eigentlich immer bei Benchmarks, die direkt vom Hersteller geliefert werden, an der Tagesordnung und damit nur noch einmal ins Bewusstsein gerufen worden.