Test Meltdown & Spectre: Benchmarks mit AMD und Intel unter Windows 7 und 10

Mit dem Registry-Wert wird die Kernel Page Isolation deaktiviert und daher die volle Leistung wieder verfügbar gemacht, auf kosten des bekannten Risikos. Ich habe das auch so deaktiviert, weil der Leistungsverlust in überhaupt keinem Verhältnis zu der erhöhten Sicherheit steht.

Mit Meltdown kann lediglich der Speicher in geringer Geschwindigkeit (123KB/s unter Verwendung von Exception Handling) ausgelesen werden, eine Gefahr durch ausführbaren Code mit erhöhten Rechten gibt es nicht. Um einen Angriff zu starten, braucht ein Angreifer zunächst ein Einfallstor, welches Code Execution erlaubt, damit kann dann der Inhalt des gesamten physikalischen RAMs ausgelesen werden. Aber aufgrund der sehr niedrigen Geschwindigkeit bekommt er bei großen Mengen RAM auch nach Stunden nur geringe Mengen aus dem RAM ausgelesen (<500MB / Stunde) und man darf nicht vergessen, dass der Inhalt des RAMs sind auch mit der Zeit ändert, sodass ein vollständiger Snapshot unmöglich ist, d.h. Systeme mit viel RAM sind potentiell weniger anfällig, weil es länger dauert. Ebenso ist es unrelevant, ob der Speicher gefüllt ist, weil die physikalischen Speicherbereiche aufgegriffen werden und dort halt ggf. nur kein Inhalt (0) zu finden ist - d.h. bei 32GB, auch wenn nur 2GB belegt sind, dauert das Auslesen des gesamten RAMs - selbst wenn mein System doppelt so schnell ist, als das Google Testsystem - mehr als 36 Stunden, in der Zeit habe ich schon 5x neu gestartet. Auch darf man nicht vergessen, dass es sich hier um wirklich hochkarätige Kunst handelt, den physikalischen RAM, welcher inkonsistent ausgelesen wurde (weil sich die Inhalte des Speichers über die Zeit verändern), sinnvoll auszuwerten, ich behaupte auf der ganzen Welt gibt es nur eine Hand voll Menschen, die das in einer brauchbaren Qualität beherrschen.

Die gängigen Trojaner oder Viren der HomeUser sind eigentlich keine wirklichen Viren, es handelt sich hier um ganz primitiv geschriebene Software, die jeder Amateur selbst programmieren kann. Ein Kryptotrojaner ist z.B. das einfachste überhaupt, da wird einfach nur massenhaft per Mail Links mit .exe Dateien, oder solchen Pranks wie .mp3.exe verschickt, die der User per Hand öffnen muss. Dann greift der Prozess auf mit seinen eigenen Rechten lesbaren Speicher zu und, sofern in der ACL schreibrechte vorhanden sind, werden die betroffenen Dateien verschlüsselt und anschließend im Original gelöscht. Die übliche Malware, die ein privater User bekommt, nutzen gar keine Sicherheitslücken, sondern einfach nur die Möglichkeiten des Systems und die Dummheit der User.

In Rechenzentren mit VMs verschiedener Kunden ist der Fehler gigantisch, aber für Otto Normalverbraucher sehe ich das Risiko bei normaler Verwendung hier als praktisch nicht vorhanden, vor allem aber ist auch hier das Verhältnis von Leistung/Sicherheit nicht gegeben. Es gibt tausende Lücken, wenn jede davon 3% Leistung kosten darf, sind wir in zwei Monaten mit einem ungepatchten P4 schneller unterwegs, als mit einem gepatchtem i9 7980XE. Jeden Monat gibt es eine große Liste an behobenen Sicherheitsproblemen von allen möglichen Softwareprodukten (Adobe, Oracle, Google, Microsoft), die teilweise um ein vielfaches schwerwiegender sind, indem z.B. Code mit erhöhten Rechten ausgeführt werden kann, das ist 1000x schlimmer, als Meltdown - ein Code mit erhöhten Rechten darf ohne Umwege ohnehin den gesamten RAM auslesen und zwar mit der vollen Geschwindigkeit und gleichzeitig auch sich selbst mittels Root Rechte verewigen, sodass auch ein Neustart überlebt wird.

Meltdown und Spectre werden vollkommen überbewertet, selbst der Geheimdienst wird diese Lücken nicht nutzen, weil sie viel zu inkonsistent, viel zu langsam und viel zu kompliziert sind. Der Geheimdienst nutzt Lücken wie die SMB-Lücke in Windows (Eternalblue), welche dauerhaft von extern genutzt werden können, um Code auf fremden Systemen auszuführen und in Kombination mit einer Lücke für privilege escalation diesen mit administrativen Rechten auszuführen - mit diesem kann man dann auch in vollem Speed den RAM auslesen.

Meine Empfehlung für den Standard-User, der kein Handel mit waffenfähigem Plutonium im Darknet betreiben will ist, sowohl die Spectre, als auch Meltdown Patches sowohl für AMD, als auch für Intel per Registry zu deaktivieren, sofern die Leistung darunter leidet. Ich arbeite seit mehr als 10 Jahren als IT Professional und habe so viele viel schwerwiegendere Lücken erlebt, die Gefahr hier ist dermaßen abstrakt, dass meines Erachtens nach gar kein Risiko für Home User besteht. Das einzig nennenswerte Risiko bei Standard Client-PCs (also auch Gamer PCs) ist die Dummheit des Users, in dem ausführbare Dateien unbekannter Quellen heruntergeladen und tlw. gar mit Administrator-Rechten ausgeführt werden.