News Downfall & Inception: Neue CPU-Schwachstellen gefährden Intel- und AMD-Systeme

[0x8100]

jetzt auch mit amd benchmarks. schwankt ziemlich je nach test, einige benchmarks haben keine einbußen, datenbanken sehen dagegen nicht so gut aus. persönlich bleibe ich beim heimischen rechner bei "mitigations=off".

 

[dernettehans]

@coffee4free AMD Inception Benchmarks sind da: https://www.phoronix.com/review/amd-inception-benchmarks

 

[xxlrider]

Deswegen kommt nun doch ein 7500F in den deutschen Einzelhandel und nicht nur in China.

Wofür steht das F ? :-)

 

[0x8100]

Wofür steht das F ? :-)

https://www.computerbase.de/2023-07...raetselraten-um-amds-ryzen-7000-mit-f-suffix/

 

[RogueSix]

@coffee4free AMD Inception Benchmarks sind da: https://www.phoronix.com/review/amd-inception-benchmarks

Und leider mal wieder bezeichnend für CB, dass die Performanceverluste von Intel ein News-Update wert waren, während bei AMD das Thema ignoriert und totgeschwiegen wird.

 

[ThirdLife]

Und leider mal wieder bezeichnend für CB, dass die Performanceverluste von Intel ein News-Update wert waren, während bei AMD das Thema ignoriert und totgeschwiegen wird.

Ich find vor allem die Schwankungen brutal. 54% in einer DB Anwendung ggü. 1,2% beim Firefox Browsing oder 1,4% in Blender. Bei 7Zip dann wieder 13% Miese und beim Compilen fast 30% ins Minus. 😵‍💫

Hätte jetzt gern natürlich auch noch Ergebnisse gesehen von Zen 4 CPUs. Gerade auch im Gaming auf der Desktop-Plattform was viele hier sicher interessieren dürfte.

 

[xxlrider]

Ich find vor allem die Schwankungen brutal. 54% in einer DB Anwendung ggü. 1,2% beim Firefox Browsing oder 1,4% in Blender. Bei 7Zip dann wieder 13% Miese und beim Compilen fast 30% ins Minus. 😵‍💫

Der User "Sevard" (auf Phoronix) meinte sinngemäß allerdings dazu:
"Das ist es, aber gleichzeitig spielt es keine Rolle. Auf diesen Servern wird kein nicht vertrauenswürdiger Code ausgeführt (oder dies sollte zumindest nicht der Fall sein), sodass Abhilfemaßnahmen in den meisten Fällen sicher deaktiviert werden können."

 

[coffee4free]

Artikel-Update: Auch für von AMD bereitgestellte Microcode-Updates zur Eindämmung von Inception liegen inzwischen erste Leistungsvergleiche vor. Getestet hat Phoronix dieses Mal auf einem Zen-3-basierten AMD Epyc 7763. In vielen Benutzeranwendungen scheinen die Auswirkungen dabei eher geringfügiger Natur zu sein – zumeist liegen diese nur im einstelligen Prozentbereich. In datenintensiven Anwendungen wie MariaDB, die insbesondere im Unternehmensumfeld eine große Rolle spielen, nehmen die möglichen Leistungseinbußen mit Werten von teils mehr als 50 Prozent hingegen beachtliche Ausmaße an.

Die Redaktion dankt Community-Mitglied dernettehans für den Hinweis zu diesem Update.

 

[ChrFr]

Bei MariaDB klingt das ja nicht gut...😟.
Interessant werden unabhängige Benches mit Alltagsanwendungen.

 

[.Sentinel.]

In datenintensiven Anwendungen wie MariaDB, die insbesondere im Unternehmensumfeld eine große Rolle spielen, nehmen die Leistungseinbußen mit Werten oberhalb von 50 Prozent hingegen beachtliche Ausmaße an.

Das ist natürlich schon ne Nummer zumal das eine der Hauptaufgabengebiete der dort getesteten Epycs sein dürfte.

Viele CPUs scheinen heutzutage ihre Geschwindigkeit auch auf Kosten von Sicherheit zu erlangen.
Die Frage ist, was da der Könsigsweg sein soll.
Den (vermeintlichen) Geschwindigkeitsvorteil von 1-2 Generationen in Stopfen von Sicherheitslöchern zu verdampfen, oder eben doch mit gewissem Risiko leben und die Geschwindigkeit mitnehmen....

 

[Donnidonis]

50% ist natürlich echt heftig. Dann wird es bei anderen Datenbanken wahrscheinlich ähnlich aussehen. Das ist ja fast ein Schlag ins Gesicht.

@ChrFr
Naja. Datenbanken sind „Alltags Anwendungen“ für Server.

 

[Majestro1337]

Viele CPUs scheinen heutzutage ihre Geschwindigkeit auch auf Kosten von Sicherheit zu erlangen.

Niemand opfert BEWUSST Sicherheit für Performance. Dass solche Attacken möglich sind kommt nicht umsonst erst etliche Zeit später durch irgendwelche hochspezialisierten Forscher heraus. Gäbe es die nicht würde das vermutlich nie jemand merken - außer vielleicht die Geheimdienste, aber ganz sicher nicht irgendwelche kriminellen. Die hätten wieder Ressourcen noch know how.
Deswegen sehe ich diese ganze jagd nach Sicherheitslücken sehr skeptisch, zumal viele sehr akademischer Natur sind, trotzdem Angst erzeugen und deswegen weggepatcht werden sollen / müssen und signifikant Performance kosten. Aber einmal publik gemacht kann die dann natürlich auch jeder kleinkriminelle nutzen. In wie weit hat diese Art der "Forschung" und vor allem Veröffentlichung die Menschheit denn nun vorangebracht? Sehr zweifelhaft was da abgeht...

 

[NameHere]

In datenintensiven Anwendungen wie MariaDB, die insbesondere im Unternehmensumfeld eine große Rolle spielen, nehmen die Leistungseinbußen mit Werten oberhalb von 50 Prozent hingegen beachtliche Ausmaße an.

@coffee4free du hast da wohl falsch gerechnet

du musst den Unterscheid zwischen off und safe RET rechnen

For getting an initial idea of the AMD Inception mitigation performance impact, I used an AMD EPYC 7763 (Milan / Zen 3) server running Ubuntu 22.04 LTS and using a custom kernel build as of last week, The following kernel configurations were tested:

off - No Inception mitigations. All other CPU security mitigations were at their defaults... This testing is just looking at the Inception mitigation overhead.

safe RET no microcode - The purely kernel-based mitigation while using the prior Family 19h CPU microcode without the Inception mitigation there.

safe RET - The default safe RET mode when using the newest CPU microcode.

IBPB - The alternative IBPB-based mitigation approach.

For details on these different mitigation routes, see the kernel documentation around this Speculative Return Stack Overflow (SRSO) mitigation for Inception. The "safe RET" mode is the default mode of operation with AMD Zen processors on the Linux kernel versions patched since last week.

 

[Freiheraus]

IBPB (Indirect Branch Predictor Barrier) ist doch nicht die explizite Inception-Mitigation sondern der Dampfhammer gegen jegliche Sidechannel Attacken alla Spectre und Co. oder?
Da hat PCGH schon ähnlich unseriös zu berichtet.

 

[Ayo34]

Niemand opfert BEWUSST Sicherheit für Performance. Dass solche Attacken möglich sind kommt nicht umsonst erst etliche Zeit später durch irgendwelche hochspezialisierten Forscher heraus. Gäbe es die nicht würde das vermutlich nie jemand merken - außer vielleicht die Geheimdienste, aber ganz sicher nicht irgendwelche kriminellen. Die hätten wieder Ressourcen noch know how.
Deswegen sehe ich diese ganze jagd nach Sicherheitslücken sehr skeptisch, zumal viele sehr akademischer Natur sind, trotzdem Angst erzeugen und deswegen weggepatcht werden sollen / müssen und signifikant Performance kosten. Aber einmal publik gemacht kann die dann natürlich auch jeder kleinkriminelle nutzen. In wie weit hat diese Art der "Forschung" und vor allem Veröffentlichung die Menschheit denn nun vorangebracht? Sehr zweifelhaft was da abgeht...

Glaube mir, Kriminelle haben ganz andere Ressourcen und Möglichkeiten als ein paar Forscher. Egal ob diverse Hackergruppen mit richtigen Spezialisten oder auch staatliche Gruppen (Nordkorea, Iran, Russland). Dazu dann diverse Geheimdienste. Auch ist der Anreiz für diese Leute deutlich höher.

Wie und ob man die Sicherheitsslücken dann nutzen kann, ist wieder eine andere Sache. Aber es liegt in der Natur der Programmierung, dass keine 100% sicheren Programme geschrieben werden können.

 

[Donnidonis]

@Ayo34
Was sind denn da deine Referenzen, um dir da glauben schenken zu können? Ich bezweifle stark, dass deine genannten Gruppen auch nur annähernd mit den Sicherheitsforschern mithalten können bei derart komplexen Schwachstellen.

 

[Flakstar]

Das lässt sich leider nicht so einfach beurteilen. Denn Compiler optimieren den source code beim Übersetzen. Auch "stinknormale" Programme, die im source code nicht direkt AVX* nutzen, können im Binärcode dann mit AVX* Instruktionen laufen, wenn der Compiler das als effizienter einstuft.
Sobald also ein OS AVX oder AVX512 in den Systemanforderungen hat, sollte man davon ausgehen, das diese Instruktionen im Alltag häufig genutzt werden.

Laut den Forschern optimieren einige CPUs intern auch nochmal (siehe

Das lässt sich leider nicht so einfach beurteilen. Denn Compiler optimieren den source code beim Übersetzen. Auch "stinknormale" Programme, die im source code nicht direkt AVX* nutzen, können im Binärcode dann mit AVX* Instruktionen laufen, wenn der Compiler das als effizienter einstuft.
Sobald also ein OS AVX oder AVX512 in den Systemanforderungen hat, sollte man davon ausgehen, das diese Instruktionen im Alltag häufig genutzt werden.

Laut den Forschern optimieren einige CPUs intern auch nochmal (siehe Can I disable the mitigation if my workload does not use Gather), so dass AVX* auch genutzt werden könnte, wenn es nicht vom OS oder Programm vorgegeben ist. Wie relevant das ist, weis ich aber nicht.

), so dass AVX* auch genutzt werden könnte, wenn es nicht vom OS oder Programm vorgegeben ist. Wie relevant das ist, weis ich aber nicht.

Dies geschieht nur mit entsprechend gesetzten Compilerflags.

VS https://learn.microsoft.com/en-us/cpp/build/reference/arch-x64?view=msvc-170
GCC https://gcc.gnu.org/onlinedocs/gcc-4.5.3/gcc/i386-and-x86_002d64-Options.html

 

[Ayo34]

Ich habe selbst Informatik studiert und finde das Thema einfach spannend. Es gibt so viele Informationen zu diversen Gruppierungen und was alles möglich ist. Angefangen mit Snowden und der NSA bis hin zur zum Büro 121 in Nordkorea. Viele Länder investieren da Milliarden. Außerdem sind die besten Leute normal da wo man viel Geld verdienen kann. Also nicht unbedingt Forscher.

Die Schätzungen liegen (Stand 2021) höher: bei zwischen 3.000 und 10.000 staatlich angestellten nordkoreanischen Hackern. Viele der Hacker sind Absolventen der Universität...

https://de.wikipedia.org/wiki/Büro_121

 

[NameHere]

Außerdem sind die besten Leute normal da wo man viel Geld verdienen kann. Also nicht unbedingt Forscher.

Und auch nicht angestellt beim Staat, sondern in der freien Wirtschaft wo man richtig Geld verdient.

Die Schätzungen liegen (Stand 2021) höher: bei zwischen 3.000 und 10.000 staatlich angestellten nordkoreanischen Hackern. Viele der Hacker sind Absolventen der Universität...

https://de.wikipedia.org/wiki/Büro_121

Da in Nordkorea mehr oder weniger alles staatlich ist, wo könnten sonst die Absolventen angestellt sein. Die forschen im Auftrag des Staates.

Und wie genau kriege ich jetzt meine in MariaDB verlorenen 30% wieder rein, du studierter Informatiker?

 

[iGameKudan]

Zum Glück scheinen sich die Performanceverluste bei Zen4 in Grenzen zu halten.