News Foreshadow/L1TF: Intels Albtraum-Jahr der Sicherheitslücken geht weiter

[Hill Ridge]

Genau, Epyc ist also nicht günstig...

 

[Scarface01]

What? Das weiß ich doch. Ich miete sogar einen Epyc Server für Minecraft und ts3. Und der ist nicht gerade günstig im vergleich zu einem Intel. Aber trotzdem ist Vega schrott und Ryzen/Epyc nicht günstig. Ich hätte gedacht Amd attackiert mit kampfpreisen. Meinte google nicht die spectre/meltdown patches haben 2% Leistung gekostet? Ist doch nicht so viel wie viele hier darstellen. Aber hauptsache reden wenn man nicht mal einen server hat.

Wo hostest du denn?
Man darf natürlich auch nicht vergessen, dass man bei Intel aber einer gewissen Abnahmemenge Massenrabatte erhält ^^

 

[XTR³M³]

Hach, herrlich wie intel all die potenziellen neukunden für den proffessionellen bereich, direkt zu AMD spielt... 31% leistungsverlust X-D wie will intel da AMD bei unter 20% im prof. bereich halten? 🤔

 

[MK one]

What? Das weiß ich doch. Ich miete sogar einen Epyc Server für Minecraft und ts3. Und der ist nicht gerade günstig im vergleich zu einem Intel. Aber trotzdem ist Vega schrott und Ryzen/Epyc nicht günstig. Ich hätte gedacht Amd attackiert mit kampfpreisen. Meinte google nicht die spectre/meltdown patches haben 2% Leistung gekostet? Ist doch nicht so viel wie viele hier darstellen. Aber hauptsache reden wenn man nicht mal einen server hat.

und du hast einen Server ... , gemietet ist was anderes als besitzen , würdest du einen besitzen wäre dir klar : EPYC ist wesentlich günstiger als ein vergleichbarer Xeon
AMD vermietet keine Server ( soweit ich weiß ) , sie verkaufen nur EPYC Server CPU s ...

 

[JaKno]

Wenn der Epyc Server so teuer ist, dann zockt Dich vielleicht Dein Hoster ab.

 

[bitheat]

Die Auswirkungen auf die Consumer CPU gehen dabei auch gegen 0. Würde persönlich auch nicht den Kauf davon abhängig machen.

Was ich nicht ganz bei den Benches verstehe ist das Testen von HT an + patched vs HT Aus ohne Patch. Wieso nicht HT an patched vs HT an unpached?

Es kommt immer auf die Anwendungen an. Vergiß mal für einen Moment so was Profanes wie: Mailen, Chatten, Youtube, im Internet surfen.

Beispiel: Ein Audio Projekt in Cubase rendern (downmix) dauerte durch die ersten Microcode upgrades unter Win7 bereits doppelt so lange. Das finde ich schon extrem ärgerlich.

https://www.tonstudio-forum.de/blog...-CPU-Microcode-Upgrade-against-Spectre-EN-DE/

Und es wäre jetzt sehr freundlich, wenn Du nicht einfach nur lapidar antworten würdest, dann nimm doch einfach Win10. Ich setze es bewußt wegen der EULA (Big Data) und privacy issues nicht ein, habe aber eine Parallel Installation, um Win10 im Auge zu behalten.

 

[HerrRossi]

Persönlich finde ich es aber schade, dass AMD gerade nichts im Lowendbereich anbietet.

Was ist denn an einem AM4 A6-9500 für 37,- € nicht "low end"?

 

[anyone23]

Zu AMD‘s Verteidigung muß man aber sagen, daß Stand heute ein Dual-Core doch schon sehr, sehr grenzwertig ist – erst recht ein Celeron. Meinst Du, ein Windows 10 auf einem Dual-Core ist noch zu irgendetwas zu gebrauchen, wenn selbst das System schon die beiden Kerne veranschlagt?

Also dass Windows 10 auf einem Dual-Core grenzwertig wäre, finde ich doch schon sehr weiter hergeholt. Natürlich ist Zeit im Arbeitsleben Geld und man sollte nicht am Arbeitsmittel sparen, aber für die normalen Office-Programme und das Warenwirtschaftssystem im Browser ist auch ein aktueller Celeron bereits so ausreichen, dass man kaum einen Unterschied zu einem i7 merken würde. Programme starten dank SSD in max 2-3 Sekunden und selbst komplexere Tabellen mit mehreren hunderttausend Einträgen im Wawi-System hat der Celeron in ~5 Sekunden gerendert. Die Teile haben dank hohem Takt + guter IPC einiges an Leistung und ich wüsste nicht wieso man für diesen Einsatzzweck mehr als 2 Kerne benötigen würde. Natürlich habe ich bei dem geringen Aufpreis dann aber zum Pentium mit HT gegriffen.

...

Der Preisbereich stimmt hier aber laut den Benchmarks die ich dazu gefunden habe, sind diese Excavator-APUs deutlich abgeschlagen hinter den Intel Celerons/Pentiums. Diese Prozessoren wären mir dann doch zu langsam, vor allem die Single Threaded Performance, die im Office-Bereich teilweise noch sehr wichtig ist, ist dort sehr schlecht.

https://www.hardwaresecrets.com/a8-9600-cpu-by-amd-review/5/

 

[xexex]

Was ich nicht ganz bei den Benches verstehe ist das Testen von HT an + patched vs HT Aus ohne Patch. Wieso nicht HT an patched vs HT an unpached?

Auf die Gefahr hin, dass es bereits 100 mal beantwortet wurde. Wenn ein Patch existiert gibt es praktisch keinen Leistungsnachteil (HT on + patched) wenn es aber keinen Patch für die Gast VM gibt, ist die einzige Abhilfe HT zu deaktivieren und das kostet Leistung (HT off + unpatched).

CB hat hier die entscheidende Zeile zu der veröffentlichten Grafik weggelassen.

https://www.intel.com/content/www/us/en/architecture-and-technology/l1tf.html

 

[Robo32]

Und ich möchte wissen, warum man entgegen aller anders lautenden Publikationen so etwas schreibt bzw. wie man auf so etwas kommt...

Ich würde sagen - ganz einfach...
Je nach Arbeitsprofil und eingesetzter SW sind die Einbrüche mit M&S Patches jetzt schon viel höher als der theoretische Vorsprung. Dass man das an seinem Gaming-PC nicht merkt ändert nichts an diesen Tatsachen.

 

[Hill Ridge]

Wenn der Epyc Server so teuer ist, dann zockt Dich vielleicht Dein Hoster ab.

Würde ich als Hoster wohl auch machen, wer einen halbwegs sicheren Server will, der kann nicht zu einem Xeon greifen

Der Preisbereich stimmt hier aber laut den Benchmarks die ich dazu gefunden habe, sind diese Excavator-APUs deutlich abgeschlagen hinter den Intel Celerons/Pentiums. Diese Prozessoren wären mir dann doch zu langsam, vor allem die Single Threaded Performance, die im Office-Bereich teilweise noch sehr wichtig ist, ist dort sehr schlecht.

Also mein A10 9700 reicht für Officetätigkeit, da ist ein Rechner mit einem i9 auch nicht schneller.

Wichtig ist halt eine SSD!

 

[MK one]

Auf die Gefahr hin, dass es bereits 100 mal beantwortet wurde. Wenn ein Patch existiert gibt es praktisch keinen Leistungsnachteil (HT on + patched) wenn es aber keinen Patch gibt, wie beim Server 2012, ist die einzige Abhilfe HT zu deaktivieren und das kostet Leistung (HT off + unpatched)

auf die Gefahr hin das du es nicht mitbekommen hast ...
https://www.heise.de/security/meldu...-Prozessorluecke-Foreshadow-L1TF-4137264.html

Cloud-Anbieter und Admins von Systemen, bei denen Nutzer in virtuellen Maschinen eigene Betriebssysteme oder Kernel einspielen können, müssen für den Schutz nicht nur die Updates einspielen, sondern auch HyperThreading (HT) deaktivieren.

https://software.intel.com/security-software-guidance/software-guidance/l1-terminal-fault

While these microcode updates provide important mitigation during enclave entry and exit, updated microcode by itself is not sufficient to protect against L1TF. Deploying OS and VMM updates is also required to mitigate L1TF.


With the microcode update, the Intel SGX attestation will indicate whether hyperthreading has been enabled by the BIOS. When hyperthreading is disabled or not supported, the microcode update fully mitigates L1TF and E2E for Intel SGX. Intel SGX does not require changes to OS paging structures or VMM behavior to achieve this protection.

When hyperthreading is enabled, the possibility of L1TF or E2E attacks from the sibling logical processor still exists before the enclave secret in L1 data cache is flushed or cleared.

 

[xexex]

auf die Gefahr hin das du es nicht mitbekommen hast ...

https://software.intel.com/security-software-guidance/software-guidance/l1-terminal-fault

Cloud-Anbieter und Admins von Systemen, bei denen Nutzer in virtuellen Maschinen eigene Betriebssysteme oder Kernel einspielen können, müssen für den Schutz nicht nur die Updates einspielen, sondern auch HyperThreading (HT) deaktivieren.

https://software.intel.com/security-software-guidance/software-guidance/l1-terminal-fault.

Ich kann auch ohne Blindschrift lesen, genau wegen so einem Fall wurde doch die Grafik erstellt (HT off + unpatched). Alternativ kann man aber auch unter Hyper-V 2016 den Core Scheduler aktivieren, bei Hyper-V 2019 ist er bereits standardmäßig an. Gastsysteme brauchen in diesem Fall keinen Patch.

Windows Server 2016 provides an option to enable the Hyper-V Core Scheduler which mitigates the L1TF attack vector while allowing Hyper-Threading to remain enabled, resulting in a minimal performance impact
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180018

Mal schauen ob VMware hier nachzieht und eine ähnliche Lösung für ESXi präsentiert.

 

[Hill Ridge]

Kann man Intels SMT-Implementierung jetzt als offiziell tot ansehen?

 

[MK one]

@xexec
warum nimmst du nicht die hier ( selbe Quelle )
Performance Impacts on Some Data Center Workloads

10 - 30 % ist schon ne Hausnummer ... , natürlich bestimmt Intel was unter "Many" und "Some" fällt , natürlich hat man auch wieder einige schlicht " vergessen " , soll ja bei Intel öfter vorkommen ...
ach noch vergessen , natürlich benutzen alle Windows Server 2016 , keiner Linux oder Unix oder deren Derviate

 

[xexex]

warum nimmst du nicht die hier ( selbe Quelle )

Diese Grafik steht doch schon bei CB auf der Seite, weshalb sich Krautmaster über den Vergleich gewundert hat. Wer keinen Server 2016 als Virtualisierungshost verwendet und nicht garantieren kann, dass alle Gastsysteme gepatcht sind, soll HT deaktivieren, was die im Diagramm angegebene Leistung kosten soll.

Wer Server 2016 oder 2019 als Virtualisierungshost verwendet braucht HT nicht zu deaktivieren.

ach noch vergessen , natürlich benutzen alle Windows Server 2016 , keiner Linux oder Unix oder deren Derviate

Es liegt in den Händen der Anbieter für Virtualisierungslösungen, ob sie eine ähnliche Lösung wie Microsoft implementieren werden. VMware hat ebenfalls reagiert und auch dort braucht man HT nicht zu deaktivieren.

Mitigation Summary

• The Sequential-context attack vector is mitigated by a vSphere update to the product versions listed in the table below. This mitigation is dependent on Intel microcode updates (provided in separate ESXi patches for most Intel hardware platforms) also listed in the table below. This mitigation is enabled by default and does not impose a significant performance impact.
• The Concurrent-context attack vector is mitigated through enablement of a new feature known as the ESXi Side-Channel-Aware Scheduler. This feature may impose a non-trivial performance impact and is not enabled by Default.

https://www.vmware.com/security/advisories/VMSA-2018-0020.html

Letztendlich ist das deaktivieren von HT nur ein Workaround, solange es keine bessere Lösung gibt.

 

[MK one]

tss ...
http://www.pcgameshardware.de/Siche...ue-Sicherheitsluecken-bei-Intel-CPUs-1262875/

Zwei unabhängig voneinander arbeitende Teams entdeckten im Januar die neue Attacke mit der Bezeichnung "Foreshadow".

Da der grundlegende Fehler schon seit Anfang Januar bekannt ist, hat Intel schon in vergangenen Microcode-Updates einige Fixes veröffentlicht. Ebenso hatten die Betriebssystemhersteller Zeit zum Reagieren:

mehr als ein halbes Jahr haben sie gebraucht und es fehlen immer noch 2 - 3 Lücken mit der Gefahreneinstufung " High "

 

[MarshallMathers]

Immer, wenn ich solche Meldungen lese, überkommen mich ambivalente Gefühle. Auf der einen Seiten ist eine weitere Sicherheitslücke natürlich blöd, da nicht alle Geräte überall gleich gut oder überhaupt gepflegt werden und man manchmal auch nicht mal die Möglichkeit hat, einen ordentlichen Sicherheitspatch aufzuspielen, weil er nicht existiert, so freue ich mich doch immer, dass sie nun an die Öffentlichkeit geraten ist und nun auch hoffentlich geschlossen wird. Je mehr Futter wir dieser 'Zero-Day-Exploit'-Industrie wegnehmen, desto besser.
Aber wer weiß, vielleicht fischen wir hier auch nur im Trüben, und es warten noch viel größere Lücken tief am Grund. Da kommt man ins Grübeln, wie offen der eigene PC wirklich ist, für die Leute, die genug Ressourcen haben.

 

[Hill Ridge]

Intel hat einen neuen Kanal
Intel Graphics (Twitter)

 

[Rockstar85]

Schon gesehen... 4K Netflix... klingt alles irgendwie nicht nach High End GPU, aber mal gucken...