News Linux-Spectre-V2-Patch: 50 Prozent weniger Leistung oder SMT deaktivieren

[Ozmog]

War das denn nicht so, als es mit Spectre losging, dass man zwar Daten außerhalb einer VM auslesen konnte, aber eben nicht gezielt, weil es eben um den Speicherbereich ging?
Bisher ist es doch eine aufwändige theoretische Sicherheitslücken mit Aussichten auf wenig auf Zufall beruhenden Erfolg. Es muss ja dann auch die eine VM auf dem selben Rechner, bzw CPU laufen um überhaupt an Daten einer anderen VM zu kommen, dann auch nur durch Zufall aufgrund des sich überschneidenden Speicherbereichs. Oder verstehe ich da was verkehrt?

So ein Aufwand betreibt ja keiner, um an Oma-Fridas Daten zu kommen, wozu man auch erst mal auf dem PC gelangen muss. Da gibt es deutlich einfachere Wege, der direkt über den Nutzer läuft.

Es gibt übrigens auch kein Schwarz oder Weiß bei der Sicherheit, für alle, die sagen, ein System ist sicher oder unsicher. In dieser Sichtweise ist jedes System unsicher und alle sollten lieber abgeschaltet werden. Sicher ist nichts, mit den Grad der Sicherheit kann man allerdings diverse Angreifer aussperren und die Wahrscheinlichkeit minimieren. Ähnlich wie beim Haus: Schließe ich die Tür, lassen schon einige die Finger davon, habe ich noch Fenster und Türen mit gewissen Einbruchschutz, scheitert auch schon die nächste Gruppe von Einbrechern...
Es ist daher schon ein Unterschied, ob jeder mit einem einfachen Tool Zugriff erlangt oder ob es nur den absoluten Experten mit viel Aufwand und Zeit gelingt.

Ergänzung (20. November 2018)

Seit wann bringt SMT bzw. Hyperthreading 50% Mehrleistung?

Je nachdem, welche Ressourcen benutzt und geteilt werden, bringt SMT bis zu annähernd 100% Mehrleistung. Natürlich nur im besten Fall, im schlechtesten Fall bringt es 0 oder kostet sogar ein wenig Leistung. Der Mittelwert in Praktischen Anwendungen dürfte da eher zwischen 20 und 35 Prozent mehr Leistung liegen.
Also je nach Anwendungsfall kann SMT aus tatsächlich bis zu 50% Leistung kosten. Praktisch wird dieser Wert aber so gut wie nie erreicht.

Übrigens: Wenn ich 50% abziehe, muss ich 100% wieder aufschlagen, um auf den Ursprünglichen Wert zu gelangen Daher 50% weniger ungleich dem Kehrwert von 50% mehr.

 

[Ned Flanders]

@Ozmog

Da gehts natürlich auch im rechtliche Aspekte - Darf ich als VM User sensitive Daten auf eine VM Laden wenn diese nachweislich nicht sicher ist. Der VM Anbieter, kann mir die Sicherheit ja nicht garantieren.

 

[Retro-3dfx-User]

Leute lasst euch nich verarschen, teils geht es um die Sucher solcher Lücken darum Geld zu erhaschen durch Klagen vorallem in den USA! Unfehlbare Prozessoren herzustellen geht nicht, Menschen tun dies und Menschen machen nunmal fehler und es gibt nichts unfehlbares...

Und für Private Nutzer ist dies irrelevant, bis heute wurde noch keine dieser Lücken offiziell ausgenutzt oder dies wurde bekannt.

Man muss erstmal in euer Netzwerk reinkommen um etwas tun zu können oder direkt im Netzwerk an einen Rechner sitzen der da dran hängt, es gibt auch vorher noch Firewall und co. zu Knacken!

Die Chance diese Lücken bei vorallem belanglosen Privatanwendern zu Knacken liegt laut meiner Glaskugel bei einem Verhältnis von 1 zu mehr als 10000000 oder gar mehr.

Mit diesen Spectre und Meltdown wird nur Angst verbreitet für normalanwender die sonst kein Plan von der ganzen Hardware/Software Materie haben, Hauptsache das teil Maus und Tastatur funktionieren und man sieht etwas auf dem Bildschirm!

 

[Katharsas]

Mal ne doofe Frage: brauchte man nicht, um Meltdown/Spectre auszunutzen Hardwarezugriff auf die Rechner?

Dann wären Privatrechner ja ohnehin kein lohnendes Ziel.

Man muss erstmal in euer Netzwerk reinkommen um etwas tun zu können oder direkt im Netzwerk an einen Rechner sitzen der da dran hängt, es gibt auch vorher noch Firewall und co. zu Knacken!

Falsch.
Man braucht keinen Hardware oder Netzwerk-Zugriff für einige der Lücken. Es recht, wenn Code des Angreifers auf dem angegriffenen Rechner ausgeführt wird. Javascript im Browser ist zum Beispiel fremder Code, der auf deinem Rechner läuft sobald du eine Seite mit Javascript besuchst.

Und deswegen haben die Browser-Hersteller es auch für Javascript schwieriger gemacht, die Zeit zu messen, weil ungenaue Zeitmessung es dem angreifenden Code schwieriger macht. Es gibt aber keine Garantie, dass nicht doch jemand einen Javascript-Angriff zusammenbastelt, auch wenn es schwierig ist.

Das heißt nicht, dass eine Angriff WAHRSCHEINLICH ist, aber möglich ist es allemal.

 

[k0ntr]

bedeutet das, dass eine 8600k von der Sicherheit her ein gutes Teil ist weil kein HT vorhanden?

 

[Beitrag]

Wenn ich SMT deaktiviere dann habe ich doch auch schon 50% weniger Leistung in entsprechenden Anwedungen.

Nö, unterm Strich wirst du mit deaktiviertem SMT besser fahren.

 

[ghecko]

bedeutet das, dass eine 8600k von der Sicherheit her ein gutes Teil ist weil kein HT vorhanden?

Nö, das bedeutet eher das dein Schweizer Käse ein Loch weniger hat das gestopft werden muss.

 

[Volkimann]

U.a. wird im Zitat von Intel AMD zitiert.

Das ist korrekt, aber das ist ja trotzdem das Statement von Intel.
Und was ein direkter Konkurrent da vom anderen zitiert... Nun ja

 

[ElGonzo]

Wenn ich SMT deaktiviere dann habe ich doch auch schon 50% weniger Leistung in entsprechenden Anwedungen.

Ne, ein HT/SMT Kern bringt maximal 25-30% der Leistung eines physischen Kerns. Deshalb mache es ja Sinn es abzuschalten und nur 20-25% Leistung zu verlieren anstatt 50% durch den Patch..

 

[Iscaran]

AFAIK braucht AMD aber um Spectre V2 zu patchen eben nur IBPB - bzw. IBPB + Retpoline und daher wird eben von STIBP abgeraten:
https://developer.amd.com/wp-conten...Guidelines_Update_Indirect_Branch_Control.pdf

Gegen V2 empfiehlt AMD wenn möglich Retpoline als ausreichenden Schutz:
https://developer.amd.com/wp-conten...sforManagingSpeculation_WP_7-18Update_FNL.pdf


Unter Windows gibts halt kein Retpoline - weshalb man hier eigentlich @AMD zumindest auf IBPB setzt...der Vektor übers SMT von AMD-CPUs ist deutlich schwerer zu bewerkstelligen als derselbe Vektor über Intels-HT.

EDIT: https://portal.msrc.microsoft.com/de-de/security-guidance/advisory/ADV180002
https://support.microsoft.com/de-de...ive-execution-side-channel-vulnerabilities-in

Auch hier wird seitens Microsoft immer nur von IBPB in Kombination mit microcode geredet.

Das ist auch der Grund warum AMD @windows IBPB als "ausreichenden" Schutz ansieht. Die einzige theoretisch Angreifbare Lücke bleibt dann der User-Kernel-Wechsel BEI Verwendung von SMT für BEIDE Prozess-Kontexte.

EDIT2: Der Grund dürfte wohl sein dass AMD CPUs mit SMEP und SMAP 2 features haben die STIBP übeflüssig machen da eben genau eine Kontext-Prüfung des Prozesses (z.B. User->Kernel-Space Wechsel) stattfindet bevor der betreffende Sprung bzw Code ausgeführt wird.

"In addition, newer and future AMD products support additional security features (such as SMEP, SMAP, IBC) which are particularly useful in controlling speculation across kernel/user privilege boundaries."

https://developer.amd.com/wp-conten...sforManagingSpeculation_WP_7-18Update_FNL.pdf

Beim Phoronix-Test waren übrigens die Mitigations für AMD und Intel BEIDE voll aktiviert. Dennoch brach die Epyc Performance kaum ein. Evtl. eben auch ein Hinweis darauf das die Mitigations hier verschieden "krasse" Auswirkungen haben eben bedingt durch die CPU-Arch.

Aber es blieben auch noch Fragen beim Phoronix-Test und man hofft darauf dass sich noch Intel und AMD extra zu Wort melden um die Resultate zu kommentieren.

 

[manfredham]

Oder auf österreichisch "ghupft wie ghatscht"

"jumped as walked" ist im übrigen der korrekte englische Ausdruck.... :-)

 

[blub1991]

Wenn ich SMT deaktiviere dann habe ich doch auch schon 50% weniger Leistung in entsprechenden Anwedungen. Ist also gehupft wie gesprungen (wie man in Bayern sagen würde). Grundsätzlich stimme ich aber den Aussagen von Intel / AMD zu. Wir wollten die Leistung und sind die Leistung auch gewohnt. Wir können ja nicht ins Steinzeitalter der CPUs zurückgehen.

SMT bringt so etwa 20-30% Leistung in einigen Szenarien, solange du die Cores nicht vollständig belastest. SMT selbst bringt keine zusätzliche Rechenleistung, sondern sorgt dafür, das die vorhandene besser genutzt wird, indem es den Wechsel zwischen Threads schneller macht.

 

[IceKillFX57]

Die Frage ist nur eben wann sind alle belastet und wann nicht?
Bei mir kann ich die CPU mit und ohne HT/SMT laut Taskmanager zu 100% belasten. Es hat immer Performance vorteile oder nachteile

 

[Kristatos]

Trotzdem eine Riesen-Sauerei. Jetzt soll ich meinen i3 zu einem Pentium degradieren.... Nein Danke.

 

[Freiheraus]

Hat den Artikel ein gewiefter Hobbypolitiker geschrieben oder ein neutraler Hardwareredakteur? Redet viel, sagt wenig (aus) und schweigt an essentiellen Punkten/Stellen. Nach dem Lesen haben sich mehr Fragen aufgetan als beantwortet wurden.

 

[WinnieW2]

Natürlich nur im besten Fall, im schlechtesten Fall bringt es 0 oder kostet sogar ein wenig Leistung. Der Mittelwert in Praktischen Anwendungen dürfte da eher zwischen 20 und 35 Prozent mehr Leistung liegen.
Also je nach Anwendungsfall kann SMT aus tatsächlich bis zu 50% Leistung kosten. Praktisch wird dieser Wert aber so gut wie nie erreicht.

Ok, ich hatte da wohl einen Denkfehler...
Erinnerung an mich selber:
Ich sollte nicht mit leerem Magen und Hunger kurz vor dem Mittagessen noch Beiträge posten.

Es geht also hier um den Vergleich zweier Methoden um Spectre-V2 zu fixen u. deren Auswirkungen auf die CPU-Performance.
Die Antwort dürfte lauten: Es hängt vom jeweiligen Anwendungsfall ab welche Methode die besser geeignete ist.

Die Frage ist zudem ob der normales Desktop-PC durch Spectre-V2 so stark gefährdert ist... wobei allerdings auf den meisten Desktop-PC ohnehin Windows läuft u. man sich da nach MS richten muss wie dieser Spectre fixt.

Die Betrachtung hier bezieht sich auf Linux welches auf Server und Workstations läuft.

 

[deo]

Als Privatanwender kann man ja persönlich die Konsequenz ziehen und anstatt eines i7-8700 einen i5-8600 kaufen. Beim i5 wird der Leistungsverlust kaum der Rede wert sein und spart sich den Aufpreis für HT.
Wieso sollte man denn noch eine teurere CPU mit HT kaufen, wenn es eh deaktiviert wird?
Ebenso kann man im Office einen i3-8100 anstelle eines Pentium G5400 nehmen. Der i3 ist sogar schneller ohne HT.

 

[M-X]

@Ozmog

Da gehts natürlich auch im rechtliche Aspekte - Darf ich als VM User sensitive Daten auf eine VM Laden wenn diese nachweislich nicht sicher ist. Der VM Anbieter, kann mir die Sicherheit ja nicht garantieren.

Kein Anbieter kann dir 100% Sicherheit garantieren, wenn ist er nicht seriös.

Und für Private Nutzer ist dies irrelevant, bis heute wurde noch keine dieser Lücken offiziell ausgenutzt oder dies wurde bekannt.

Man muss erstmal in euer Netzwerk reinkommen um etwas tun zu können oder direkt im Netzwerk an einen Rechner sitzen der da dran hängt, es gibt auch vorher noch Firewall und co. zu Knacken!

Richtig nicht bekannt, das heißt nicht das es nicht schon ausgenutzt wird.
JavaScript im Browser reicht auch, kein Grund vorher sicher mit der Firewall anzulegen.

 

[c2ash]

Hyperthreading bringt laut Intels eigenen Papers maximal 15% Leistungszuwachs. Immerhin werden hier ja nur Register redundant ausgelegt und diese dann im Hintergrund "vorbereitet", damit die bei der Arbeitsumschaltung nötige Registervorbereitungszeit nicht nötig ist.
Aber für die Zukunft einfach nur noch auf die physischen Kerne achten und wohl SMT einfach abschalten.

 

[cbtestarossa]

Javascript gehört genauso wie Flash aus jedem Browser verbannt.
Dient eh nur noch für Spionage, Tracking und Werbung.

Wenn wer eine Seite mit Login hat soll das serverseitig bewerkstelligen.
Und sonstige Drittanbieterframes kann man sicher auch ohne JS einblenden.

Und wo SMT gut skalieren soll ist Videos encoden. Zuwächse mit SMT angeblich bis 90%.