News Linux-Spectre-V2-Patch: 50 Prozent weniger Leistung oder SMT deaktivieren

[FreddyMercury]

Intel musste damals halt dad MHZ rennen gewinnen und soviel performance wie möglich raus holen, egal was es kostet. In dem Fall kostet es halt die security und die Architektur leidet darunter. Sind wir bald wieder Mitte 2000 mit der performance
AMD musste halt irgendwie nach ziehen

 

[s3bish]

50% Leistung oder eine minimale Sicherheitslücke stopfen. Option A.

 

[Pokerfail]

Seit Jahrzehnten wird angenommen, dass interpretierte Sprachen (Java, JavaScript, Python, Flash, ...) keinen Zugriff auf den Speicher des Hostprozesses haben (von Sicherheitslücken im Interpreter mal abgesehen). Dieser Annahme wird auf einmal der Boden unter den Füßen weg gezogen und hier kommen einige Leute auf die Idee, dass das für Privatanwender irrelevant ist. Kann mich jemand erhellen, wie man so schnell auf eine solche Einschätzungen kommt? Es ist doch illusorisch abzuschätzen, welche Interpreter alles betroffen sind (vermutlich jeder der eine ausreichend genaue Zeitmessung zulässt) und an welcher Stelle diese eingesetzt werden.

Ich wette mit dir dass ein guter Webdesigner alles ohne JS schafft.

Kannst du ohne JS denn Webseiten bauen, die Inhalte nachladen. Z. B. einen Chat, der mir ohne Neuladen der Seite neue Nachrichten anzeigt. So weit ich weiß, geht das nicht, aber ich lasse mich gerne eines Besseren belehren.

Zum anderen aber auch, weil deren Sprungvorhersage auf Ryzen, so weit ich das gelesen habe, sich selber trainiert.

So ganz stimmt das nicht. Sprungvorhersagen werden immer trainiert. Schließlich weißt du ja bei der Herstellung des Prozessors noch nicht, ob ein Sprung genommen wird oder nicht. Der Unterschied ist, dass AMD Prozessoren die ganze Adresse berücksichtigen während Intel Prozessoren nur einen Teil der Adresse berücksichtigen. Das macht es bei Intel Prozessoren natürlich wesentlich einfacher die Sprungvorhersage so zu trainieren, wie der Angreifer das gerne hätte.

 

[Krautmaster]

Das ist, gelinde gesagt, naiv. Weder fuehrt der Nutzer nur "Webcode" aus, noch ist sichergestellt, dass die Patches ueberhaupt alles abdecken. Ziemlich wahrscheinlich tun sie es nicht. Aber manche Menschen wollen nicht hoeren und muessen es erst fuehlen. Die werden mir garantiert nicht leid tun.

wenn es hier eine Pirvatperson trifft dann doch zu 99% nicht wegen dem eignen PC, sondern weil irgend ein Fremdsystem ein oftmals banales Leck hat. Dann sind Passwörter, Usernamen, Bankdaten im Umlauf. Auf ewig.

Da kannst du selber noch so viel patchen oder auf 50% Performance verzichten.

Ich wüsste nicht was für interessante Daten es bei mir geben sollte die für so einen Angriff von Interesse sein könnten. Bei dir?

Bei Betreibern virtueller CloudServer sieht das ggf. anders aus. Da ist der UseCase auch ein anderer. Und auch da dürfte es nicht leicht sein die relevanten Daten auszulesen.

 

[Sly123]

Glückwunsch an alle die sich ein 9900k gekauft haben

Die haben es doch noch ganz gut.
Die 8 Cores ohne HT bringen immer noch richtig Leistung.
Klar, ein i7-9700K hätte es dann auch getan...
Bei 4C/8T CPUs haut das aber (beim Gaming und Multi-Core Anwendungen) dann richtig rein, wenn man einen solchen Sicherheitspatch nutzt.

 

[m.Kobold]

Wie stell ich das nun nach? Ich hab hier am Server SMT an + Windows + Debian VMs. Jetzt darf mir gern mal jemand nen funktionierenden Angriff von außen erklären - und natürlich muss dieser Sinnvoll sein. Also zb ka, mein Debian Root Passwort im Klartext erbeuten.

Die meisten die hier Spectre Patches installieren denke wohl auch wirklich das man die Sachen in Klartext sieht... dabei zu ignorieren das etliche Informationen im Ram drin stehen und man hier die Nadel im Heuhaufen sucht.

Für große Serverfarmen ist das ein Thema, für mich als Privatanweder bestimmt nicht.

 

[Krautmaster]

selbst wenn. Was bringt dem Angreifer ein Passwort allein?

Für alle halbwegs relevanten Systeme setze ich ohnehin 2 Faktor an. Angefangen mit dem Mail Account mit Hilfe dessen man ja prinzipiell andere Passwörter resetten könnte. Das geht heute oft sehr komfortabel und unproblematisch.

Manchmal ist es erschreckend was für eigene komplexe Passwörter schon irgendwie nach draußen gelangt sind. User Name + Passwort ist schon lange nicht mehr sicher genug. Das hab ich neulich wieder gemerkt wenn aus China versucht wird 30 mal in Folge auf mein Steam Account zuzugreifen, offensichtlich mit nem alten Passwort auf irgend ner Liste dass ich auch für Steam drin hatte. Dank 2 Faktor war der Versuch vom Chinesen dann aber wohl fürn Arsch.

Ich kann nur jedem dazu raten gerade das, 2 Faktor, bei wichtigen Systemen, zu nutzen. Nicht wegen Spectre Meltdown usw, sondern wegen der Dummheit diverser Systeme die ein User / Pass Konstrukt angeblich sicher verwalten und die unbemerkt in irgendwelchen Rainbowtables wieder auftauchen.

 

[m.Kobold]

Die haben es doch noch ganz gut.
Die 8 Cores ohne HT bringen immer noch richtig Leistung.
Klar, ein i7-9700K hätte es dann auch getan...
Bei 4C/8T CPUs haut das aber (beim Gaming und Multi-Core Anwendungen) dann richtig rein, wenn man einen solchen Sicherheitspatch nutzt.

Die meisten Spiele brauchen doch immer nur noch 4kerne, nur weil es paar AAA games gibt die 6 oder 8 kerne unterstützen.

Nicht jeder zockt BF V (EA Titel) oder Tomb Raider (Ubisoft Titel). Lustigerweise werden nur noch diese Spiele bis zum erbrechen gebencht und dann wird so getan als gäb es keine anderes games mehr. 90% der Spiele auf Steam nutzen nicht mehr als 4 kerne.

 

[Pokerfail]

dabei zu ignorieren das etliche Informationen im Ram drin stehen und man hier die Nadel im Heuhaufen sucht.

Das stimmt auch nur so halb. Die Informationen im RAM haben durchaus eine Struktur. Deine Anwendung muss schließlich auch wissen, wo das Passwort steht. Also kann es nicht komplett zufällig im RAM liegen.

 

[Krautmaster]

ja, bei der Eingabe selbst zb. - die Tastatur nimmt ja quasi erstmal nur Buchstaben entgegen. Da muss man aber den Speicherbereich schon sehr gut eingrenzen können und möglichst schnell auslesen um da ein Passwort abzufischen.

Nach aktueller Informationslage dürfte das bei dem spekulativen Auslesen über Spectre entsprechend schwer sein. So schwer dass man sich schon fragen muss wann das bei einem Angriff Sinn ergeben würde.

Ich gebe ja nicht jeden Tag die Nuklearcodes ein.

 

[m.Kobold]

@Pokerfail
Ja mag sein, aber dann wünsche ich den Hacker viel spaß beim durchscrollen meines 16Gb Rams, da kommt freude auf

@Krautmaster
Gibt aber etliche Seiten wo man keine 2 Faktor Authentifizierung benutzen kann.

Ebay, GMX, Amazon fallen mir da spontan ein.

 

[Krautmaster]

das sind in meinen Augen aber auch kaum Systeme mit denen man größeren Schaden anrichten kann. Um dann zb sowas wie Empfänger oÄ zu ändern braucht man meist ja wieder den Zugang eines Zweitsystems.

 

[andi_sco]

... und nur einen 4-Core CPU habe, dann bringt SMT sehr viel Leistung. Wenn ich aber nicht immer nur das billigste kaufe, sondern mir gleich genug Kerne zulege, dann ist in echten Anwendungen SMT durch die Bank ein Hemmschuh, außer in irgendwelchen Benchmarks mit einer unbegrenzen Skalierung.
...

Intel hat bei Notebook CPUs leider vergessen, mehr als Dual Core + HT anzubieten

 

[Pokerfail]

@Pokerfail
Ja mag sein, aber dann wünsche ich den Hacker viel spaß beim durchscrollen meines 16Gb Rams, da kommt freude auf

So weicht ich das richtig gesehen habe, liest Spectre Werte aus dem virtuellen Speicher aus und nicht aus dem physikalischen (https://de.wikipedia.org/wiki/Virtuelle_Speicherverwaltung). Es ist daher völlig irrelevant, wie viel Speicher du in deinem System hast. Es ist für gewöhnlich fest, was eine Anwendung an welcher Stelle im virtuellen Speicher speichert. Das ist zwar auch nur eingeschränkt gültig, weil heute für gewöhnlich Address Space Layout Radomisation eingesetzt wird. Allerdings lässt sich das auch wieder umgehen.

 

[NoXPhasma]

Blöd, dann wird 4.20 übersprungen, standardmäßig will ich das nicht aktiv haben, evtl muss ich auch wieder downgraden da 4.19 nun auch den Patch bekommen soll.

Hat er sogar schon, der Kernel 4.19.2 wurde bereits am 13.11.2018 inklusive dem Patch veröffentlicht. Computerbase hat hier schlicht nicht ganz sorgfältig recherchiert. Aber als Linux Laie kann das passieren.

commit 233b9d7df0e114c7e7c3674559fb0fc41ada3e8f
Author: Jiri Kosina <jkosina@suse.cz>
Date: Tue Sep 25 14:38:55 2018 +0200

x86/speculation: Enable cross-hyperthread spectre v2 STIBP mitigation

commit 53c613fe6349994f023245519265999eed75957f upstream.

STIBP is a feature provided by certain Intel ucodes / CPUs. This feature
(once enabled) prevents cross-hyperthread control of decisions made by
indirect branch predictors.

Enable this feature if

- the CPU is vulnerable to spectre v2
- the CPU supports SMT and has SMT siblings online
- spectre_v2 mitigation autoselection is enabled (default)

After some previous discussion, this leaves STIBP on all the time, as wrmsr
on crossing kernel boundary is a no-no. This could perhaps later be a bit
more optimized (like disabling it in NOHZ, experiment with disabling it in
idle, etc) if needed.

Note that the synchronization of the mask manipulation via newly added
spec_ctrl_mutex is currently not strictly needed, as the only updater is
already being serialized by cpu_add_remove_lock, but let's make this a
little bit more future-proof.

Signed-off-by: Jiri Kosina <jkosina@suse.cz>
Signed-off-by: Thomas Gleixner <tglx@linutronix.de>
Cc: Peter Zijlstra <peterz@infradead.org>
Cc: Josh Poimboeuf <jpoimboe@redhat.com>
Cc: Andrea Arcangeli <aarcange@redhat.com>
Cc: "WoodhouseDavid" <dwmw@amazon.co.uk>
Cc: Andi Kleen <ak@linux.intel.com>
Cc: Tim Chen <tim.c.chen@linux.intel.com>
Cc: "SchauflerCasey" <casey.schaufler@intel.com>
Cc: stable@vger.kernel.org
Link: https://lkml.kernel.org/r/nycvar.YFH.7.76.1809251438240.15880@cbobk.fhfr.pm
Signed-off-by: Greg Kroah-Hartman <gregkh@linuxfoundation.org>

 

[M-X]

Javascript gehört genauso wie Flash aus jedem Browser verbannt.

Ich gehe davon aus du bist Erfahrener Webeinwickler und hast Lösungen für alles was heute mit JavaScript gemacht wird? Andernfalls will ich nicht wieder zurück und die Steinzeit weil intel seine CPU unsicher designed. Bei Flash gebe ich dir aber recht, das gehört wirklich weg.

 

[Pure Existenz]

Es wird Zeit, dass die Verbraucher und nicht die Interessen von Wirtschaft und Industrie geschützt werden.

Von was träumst du nachts? Für sowas kam der Gustl Mollath in die Psycho-Anstalt...

War nicht die wage Hoffnung oder Aussage, dass bei Ryzen 3xxx das Thema erledigt sei (zumindest für AMD)?

Solange das nicht behoben ist, kommt mir aus PRINZIP kein neuer PC ins Haus.
Im Gegensatz zu anderen hier kaufe ich "bewusst" und kann auch auf etwas verzichten!
Ich kann nicht von anderen erwarten, dass sie es tun, wenn ich nicht selber vorangehe.

 

[cbtestarossa]

Kannst du ohne JS denn Webseiten bauen, die Inhalte nachladen. Z. B. einen Chat, der mir ohne Neuladen der Seite neue Nachrichten anzeigt. So weit ich weiß, geht das nicht, aber ich lasse mich gerne eines Besseren belehren.

Irgend einen Spezialfall wird es immer geben.
Und wie schon gesagt es muss nicht alles im Browser laufen.
Es ist eine Unsitte alles in einen Browser zu verfrachten.
Weil das System dann überkomplex wird.

JS ist das neue Flash. Ich bleibe dabei.

Und HTML bleibt auch nicht stehen.
Vielleicht bauen sie ja noch etwas ein wo es ohne Seitenrefresh gepusht werden kann.

Übrigens kannst du ja auch selber googlen.
Vielleicht funktioniert das hier sogar.
Hab es mir nicht angesehen.

 

[druckluft]

Die Frage ist doch wie aufwändig solche Angriffe in der Praxis umzusetzen sind. Wenn es so einfach ist, wie oft dargestellt, wo bleiben dann die tatsächlich erfolgten Hacks?
Vermutlich wird es so sein, dass andere Sicherheitslücken, vor allem die in Software die einfacheren Angriffsvektoren darstellen.

 

[cbtestarossa]

Ich gehe davon aus du bist Erfahrener Webeinwickler und hast Lösungen für alles was heute mit JavaScript gemacht wird? Andernfalls will ich nicht wieder zurück und die Steinzeit weil intel seine CPU unsicher designed.

Ich muss auch kein Koch sein um zu wissen dass ich Fleisch braten oder kochen kann.

Nur weil heute alles in JS gemacht wird bedeutet noch lange nicht das es der Weisheit letzter Schluss ist.
Früher dachten auch alle wir machen alles in Flash. Bis der Mist nur noch Bloat war.