Test Meltdown & Spectre: Benchmarks mit AMD und Intel unter Windows 7 und 10
- Ersteller Jan
- Erstellt am
- Zum Test: Meltdown & Spectre: Benchmarks mit AMD und Intel unter Windows 7 und 10
Ich frage mich ob ein Update in Windows ausreicht oder zusätzlich ein Bios Update notwendig ist?
Bei ASRock gibt es Bios Updates. Allerdings nur für neue Boards alla x299 und z370 und ein paar andere:
1. Update Skylake-X CPU Microcode to revision 3A and Kabylake-X CPU Microcode to revision 80.
Was muss ich mit meinem ollen Ivy Bridge beachten?
Bei ASRock gibt es Bios Updates. Allerdings nur für neue Boards alla x299 und z370 und ein paar andere:
1. Update Skylake-X CPU Microcode to revision 3A and Kabylake-X CPU Microcode to revision 80.
Was muss ich mit meinem ollen Ivy Bridge beachten?
BmwM3Michi
Vice Admiral
- Registriert
- Mai 2009
- Beiträge
- 6.818
du musst warten ob er noch ein bios-update bekommt, und falls nicht musst du mit der Sicherheitslücke leben
oder neu kaufen.
oder neu kaufen.
Banned
Admiral
- Registriert
- Sep. 2014
- Beiträge
- 9.833
Ich habe dieses Video hier entdeckt und finde, dass es einen sehr guten Überblick gibt:
https://www.youtube.com/watch?v=8FFSQwrLsfE
Vor allem werden Meltdown und Spectre auch getrennt betrachtet und verglichen bzw. voneinander abgegrenzt und unterschieden. Das habe ich bisher eher vermisst. Die Folien sind auch gut, um das Ganze besser zu verstehen.
Kann ich nur empfehlen für Leute, die eine etwas detailiertere Darstellung als die der News-Seiten wollen.
https://www.youtube.com/watch?v=8FFSQwrLsfE
Vor allem werden Meltdown und Spectre auch getrennt betrachtet und verglichen bzw. voneinander abgegrenzt und unterschieden. Das habe ich bisher eher vermisst. Die Folien sind auch gut, um das Ganze besser zu verstehen.
Kann ich nur empfehlen für Leute, die eine etwas detailiertere Darstellung als die der News-Seiten wollen.
Zuletzt bearbeitet:
S
Stuntmp02
Gast
Theoretisch reicht eine JavaScript Implementierung. Ich habe jetzt aber keine Daten darüber, wie sich JavaScript auf die Performance auswirkt, wobei ich von erheblichen Verlusten zur eh schon mauen Performance (123kb/s) rechne und ich bin mir auch nicht sicher, inwiefern die modernen Browser das erschweren oder verhindern, dass so eine Art von Code ausgeführt wird. Zumindest gibt es im Chrome eine entsprechende experimentelle Option "Strict Site Isolation". In der Theorie möchte ich diese Gefahr aber nicht abstreiten, auch wenn ich sie erneut für sehr abstrakt halte.
Nebenbei bemerkt halte ich es allgemein (unabhängig von Meltdown und Spectre) für sehr unrealistisch, das Passwörter überhaupt aus dem RAM gelesen werden können, sofern es sich nicht um einen geöffneten Passwort Safe handelt (hier fallen auch Browser gespeicherte Kennwörter), oder ich just in diesem Moment im Browser das Kennwort eingebe und die Position der Eingabe im RAM exakt bekannt ist. Kennwörter werden in der Regel nicht im Klartext gespeichert, sondern immer nur der jeweilige Hash-Wert. Ohne die exakte Implementierung von Steam, Origin und co. zu kennen gehe ich davon aus, dass nach der Eingabe des Kennworts bereits clientseitig ein Hash-Wert gebildet wird - andernfalls könnte man ja keine Option zum Speichern des Kennworts anbieten (außer man ist komplett wahnsinnig). Bei der Authentifizierung müsste dann der Hashwert übertragen und bei erfolgreicher Authentifizierung ein Sitzungsschlüssel generiert werden, der im RAM liegt, aber nur eine eingeschränkte Gültigkeit (zeitlich und auf das System beschränkt) hat und letztlich keinen größeren Wert für Angreifer darstellt. Auch kann man bei Windows keine lokalen Passwörter aus dem SAM auslesen, weil diese wie eben angesprochen als Hash gespeichert sind. Auf das Dateisystem kann man ohnehin nicht gezielt zugreifen. Einzig ein geöffneter Passwort Manager (KeePass / Browser Kennwörter) ist meines Erachtens nach gefährdet.
Auch hier stelle ich mir die Frage: Es ist wie überall auf der Welt: Ich möchte maximale Effizienz. Ich will so wenig wie möglich arbeiten für so viel wie möglich Geld. Wenn ich eine neue Festeinstellung finde, die mir die selben Leistungen für eine 24 Stundenwoche anbietet, dann werde ich wechseln. Wenn ich eine neue Festeinstellung finde, die mir das doppelte Gehalt für die gleiche Arbeit bezahlt, werde ich wechseln. Wenn ich mit krimineller Software arbeite, möchte ich möglichst schnell möglichst viel Geld schaufeln. Das würde ich derzeit definitiv mit einem Mining-Skript umsetzen, weil dieses praktisch überall lauffähig ist, garantiert profitabel arbeitet und der Implementierungsaufwand niedrig ist. Was kann ich dagegen mit Meltdown erreichen? Über 90% der Systeme sind heute schon dank Auto Update immun (und es werden jeden Tag mehr) und die Arbeit ist für die Katz, die Implementierung ist schwierig und der Ertrag niedrig. Jeder Hersteller von Antivirensoftware wird sich sofort wie ein Geier auf solche Scripte stürzen, damit man damit werben kann, erste Schadscripte von Meltdown zu blockieren. Das ist so ein typischer Fall von "Kann man so machen, macht aber keinen Sinn".
Trotzdem will ich die Lücke nicht kleiner machen als sie ist. Microsoft hat richtig gehandelt, den Patch automatisch ausgerollt und dennoch die Möglichkeit offen gelassen, das Verhalten via Registry zu verändern. Die Lücke war 20 Jahre lang aktiv, wurde vermutlich nie genutzt und ist im Keim erstickt, bevor sie sinnvoll genutzt werden konnte. Die Performance Auswirkungen sind aber schmerzhaft, meines Erachtens nach zu schmerzhaft. Für einen Standard Gaming-PC halte ich daher das Deaktivieren für sinnvoll, sofern man sich der Auswirkungen bewusst ist. Für die Masse ist Kernel Page Isolation erstmal das richtige Gegenmittel. Würden alle User KPI deaktivieren, wäre die Situation anders, dann wäre es lohnenswert(er), diese Lücke zu nutzen und die Gefahr größer. Jeder, der hier anderer Meinung ist, der muss sich nur entspannt zurücklehnen, denn KPI ist ja bereits aktiv, sofern man es nicht explizit deaktiviert.
Nebenbei bemerkt halte ich es allgemein (unabhängig von Meltdown und Spectre) für sehr unrealistisch, das Passwörter überhaupt aus dem RAM gelesen werden können, sofern es sich nicht um einen geöffneten Passwort Safe handelt (hier fallen auch Browser gespeicherte Kennwörter), oder ich just in diesem Moment im Browser das Kennwort eingebe und die Position der Eingabe im RAM exakt bekannt ist. Kennwörter werden in der Regel nicht im Klartext gespeichert, sondern immer nur der jeweilige Hash-Wert. Ohne die exakte Implementierung von Steam, Origin und co. zu kennen gehe ich davon aus, dass nach der Eingabe des Kennworts bereits clientseitig ein Hash-Wert gebildet wird - andernfalls könnte man ja keine Option zum Speichern des Kennworts anbieten (außer man ist komplett wahnsinnig). Bei der Authentifizierung müsste dann der Hashwert übertragen und bei erfolgreicher Authentifizierung ein Sitzungsschlüssel generiert werden, der im RAM liegt, aber nur eine eingeschränkte Gültigkeit (zeitlich und auf das System beschränkt) hat und letztlich keinen größeren Wert für Angreifer darstellt. Auch kann man bei Windows keine lokalen Passwörter aus dem SAM auslesen, weil diese wie eben angesprochen als Hash gespeichert sind. Auf das Dateisystem kann man ohnehin nicht gezielt zugreifen. Einzig ein geöffneter Passwort Manager (KeePass / Browser Kennwörter) ist meines Erachtens nach gefährdet.
Auch hier stelle ich mir die Frage: Es ist wie überall auf der Welt: Ich möchte maximale Effizienz. Ich will so wenig wie möglich arbeiten für so viel wie möglich Geld. Wenn ich eine neue Festeinstellung finde, die mir die selben Leistungen für eine 24 Stundenwoche anbietet, dann werde ich wechseln. Wenn ich eine neue Festeinstellung finde, die mir das doppelte Gehalt für die gleiche Arbeit bezahlt, werde ich wechseln. Wenn ich mit krimineller Software arbeite, möchte ich möglichst schnell möglichst viel Geld schaufeln. Das würde ich derzeit definitiv mit einem Mining-Skript umsetzen, weil dieses praktisch überall lauffähig ist, garantiert profitabel arbeitet und der Implementierungsaufwand niedrig ist. Was kann ich dagegen mit Meltdown erreichen? Über 90% der Systeme sind heute schon dank Auto Update immun (und es werden jeden Tag mehr) und die Arbeit ist für die Katz, die Implementierung ist schwierig und der Ertrag niedrig. Jeder Hersteller von Antivirensoftware wird sich sofort wie ein Geier auf solche Scripte stürzen, damit man damit werben kann, erste Schadscripte von Meltdown zu blockieren. Das ist so ein typischer Fall von "Kann man so machen, macht aber keinen Sinn".
Trotzdem will ich die Lücke nicht kleiner machen als sie ist. Microsoft hat richtig gehandelt, den Patch automatisch ausgerollt und dennoch die Möglichkeit offen gelassen, das Verhalten via Registry zu verändern. Die Lücke war 20 Jahre lang aktiv, wurde vermutlich nie genutzt und ist im Keim erstickt, bevor sie sinnvoll genutzt werden konnte. Die Performance Auswirkungen sind aber schmerzhaft, meines Erachtens nach zu schmerzhaft. Für einen Standard Gaming-PC halte ich daher das Deaktivieren für sinnvoll, sofern man sich der Auswirkungen bewusst ist. Für die Masse ist Kernel Page Isolation erstmal das richtige Gegenmittel. Würden alle User KPI deaktivieren, wäre die Situation anders, dann wäre es lohnenswert(er), diese Lücke zu nutzen und die Gefahr größer. Jeder, der hier anderer Meinung ist, der muss sich nur entspannt zurücklehnen, denn KPI ist ja bereits aktiv, sofern man es nicht explizit deaktiviert.
Aschenseele
Lt. Junior Grade
- Registriert
- Feb. 2016
- Beiträge
- 286
Bin ja gespannt ob die Verluste durch Spectre bei Ryzen genauso stark ausfallen. Und ich hoffe mal nicht.
Die Position kann man wohl ermitteln - insbesondere auf Intels und mit Meltdown:
siehe Video auf www.meltdownattack.com (aber gerade wohl etwas überlaufen)
Bei Spectre geht das prinzipiell ebenfalls und wesentlich leichter auf Intel Maschinen da hier der Branch-Predictor offenbar nicht mit vollständiger Speicheradressengenauigkeit arbeitet sondern nur "block" Weise im Cache verwaltet.
Details hier:
https://arstechnica.com/gadgets/201...e-and-meltdown-patches-will-hurt-performance/
@ MrJules:
bzw. hier für Spectre auch auf Deutsch sehr schön im Detail (mit einem Seitenblick auf ARM Prozessoren):
http://www.elektroniknet.de/design-...-meltdown-und-die-gegenmassnahmen-149200.html
Jedenfalls ist dieses Adressen "Flattening" (Ars-Technica) auch der Grund warum AMD soviel weniger unter Spectre anfällig ist dass es bislang noch nicht mal gelungen ist einen erfolgreichen Spectre Proof-of-concept vorzustellen der auf nem AMD rechner (Typ Ryzen) läuft).
irgendwie is das thema schon lustig
mir als nutzer in dem fall intel fehlt etwas leistung gut kann man vileicht mit leben
aber da zumindest mein board nicht das neuste is (Z87 FTW) wird es dafür vermutlich kein bios update geben und soweit ich das vestanden habe ist bei meltdown (intel) ein Bios update notwendig weil die software arlein da nicht reicht
wohin gegen zumindest AMD nutzer die selbst wen sie ähnliche leistungseinbußen haben würden wohl nicht zwingend ein bios update brauchen das scheint bei AMD(Spectre) nicht wirklich ein risiko zu sein und lässt sich wohl auch durch software verhindern
also in der summe kann es sein
intel nutzer mit alten system muss mit dem risiko leben oder neues system kaufen
AMD nutzer hat wohl eh kein reales risiko und muss da auch nicht wechseln um selbieges zu verhindern
da finde ich es schon lustig wie hier teilweise intel bis aufs blut verteidigt wird falls ich mir ein neues system kaufen muss wird das sicher kein intel sein
wie hier auch manche sagen was soll schon passieren lesen sie halt daten aus dem speicher ich vermute die meisten nutzer hier nutzen steam und co haben email accounts paypal oder online banking ich hätte schon was dagegen mit einer bekanten und offenen sicherheitslücke einfach auf risiko zu arbeiten
klar lange is nix passiert wobei nicht klar is was evt schon passiert is oder noch passieren kann klar is nur das es eine sicherheitslücke gibt die potenzell hochriskant is und nix anderes is es daten auch dem speicher auszulesen
jedenfalls is das für AMD ein geschenk sollte man wegen dem ganzen sein alten system entsorgen sei es aus realen risiko oder auch nur aus vorsicht solte der normal denkende mensch zu AMD gehen die aktuell auch sehr gute cpus haben
man stelle sich vor ein VW diesel fahrer wird wegen der diesel afäre mit seinen alten VW nichtmehr in die stadt dürfen kauft sich ein neues auto kaum einer würde sich wieder vw kaufen bei intel scheinen andere regeln zu herschen
mir als nutzer in dem fall intel fehlt etwas leistung gut kann man vileicht mit leben
aber da zumindest mein board nicht das neuste is (Z87 FTW) wird es dafür vermutlich kein bios update geben und soweit ich das vestanden habe ist bei meltdown (intel) ein Bios update notwendig weil die software arlein da nicht reicht
wohin gegen zumindest AMD nutzer die selbst wen sie ähnliche leistungseinbußen haben würden wohl nicht zwingend ein bios update brauchen das scheint bei AMD(Spectre) nicht wirklich ein risiko zu sein und lässt sich wohl auch durch software verhindern
also in der summe kann es sein
intel nutzer mit alten system muss mit dem risiko leben oder neues system kaufen
AMD nutzer hat wohl eh kein reales risiko und muss da auch nicht wechseln um selbieges zu verhindern
da finde ich es schon lustig wie hier teilweise intel bis aufs blut verteidigt wird falls ich mir ein neues system kaufen muss wird das sicher kein intel sein
wie hier auch manche sagen was soll schon passieren lesen sie halt daten aus dem speicher ich vermute die meisten nutzer hier nutzen steam und co haben email accounts paypal oder online banking ich hätte schon was dagegen mit einer bekanten und offenen sicherheitslücke einfach auf risiko zu arbeiten
klar lange is nix passiert wobei nicht klar is was evt schon passiert is oder noch passieren kann klar is nur das es eine sicherheitslücke gibt die potenzell hochriskant is und nix anderes is es daten auch dem speicher auszulesen
jedenfalls is das für AMD ein geschenk sollte man wegen dem ganzen sein alten system entsorgen sei es aus realen risiko oder auch nur aus vorsicht solte der normal denkende mensch zu AMD gehen die aktuell auch sehr gute cpus haben
man stelle sich vor ein VW diesel fahrer wird wegen der diesel afäre mit seinen alten VW nichtmehr in die stadt dürfen kauft sich ein neues auto kaum einer würde sich wieder vw kaufen bei intel scheinen andere regeln zu herschen
BmwM3Michi
Vice Admiral
- Registriert
- Mai 2009
- Beiträge
- 6.818
Mcr-King
Admiral
- Registriert
- Juli 2016
- Beiträge
- 7.211
Nee ironischer weise kaufen die meisten trotzdem wieder Intel oder VW oder Apple oder Samsung egal was die Konzerne auch machen irgendwie traurig.
Ich wäre so dreist und würde dass immer weiter ausnutzen Kunden wollen und gehören verarscht. ;-)
Ich wäre so dreist und würde dass immer weiter ausnutzen Kunden wollen und gehören verarscht. ;-)
demoin schrieb:
im bereich von 150 bis 400 euro was die leute so in der regel für cpus ausgeben is der abstand aktuell ehr gering insofern is uangefochten ne steile these oder hast du ne 2000 euro cpu im rechner
zwichen nen R7 1800X und einen 8700k liegen jetzt wohl ca 10% was in der praxis einiege frames sind 30 oder 33 60 oder 66 bei 60 euro mehr für den intel und in anwendungen is der ryzen besser insofern sehe ich intel aktuell nicht als alternativlos
Zuletzt bearbeitet:
S
Stuntmp02
Gast
Von "verarscht" zu reden, ist in diesem Kontext totaler Blödsinn, verarscht wurden Kunden von VW, wo wissentlich betrogen worden ist. Intel hat garantiert nicht den Fehler absichtlich gemacht, sondern es ist jetzt herausgekommen, das vor 20 Jahren ein Fehler begangen worden ist, dessen Korrektur eben nun über das OS erfolgen muss und Leistung kostet. Wenn du auf der Arbeit versehentlich einen Fehler machst, fühlt sich dein Chef doch auch nicht "verarscht" von dir, das passiert einfach und ganz sicher auch bei AMD, nur in diesem Fall jetzt nicht. Die Segfault Fehler bei AMD, fühlt ihr euch da auch verarscht, wenn ihr einen CPU mit diesem Bug habt? Was kauft ihr jetzt, da AMD und Intel euch alle nur verarscht?
S
Schugy
Gast
Jetzt gibt es Updates und viele wollen es nicht haben. Ich hätte zur aktualisierten Distro ja gern auch mal ein UEFI/BIOS-Update, dass ich unter Ubuntu oder von einem mit gub2 bootbaren Iso-Image auch einspielen kann. Mein Lenovo-Ranz ist nach allen Seiten offen (Version: A2CN23WW(V1.05) / Release Date: 07/08/2014). Auf 5% Leistung kommt es dabei nicht an. 
aldaric
Admiral
- Registriert
- Juli 2010
- Beiträge
- 8.226
AMD tauschte die CPU's aus. Intel tauscht gar nichts aus.
Auf den US-Seiten gibt es eine Theorie, die man einfach auch mal erwähnen sollte.
Wer sagt das diese Sicherheitslücke damals nicht wissentlich in Kauf genommen wurde, da es ja schließlich einen Performance-Vorteil für Intel CPU's dadurch gab. Es gab damals keine bekannten Exploits soetwas auszunutzen, also warum hätten sie es ändern sollen ? Anscheinend gab es ja erste Bedenken zu der Funktion schon 2002, wie in einigen Foren erwähnt wird, allerdings gab es auch da keine bekannten Exploits dafür. Natürlich kann es auch ein einfacher Fehler sein (was aber wohl einige Experten für falsch halten, da dies wohl jedem der in diesem Bereich arbeitet von vorneherein klar gewesen sein sollte).
Aber hier den Segfault Bug (wo die CPU's getauscht wurden) mit solch einem Fehler zu vergleichen, der Leistung kostet und keinen Austausch nach sich zieht, ist dann doch weit hergeholt.
Auf den US-Seiten gibt es eine Theorie, die man einfach auch mal erwähnen sollte.
Wer sagt das diese Sicherheitslücke damals nicht wissentlich in Kauf genommen wurde, da es ja schließlich einen Performance-Vorteil für Intel CPU's dadurch gab. Es gab damals keine bekannten Exploits soetwas auszunutzen, also warum hätten sie es ändern sollen ? Anscheinend gab es ja erste Bedenken zu der Funktion schon 2002, wie in einigen Foren erwähnt wird, allerdings gab es auch da keine bekannten Exploits dafür. Natürlich kann es auch ein einfacher Fehler sein (was aber wohl einige Experten für falsch halten, da dies wohl jedem der in diesem Bereich arbeitet von vorneherein klar gewesen sein sollte).
Aber hier den Segfault Bug (wo die CPU's getauscht wurden) mit solch einem Fehler zu vergleichen, der Leistung kostet und keinen Austausch nach sich zieht, ist dann doch weit hergeholt.
Mcr-King
Admiral
- Registriert
- Juli 2016
- Beiträge
- 7.211
Richtig und was Qualität von VW angeht naja mehr recht als schlecht ist aber BMW auch nicht besser.
So genügend off topic jetzt zurück zum Thema glaube auch dass Intel gehoft hat keiner merkt es, weil sorry 10 Jahre und nicht aufgefallen dann noch dass schweigen nee sorry riecht ja schon nach Lüge.
So genügend off topic jetzt zurück zum Thema glaube auch dass Intel gehoft hat keiner merkt es, weil sorry 10 Jahre und nicht aufgefallen dann noch dass schweigen nee sorry riecht ja schon nach Lüge.
Banned
Admiral
- Registriert
- Sep. 2014
- Beiträge
- 9.833
Aldaric87 schrieb:
Selbst wenn Intel könnte (was sie natürlich nicht können), gäbe es (anders als bei AMD) keinen triftigen Grund, die CPUs auszutauschen, weil die Probleme auf andere Weise zu beheben sind. Bei AMD hingegen lag ein Fertigungsfehler vor, da gab es nix beim User zu fixen.
Außerdem hat AMD keine große Rückrufaktion durchgeführt. Das wird zumindest indirekt gerne so dargestellt.
Es ist m.W. nicht bekannt, welche Chargen wirklich betroffen sind und ob man es überhaupt konkret eingrenzen kann. Ergo haben immer noch etliche Nutzer eine solche "fehlerhafte" CPU in ihrem Rechner.
Fängt man jetzt damit an, zu argumentieren: Das ist für den Normalo-User irrelevant, ist man auf dem gleichen Level, wie wenn man sagt, bis zu 10% weniger Leistung in Spielen ist für viele nebensächlich.
