News Meltdown & Spectre: Details und Bench­marks zu den Sicherheits­lücken in CPUs

[Arcturus128]

Am Ende werden alle Updates raus sein, Bios Fixes verteilt und das ein oder andere Update des Updates um evtl. popligen Performance-Einbrüche auszubügeln. Klar bleiben einige "Betroffene" aufgrund alter etc. Hardware auf der Strecke, wie es nun mal immer so ist wenn ein größeres Thema sich so aufgebauscht hat.

Finde ich viel zu euphemistisch. Es ist ja fast jede Hardware kurz nach dem Kauf bereits wieder alt bzw. veraltet. Da ist es nicht akzeptabel die Produkte einfach zu ignorieren. Ich bspw. habe einen Laptop mit i3-5015U. Der wird (schätze ich mal) noch ein Microcode-Update bekommen - nur gab es die letzten BIOS-Updates kurz nachdem das Teil neu auf den Markt gekommen ist vor zwei Jahren und ich schätze da wird nichts mehr kommen. Ziemlich miese Situation.

 

[Steffen]

Das ist falsch übersetzt.

MS sagt, dass die (von AMD) an sie gelieferte Dokumentation zu manchen Chipsätzen fehlerhaft ist, diese sich also nicht so verhalten, wie von AMD beschrieben.

Oh wie peinlich, habe ich korrigiert, Danke!

 

[Alefthau]

Das müsste man vllt. zeitlich eingrenzen. Die FX CPUs haben überhaupt kein SMT, oder wie? Die wurden von Sandy Bridge vernichtet. Die einzelnen Kerne waren/sind einfach stärker, da gibt es nix dran zu rütteln. Hätte Intel einen Achtkerner ohne HT gebracht, wäre der Vergleich noch viel übler für AMD ausgegangen.

Die FX waren einfach nicht gut und ineffizient. Das kann man nicht mit den Athlon-Zeiten vergleichen, wo AMD häufig ganz objektiv das bessere Produkt hatte.

Nur hat SMT wohl in dem einen als auch in dem anderen Fall keine Rolle gespielt.

Wenn ich das Argument von fefe richtig verstanden habe, meint er wohl grob:

Ein Kern von Intel ackert ohne Rücksicht auf (sicherheitsrelevante) Verluste alles ab, es wird dabei nichts vorab geprüft und so die Latenz niedrig gehalten.

Ein Kern von AMD prüft genauer was er wann wie und wo lädt und hält sich an "Verbote", was ihn langsamer arbeiten lässt (Warteschlange) und so schneller einen neuen Thread erstellen lässt für andere anstehende Aufgaben.

Es geht ihm also weniger um HT und SMT, sondern darum, dass Intel-Kerne sozusagen mit Tempo 250 in der 30er Zone fahren, während sich AMD-Kerne an die Geschwindigkeitsbegrenzung halten!

Ob da jetzt was dran ist, müsste man genauer untersuchen und ich wage da erstmal kein Urteil drüber, auch wenn die These erstmal irgendwie in sich schlüssig klingt.

Gruß

Alef

 

[sternix]

Ich habe jetzt leider keine Zeit all die Kommentare durchzulesen, deshalb die Frage:

Es gibt 2 Varianten von Spectre, 1 von Meltdown. Ich habe einen Intel Prozessor, dies scheint ja auch eine wichtige Info zu sein.

1. Meltdown wurde über das Windows Update vom Januar komplett oder nur teileweise gefixt? Wenn nur teilweise, wird der restliche Fix dann durch das eventuelle Bios Update kommen?
2. Desweiteren habe ich im ASRock Forum gelesen, dass das Biosupdate herstellerunabhängig dann nur 1 Variante von Spectre fixen wird, da die andere dank der Prozessorarchitektur gar nicht fixbar ist.

Hab ich das Ganze so richtig verstanden?

 

[Alphanerd]

Oh wie peinlich, habe ich korrigiert, Danke!

Ajo. Kann bei so einem hohen Output ja auch Mal passieren. Auch von mir Mal einfach ein dickes Lob für deine Arbeit.

 

[inge70]

an diejenigen, die bereits ein bios-update mit neuem Microcode haben, welche Version des microcode ist es denn dann?

PS: Wer kein Bios Update mehr erhält, kann dann nur noch die vmware-variante, die hier im Thread angesprochen wurde, probieren sobald Intel den neuen microcode zum download verfügbar macht. warte auch schon darauf, da bei 2 alten Geräten nix mehr mit Bios kommt.

 

[Arcturus128]

Wird durch die Variante mit VMware dann bei jedem Booten des Systems das Microcode-Update in den Prozessor geladen?

 

[inge70]

soweit ich das verstanden habe JA. er wird aktualisiert und durch den Treiber, der installiert wird, entsprechend geladen. zumindest stand das so in der Anleitung, die hier auch schon verlinkt war.

Nachtrag: https://labs.vmware.com/flings/vmware-cpu-microcode-update-driver

 

[DFFVB]

@SterniX

Metldown: Wird durch Windows / OS gepatcht.
Spectre 2: CPUs ab Broadwell(?) brauchen Win+Microcode Update, die davor ist unklar, theoretisch sollte ein Win Update reichen...
Spectre 1: Wird anwendungsseitig gepatcht... die großen Browser-Hersteller sind durch...

 

[sternix]

@SterniX

Metldown: Wird durch Windows / OS gepatcht.
Spectre 2: CPUs ab Broadwell(?) brauchen Win+Microcode Update, die davor ist unklar, theoretisch sollte ein Win Update reichen...
Spectre 1: Wird anwendungsseitig gepatcht... die großen Browser-Hersteller sind durch...

Das hieße ja sofern man Browser, Windows und sein Bios aktuell hält ist man vor allen 3 Varianten geschützt. (Wenn die Updates verfügbar sind.) Also doch so einfach. Da bin ich ja erleichtert, muss ich nicht ewig recherchieren. Vielen Dank!

 

[Arcturus128]

Äh ne, für Spectre 1 muss jede Anwendung gepatcht werden. Wenn nur der Browser gepatcht wird ist auch nur der Browser sicher.

 

[Krautmaster]

Eine Theorie warum Intel durch den Bug jahrelang AMD betrogen hat um die Leistungskrone
https://blog.fefe.de/?ts=a4ac7405

Haha das ist der schlechteste Feed der mir seit langem untergekommen ist. Sry mir aber zu minimalistisch, unfundiert, parteiisch und unseriös.

 

[Smagjus]

Fefe untersucht gerne ungewöhnliche Theorien und schreibt diese dann vor dem Beenden des Gedankenganges auf. Da kommt dann manchmal sowas heraus, was auf sehr wackligen Beinen steht.

 

[DogsOfWar]

hab soeben mit diesem how too

http://forum.notebookreview.com/threads/how-to-update-microcode-from-windows.787152/

und diesem intel microcode update

https://downloadcenter.intel.com/download/27431/Linux-Processor-Microcode-Data-File

und dem von JorgeManuelSilva91 verlinktem amd microcode im how too weiter oben meinen i5 erfolgreich von microcode 42h auf 80h geuppt.

ziemlich simpel das ganze. einfach alle 3 downloads in einen ordner entpacken und dann die install.bat als admin ausführen und ne sekunde später wars das.



da ich mir nicht sicher bin ob Asus die z170er bretter mit bios updates versorgen wird hab ichs eben schnell selbst gemacht. ging ohne probs. hab nur alle programme geschlossen und Avira echtzeitscanner deaktiviert.

wichtig ist das ALLES in nur einen ordner kopiert werden muss. auch die einzelne microcode.dat aus dem intel archiv muss dort mit rein!!

 

[aldaric]

Natürlich steht das auf wackligen Beinen.

Es ist halt passend, dieser Bug ist entstanden zu einer Zeit als AMD gleichwertig war. Ich denke das es eine berechtigte Frage ist ob man durch diese Funktion (es gab keinen bekannten Exploit diese Lücke auszunutzen damals) den nötigen Geschwindigkeitsvorteil bekommen hat und wissentlich die Problematik in Kauf genommen hat.

Erfahren werden wir das vermutlich sowieso niemals.

Da AMD nun sowieso wieder aufgeschlossen hat, ist es ja Wurst.

Ergänzung:
Was Dr. Guss erzählt interessiert keinen. Schwarz auf Weiß sehen wir es, wenn es Benchmarks gibt und wirklich alle Fixes/Updates drin sind.

 

[DFFVB]

@sterniX: Theoretisch ja. Praktisch ist noch nicht ganz raus, wie das mit dem patchen der einzelnen Anwendungen gegen Spectre1 aussieht... das leichteste Einfallstor ist die Execution von JavaScript Code auch bei unprivilegierten Nutzern... dagegen sind die großen Browser gesichert (Brave bspw. noch nicht). D.h. ja, im Grunde genommen ändert sich nicht viel, im Gegensatz zu vorher, gesetzt man macht überall ein Update. Um die Spectre1 in anderen Anwendungen auszunutzen musst Du Dir andere Malware einfangen... also ähnlich wie vorher...

Ergänzung (9. Januar 2018)

@ Intel hat sich Wettbewerbvorteile verschafft.... einmal tief durchatmen und die hier die zumeist von @cbtestarossa geposteten Vergleiche anschauen... MANCHE SPIELE SIND JETZT SCHNELLER ALS VORHER! Hat der Dr. Guss auch im Interview gesagt... jetzt könnt ihr weiter Intel bashen....

 

[yummycandy]

@Steffen, ich hab das mal frech von Heise kopiert, beantwortet wichtige Fragen hinsichtlich Microcode etc.

CPU-Microcode-Updates

[Update:] In dem PDF-Dokument "Intel Analysis of Speculative Execution Side Channels" erklärt Intel, was es mit den Microcode-Patches auf sich hat. Gegen Meltdown ( CVE-2017-5754) sollen Updates des Betriebssystems helfen, unter Linux (K)PTI. Diese Updates bremsen allerdings die Performance bestimmter Software.

Jüngere Intel-Prozessoren ab der Generation Haswell (2013) alias Core i-4000/Xeon E5 v3 haben eine Funktion namens Process-Context Identifier (PCID), die die Leistungseinbußen durch die Meltdown-Patches verringert. Software aktiviert PCID über das Control Register CR4 des Prozessors (PCID Enable/PCIDE). Dann lässt sich in CR3 ein 12-bittiger PCID setzen, um die Speicherbereiche von bis zu 4096 laufenden Prozessen zu unterscheiden.

PCID funktioniert ohne BIOS- oder Microcode-Update.

Gegen die Sicherheitslücke Branch Target Injection (Spectre Variante 2, CVE-2017-5715) gibt es zwei Schutzverfahren. Beide verlangen bei Intel-Systemen ein Zusammenspiel von Updates des Betriebssystems mit CPU-Microcode-Updates, die neue Funktionen der Prozessoren freischalten.

Das erste BTI-Schutzverfahren verwendet drei neue CPU-Befehle, die Intel bei nicht näher genannten "modernen Prozessoren" per Microcode-Update nachrüstet: Indirect Branch Restricted Speculation (IBRS), Single Thread Indirect Branch Predictors (STIBP) und Indirect Branch Predictor Barrier (IBPB). Sie sollen auch in alle Prozessoren kommender Generationen eingebaut werden. Die genaue Dokumentation will Intel in einer künftigen Revision des Entwicklerleitfadens "Intel 64 and IA-32 Architectures Software Developer’s Manual" nachreichen.

Bei der zweiten BTI-Schutztechnik ersetzen Programmierer bestimmte Sprungbefehle durch ein Konzept namens "Return Trampoline" (Retpoline). Das funktioniert bei Intel-Prozessoren ab der Generation Broadwell (2015: Core i-5000, Xeon E5 v4) wiederum erst nach einem Microcode-Update. Letzteres wird üblicherweise per BIOS-Update eingespielt, einige Linux-Distributionen bringen aber auch Microcode-Updates mit. [/ Update]
https://www.heise.de/newsticker/mel...estaetigt-Performance-Auswirkung-3936956.html

 

[kisser]

hab soeben mit diesem how too

http://forum.notebookreview.com/threads/how-to-update-microcode-from-windows.787152/

und diesem intel microcode update

https://downloadcenter.intel.com/download/27431/Linux-Processor-Microcode-Data-File

Es ist bedauerlich, dass MS nicht direkt auf solch einfachem Wege µCode-Updates für Windows ermöglicht.
Die mcupdate_xxxx.dll werden allenfalls mal alle paar Jahre aktualisiert.
Klarer Pluspunkt für Linux.

 

[SaltyDog]

Also mein W7 x64 mit Ivy Bridge 3570k und Samsung 830 startet nach dem Einspielen des Patches KB4056897 (Security Only) definitiv langsamer als vorher. In den 5 Jahren hat sich das Windows-Logo beim Start noch nie ganz zusammengesetzt, nach dem jetzigen Update dagegen jedes Mal und das auch etwas länger.

War leider zu faul vorher und nachher Benchmarks zu machen. Interessant ist aber, dass der nicht repräsentative W7-Leistungindex der primären HDD (hier SSD) von 7,9 auf 5,9 gefallen ist. Was wohl aber mit irgendeinem Timer zu tun haben könnte... hier wurde ja gefixt. Ich nehme an das schlägt sich irgendwie in der Benchmarkermittlung nieder.

 

[DogsOfWar]

Es ist bedauerlich, dass MS nicht direkt auf solch einfachem Wege µCode-Updates für Windows ermöglicht.
Die mcupdate_xxxx.dll werden allenfalls mal alle paar Jahre aktualisiert.
Klarer Pluspunkt für Linux.

naja, wenigstens patchen per software microcodes wie bei mir. hatte seit dem update auf 1709/RS3 nach wie vor im bios den 0x42 bzw 42h und im windows dann ab 1709 den 0x5E. das is ja immerhin schonmal etwas! schlimmer find ich ehrlichgesagt den bios-update-rhythmus von Asus. Gigabyte bringt alle nase lang betas raus. selbst Asrock ist dahingehend vorbildlich. nur Asus..