News Meltdown & Spectre: Details und Bench­marks zu den Sicherheits­lücken in CPUs

[yummycandy]

Gibt es eigentlich noch irgende eine 32 bit Linux Live DVD mit dem gepatchten Linuxkernel?
die meisten sind ja nur noch 64 bit.
Da könnte man schön testen.

Die hier sind ziemlich aktuell. https://cdimage.debian.org/cdimage/weekly-builds/i386/iso-dvd/

 

[HasseLadebalken]

Was den Microcode angeht, mag das bei Windows stimmen, allerdings ist das bei Linuxdistributionen dann sicherlich etwas anders, ein Microcodeupdate kommt bei Windows sicherlich erst weit nach dem Bootloader (equivalent bei Linux Grub2, bei Ubuntu jedenfalls stanardmässig).

Damit wird der Kernel geladen, praktisch ergänzt, bei Windows wird der Kernel nicht direkt ergänzt, da gibt es nur nen Haufen Software die dann nachgeladen wird, Treiber (in dem falle CPU, siehe Geräte-Manager) ist hier sicherlich ne schlechtere Sache als direkt über den Bootloader den Kernel des Betriebsystems um Informationen zur Hardware zu ergänzen.

Also wenn das ohne Bios/(U)EFI Update mit Microcode wo klappt, dann sicherlich mit Linux eher als mit Windows, das es dort genauso nicht funktioniert will ich allerdings nicht ausschliessen, dafür kenne ich mich mit Linux zu wenig aus.


Gruss HL

 

[xexex]

War ja klar das Microsoft jetzt diese Lücke ausnutzt um Win10 zu pushen, ich habe eigentlich auch nichts anderes erwartet.

Der Wahrheitsgehalt dieser Aussage lässt sich ja mit entsprechenden Benchmarks überprüfen. Fakt ist jedoch, dass die Patches unterschiedliche Auswirkungen auf unterschiedliche Systeme haben. Vor allem unter Linux hat man ja teilweise ganz andere Werte gesehen, was die Leistungsnachteile anbetrifft. Man denke nur an den "du" Test oder PostgreSQL.

Dass Microsoft den Windows 10 Kernel entschlackt hat um ihn auf Smartphones oder diversen anderen Geräteklassen einsetzen zu können, ist ja nun wirklich nichts neues.

Vor Windows 10/Server 2016 hat Microsoft die Schriften im Kernel gerendert. Das war jahrelang eine große Sicherheitslücke!
http://techrights.org/2015/06/25/font-insecure/
https://technet.microsoft.com/library/security/ms11-087

Mit aktuellen Versionen von Windows 10 wurde das nun komplett geändert.

The Windows 10 Anniversary update included a new always-on mitigation against GDI parsed fonts. Although, Microsoft only published information about it on its website six months later. Because blocking GDI parsed fonts caused so many issues for users, Microsoft needed to come up with a more effective workaround. Starting in the Anniversary Update, GDI font parsing is moved from kernel mode to a sandboxed user-mode AppContainer that has no capabilities, which is the minimum of privileges under a system-generated virtual account. It is worth noting that not all fonts are rendered using GDI APIs. For instance, Microsoft Edge uses the user-mode DirectWrite font-rendering engine.
https://www.petri.com/microsoft-quietly-moved-font-parsing-appcontainer-anniversary-update

With Windows 10, GDI font parsing is no longer performed in kernel mode. Instead, it is performed in a sandboxed user-mode process, fontdrvhost.exe, which executes in a highly-restricted, per-session AppContainer process under a limited-scope, system-generated virtual account. The AppContainer process is granted no Capabilities and minimal privileges. (When a process in an AppContainer requests access to a resource, the Windows security access check applies tighter rules than it does for traditional, non-AppContainer processes, granting access only if the resource explicitly grants access to it.)
https://blogs.technet.microsoft.com...dropping-the-untrusted-font-blocking-setting/

Was Meltdown angeht ist die Sache hier nun ganz einfach. Systeme älter als Windows 10 brauchen mehr Syscalls, werden entsprechend stärker verlangsamt und in Kombination mit älteren CPUs ohne PCID wird man dann auch entsprechend den Leistungsnachteil zu spüren bekommen.

EDIT:
Ein Anmerkung am Rande vom bereits geposteten Link.

It is important to note that this block applies only to font-rendering through GDI and not to other user-mode font-rendering engines such as DirectWrite which is used by the Microsoft Edge and Google Chrome web browsers.
http://news.thewindowsclub.com/drop-untrusted-font-blocking-setting-90041/

Chrome benutzt in den aktuelleren Versionen (seit letzten Jahr glaube ich) nicht mehr GDI zur Schriftendarstellung sondern DirectWrite und sollte von dem Leistungsnachteil unter Windows <10 weitgehend verschont bleiben. Wie es bei anderen Applikationen/Browsern aussieht ist mir nicht bekannt.

 

[cbtestarossa]

hm dieser ganze Mist passt mir gerade gar nicht. Muss mir was überlegen.
Wenn man wenigstens Licht am Ende des Tunnels sehen würde.

Da soviele Chips betroffen sind fragt man sich echt was tun.

 

[bellencb]

Unter Windows 8 und Windows 7 auf älteren Intel-CPUs erwarte man, dass „die meisten“ Nutzer Leistungseinbußen wahrnehmen werden.

Da hätte ich drauf wetten können.

 

[Recharging]

Mich nervts nur das ich da herumprobieren muss stundenlang und am Ende wars alles für die Katz.

Genau das, hab' damit auch 3 h zugebracht mit dem Erfolg, dass ich nachher nicht schlauer war aber die Zeit vergeudet habe. Mal schauen, warum da W7x32 so bockig ist oder wo der Fehler liegt.

 

[TheLastHotfix]

Microsoft kündigt ja jetzt schon an, dass besonders ältere Windows Versionen unter den Patches ächzen werden.
https://twitter.com/moixsec/status/950863758993354752
Ein Schelm wer Böses dabei denkt.

@steffen, dankeschön! Das ist sicherlich der umfangreichste und informativste Artikel im deutschsprachigen Raum zum Thema.

 

[cbtestarossa]

Ich kapiere die Logik nicht.
Denn wenn es unter 32 bit nicht funktionieren sollte, aus irgend einen Grund auch immer,
warum zur Hölle gibts dann den Patch auch dafür.

Microsoft kündigt ja jetzt schon an, dass besonders ältere Windows Versionen unter den Patches ächzen werden.

Naja Spieler nutzen eh Win10 64bit.

Ich weiche dann auf Linux64 bit aus.
Wollte mich eh schon mal mehr mit WINE beschäftigen.

Sind eh nur ein paar Programme die ich halt unter Linux vermisse.
War ne schöne Zeit mit MS. Aber irgendwann reichts dann doch.

 

[aldaric]

Na man muss aber dazu sagen, dass sie auch erwähnen das z. B. bis Haswell auch Windows 10 Nutzer die Leistungseinbußen spüren werden. Sprich die ganzen Leute mit nem 4790k/4690k (die ja doch sehr sehr verbreitet sind, da danach kaum noch Leistungssteigerung kam bis CFL) sind also auch unter Windows 10 betroffen und werden die Leistungseinbußen laut MS spüren.

Tolle Wurst Intel, tolle Wurst.

 

[Pure Existenz]

Naja Spieler nutzen eh Win10 64bit.

Ich sitz hier an meinem W7 32...
Und auch mein Rechner bleibt bei W7 64Bit...

Also nein!


Warum alle sich die Zeit totschlagen damit...
Wartet doch einfach bis die Meldung kommt: Final-Update.

 

[DFFVB]

Ohkay, sprich alle die kein BIOS-Update kriegen sind am Arsch, weil der VMWare Trick auch nicht geht... (hat sich ja keiner mehr gemeldet, bei dem es damit trotzdem hingehauen hätte?) Bleibt nur zu hoffen, dass unter Linux der Microcode integriert wird... aber ich sag mal so: Alte Hardware ist ja ohnehin eher für Linux geeignet *duckundweg* werde ich wohl bald einen neuen alten AllinOne von meiner Mom abstauben... mal sehen was der noch taugt... ^^ Ein ZenBook hätte ich dann auch noch über...

Andererseits kann man sich bestimmt auch fragen: Mut zur Lücke? Wie kann das überhaupt ausgenutzt werden? Vermutlich wird Spectre 2 nun der größere Krampf als 1... wäre schön, wenn man das im Auge behält... ggf. gibt es ja erträgliche Workarounds....

@cbtestarossa: Sorry, ich dachte Du hättest die ganzen Links zur Performance gepostet... zumindest was ich da gesehen habe war definitiv vernachlässigbar...

@Avira
Also da werde ich doch morgen direkt mal ne Abmahnung rausballern, eigtl. nicht mein Stil, aber das ist wirklich dreist.. .meldet es gerne euren Verbraucherzentralen... weil die Flachzangen da ohnehin keine Ahnung haben, könnt ihr den entsprechenden Paragrafen gleich mitschicken: §5 Abs. 1 Nr. 1 bzw. 5 UWG. Das geht ja mal gar nicht... @Steffen wäre nice, wenn ihr da was schreibt... ansonsten noch dickes Kompliment, wie Du dran bleibst, CB ist hier wirklich führend... die Jungs von Golem scheinen noch alle im Winterurlaub zu sein

 

[xexex]

Denn wenn es unter 32 bit nicht funktionieren sollte, aus irgend einen Grund auch immer,
warum zur Hölle gibts dann den Patch auch dafür.

Der Patch behebt ja nicht nur die Meltdown Lücke.

7. I have an x86 architecture and the PowerShell Verification output indicates that I am not fully protected from these speculative execution side-channel vulnerabilities. Will Microsoft provide complete protections in the future?

Addressing a hardware vulnerability with a software update presents significant challenges and mitigations for older operating systems that require extensive architectural changes. The existing 32 bit update packages listed in this advisory fully address CVE-2017-5753 and CVE-2017-5715, but do not provide protections for CVE-2017-5754 at this time. Microsoft is continuing to work with affected chip manufacturers and investigate the best way to provide mitigations for x86 customers, which may be provided in a future update.
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/adv180002

Mal vereinfacht erklärt:

"Schuld daran" dürfte in erster Linie die komplett andere Speicherverwaltung sein. Unter Windows 32-bit teilt sich das System den adressierbaren Speicherbereich mit Anwendungen. Standardmäßig kann das System auf 2GB Speicher zugreifen und die Anwendungen bekommen die anderen 2GB. (Kann mit /3GB beeinflusst werden)

Bei einem 64-bit Windows bekommt jede 32-bit Anwendung nun "ihren" 4GB Speicherbereich und 64-bit Anwendungen den entsprechend angeforderten Speicher. Diese "virtuellen" Speicherbereiche werden nun vom Kernel entsprechend auf den physikalischen Speicher gemappt.

Microsoft sagt auch nicht, dass sie nie einen Fix für 32-bit Systeme veröffentlichen werden, da aber die größte Gefahr durch Meltdown auf VMs besteht und vermutlich niemand ein 32-bit System als Host für VMs einsetzen wird, ist die Dringlichkeit nicht gegeben.

 

[Mort626]

Ich habe vor dem Update für Windows 10 mal einen kurzen Test mit Prime95 und y-cruncher gemacht. Beides sind ja extrem RAM-lastige Programme (wenn ich das richtig verstanden habe). Es war kein Performance-Unterschied zu sehen, die 250.000.000 Stellen von pi hatte ich sogar 5% schneller als vor dem Update berrechnet.
Prozessor ist ein ryzen 5.

 

[Arcturus128]

@Avira
Also da werde ich doch morgen direkt mal ne Abmahnung rausballern, eigtl. nicht mein Stil, aber das ist wirklich dreist.. .meldet es gerne euren Verbraucherzentralen... weil die Flachzangen da ohnehin keine Ahnung haben, könnt ihr den entsprechenden Paragrafen gleich mitschicken: §5 Abs. 1 Nr. 1 bzw. 5 UWG. Das geht ja mal gar nicht...

Da hast du absolut recht, ich habe es auch bereits der Verbraucherzentrale gemeldet.

Ich habe diesen Text verwendet, den kann hier gerne jeder kopieren und auch an die bzw. seine Verbraucherzentrale senden:

Spoiler

Sehr geehrte Damen und Herren,

Avira verstößt gegen § 5 Abs. 1 Nr. 1 und 5 UWG.

Es wird hier beworben, dass Avira vor den aktuell bekanntgewordenen, massiven Sicherheitslücken Meltdown und Spectre schützt: https://www.avira.com/de/intel-security-flaw

Dies ist insofern ein Verstoß gegen vorgenannte Bestimmung, als ein Virenscanner technisch nicht in der Lage ist, vor Meltdown und Spectre zu schützen. Es sind Hardware-Bugs und gerade weil ein Virenscanner grundsätzlich nutzlos ist sind diese so brisant bzw. kritisch.

Darüber hinaus fehlt auf der verlinkten Webseite das Impressum gänzlich (Browser: Chrome und Edge).

Sie als Verbraucherzentrale können abmahnen; bitte gehen Sie im Interesse aller Verbraucher gegen diese irreführende Werbung vor.


Mit freundlichen Grüßen

Natürlich ist es für mich (der wahrscheinlich kein BIOS-Update für den Laptop erhält) erschreckend, dass nun der Workaround mit VMware offenbar doch nicht funktioniert. Im Interesse aller Kunden sehe ich es als Microsofts Pflicht an hier nachzubessern und ein nachträgliches Microcode-Update ohne BIOS-Update zu ermöglichen. So erhält jedes noch so alte System (Windows vorausgesetzt) dann den benötigten Microcode, unabhängig von den OEMs.

 

[Dimos]

Da hast du absolut recht, ich habe es auch bereits der Verbraucherzentrale gemeldet.

Ich habe diesen Text verwendet, den kann hier gerne jeder kopieren und auch an die bzw. seine Verbraucherzentrale senden:

Spoiler

Sehr geehrte Damen und Herren,

Avira verstößt gegen § 5 Abs. 1 Nr. 1 und 5 UWG.

Es wird hier beworben, dass Avira vor den aktuell bekanntgewordenen, massiven Sicherheitslücken Meltdown und Spectre schützt: https://www.avira.com/de/intel-security-flaw

Dies ist insofern ein Verstoß gegen vorgenannte Bestimmung, als ein Virenscanner technisch nicht in der Lage ist, vor Meltdown und Spectre zu schützen. Es sind Hardware-Bugs und gerade weil ein Virenscanner grundsätzlich nutzlos ist sind diese so brisant bzw. kritisch.

Darüber hinaus fehlt auf der verlinkten Webseite das Impressum gänzlich (Browser: Chrome und Edge).

Sie als Verbraucherzentrale können abmahnen; bitte gehen Sie im Interesse aller Verbraucher gegen diese irreführende Werbung vor.


Mit freundlichen Grüßen

Natürlich ist es für mich (der wahrscheinlich kein BIOS-Update für den Laptop erhält) erschreckend, dass nun der Workaround mit VMware offenbar doch nicht funktioniert. Im Interesse aller Kunden sehe ich es als Microsofts Pflicht an hier nachzubessern und ein nachträgliches Microcode-Update ohne BIOS-Update zu ermöglichen. So erhält jedes noch so alte System (Windows vorausgesetzt) dann den benötigten Microcode, unabhängig von den OEMs.

Danke, habs auch gerade meiner geschickt.Avira war mir mit ihrer penetranten Art und ihrer schlechten Software noch nie Sympatisch.

 

[Pure Existenz]

Deswegen kam bei mir Avira schon lange weg.
Hatte immer das Gefühl, dass ich einen Trojaner hatte...
Werde es auch abschicken.
Danke für den Text.

 

[Dimos]

Deswegen kam bei mir Avira schon lange weg.
Hatte immer das Gefühl, dass ich einen Trojaner hatte...
Werde es auch abschicken.
Danke für den Text.

Jup, und besonders schneidet Avira in Av Test auch selten besonders ab, da gibt es deutlich bessere Lösungen.

 

[RaptorTP]

Update 14

also Beispiel-Code zum Demonstrieren und Nachvollziehen der Sicherheitslücke.

kleiner Fehler


Danke für die ganzen Updates

 

[inge70]

DOS gibt es schon lange nicht mehr vor dem Windows Start Wie frühzeitig die Mitigation geprüft/aktiviert wird weiß ich nicht. Kann gut sein das man mit dem Fling keine Chance hat.

Das weiß ich auch, dass es DOS nicht mehr gibt. Kenne es ja selbst noch aus Win3.1 Zeiten

Aber das prinzip wäre ein solches, um den Microcode in Windows aktualisieren zu können, wobei ich nicht weiß ob das funktionieren würde. Ich teste das mal, wenn ich daheim bin. Laptop mit Win-Stick booten und über den Reperaturmodus in die Eingabeaufforderung gehen. Anschließend das vmware-tool testen ob es sich nutzen lässt. Beim Boot per Win-Stick sollte Windows ja noch nicht den Microcode geprüft haben. Schauen wir mal. Wäre ja klasse, wenn das so klappen würde.

 

[Benji18]

Leute ich wollte mir bis Juni nach und nach mein System aufbauen, mit 8700k 1080ti usw, meint ihr ich soll lieber warten? Denke neue Prozessoren ohne diesen Bug wird es erst ab nächstes Jahr geben?

das kannst du dir abschminken, das ist unsecure by design und ohne tiefgreifende änderungen in der architektur nicht behebbar auf HW ebene. Somit rechne eher mit 3-5 Jahren wenn intel das überhaupt fixen will auf ihrer HW.