News Windows 10: Neuer Intel-Microcode gegen Spectre V3a, V4 & L1TF

[Ned Flanders]

Hat jemand Performance Test? Wieviel das an Leistung kostet?

Also Spectre Mitigations Einschalten/Abschalten (via InSpectre) auf meinem Ryzen Sys bringt keinen auch nur messbaren Unterschied in den typischen Benchmarks. Definitiv eingeschaltet lassen!

Die Performance die man jetzt hat ist die, die herausgekommen waere wenn man auf Sicherheit geachtet haette.

Das Abgefahrene ist in der Tat, dass man sich nur mal das Urpaper der SideChannel Angriffe durchlesen muss (2005!).

Schon darin schlägt der Author vor, dass man unterschiedliche Privilige Domains von einander trennt. Also genau das, was AMD offensichtlich umgesetzt hat und Intel nicht.

 

[Andybmf]

mir als leihe, der solchen updates ausgeliefert ist, bleibt da immer wieder nur mal meine cpu zu benchen, um zu schauen, ob sich leistungsmässig etwas verändert hat.
wenn microsoft die sicherheits updates mit rein packt, komme ich ja fast nicht mehr daran vorbei.

ich würde am liebsten ganz darauf verzichten, weil es für mich als otto keinen sinn macht und ich mir keinen sorgen machen muss, dass ich so interessant bin, dass jemand diese lücken bei mir nutzt.

bei firmen, oder clouds und server sieht das ganze natürlich anders aus.
es ist aber für mich einfach nicht mehr nachzuvollziehen, was mit den updates gemacht wird, oder ob ich überhaupt welche bekomme.
jemand, der ein solches forum wie hier nicht regelmässig besucht, bekommt schlicht weg garnichts mit.

 

[tom221]

MSI hat die Tage auch ein BIOS-Update veröffentlicht (7B10v13) in der Beschreibung steht "Microcode Update" schützt das dann auch an die neuen "Spectre-Varianten"?

 

[Hitomi]

Mittlerweile sehr unübersichtlich diese Thematik.

Geht mir genauso. Ich klatsche auch einfach nur noch alle Updates rauf die über WU reinkommen. Alles andere wird nicht mehr beachtet.

 

[Wattwanderer]

Erstaunlich, dass Intel weiterhin CPUs verkauft ohne einen Plan dieses Problem zu beheben. Gerade in USA fallen ja die erstaunlichsten Urteile in Sachen Produkthaftung.

 

[Ned Flanders]

ich würde am liebsten ganz darauf verzichten, weil es für mich als otto keinen sinn macht und ich mir keinen sorgen machen muss, dass ich so interessant bin, dass jemand diese lücken bei mir nutzt.

Das ist ein weit verbreitetes Problem im Datenschutz. Du brauchst doch selber nichtmal interessant zu sein. Wer weiss was mit deinen Daten alles an Schindluder getrieben werden kann. Das Ding ist, dass wenn persönliche Daten einmal draußen sind, diese nicht wieder einzufangen sind, und damit Dinge veranstalltet werden können die du nicht willst.

Ich verstehe einfach so eine Einstellung nicht, dass man nicht gewillt ist 5% Performance zu opfern um ein möglichst sicheres System zu haben. Ganz prinzipiell. Schaltet ihr dann auch eure Firewall ab, weil das 3% Latenz kostet?

Spoiler: Simples Beispiel warum persönliche Daten persönlich bleiben sollten.

Hier ist so ein schönes Beispiel was für Konsequenzen lascher Umgang mit persönlichen Daten hat (ich wähle dieses Beispiel weil ich Genetiker bin).

 

[zweitnick]

Ihr zwei seid Teil des Problems. Die originale Performance kommt jetzt raus. Da wird nichts beeintraechtigt oder schlecht gemacht. Die Performance die man jetzt hat ist die, die herausgekommen waere wenn man auf Sicherheit geachtet haette. Eure Einstellung, Hauptsache Performance, Sicherheit ist egal, hat doch erst zu dem Problem gefuehrt.

Aber wir sind uns schon einig, das die Wahrscheinlichkeit, als 08/15 user einem Angriff ausgesetzt zu sein minimal ist? Und es ist meine Entscheidung ob ich dieses Risiko eingehen möchte oder nicht. Eine 30-50%ige Reduzierung der Performance ist jedenfalls für mich nicht akzeptabel, wäre ich in den USA, würde ich mich vermutlich einer Sammelklage anschließen...

 

[Miuwa]

Vielleicht sollte man das aktuelle Konzept von HT und SMT komplett beenden. Nur noch auf reale Kerne setzen oder HT von Grund auf neu machen.

Nur ein Teil der Lücken hat überhaupt was mit HT zu tun und der Vorteil von HT ist halt, dass es (gemessen an der nötigen chip fläche) recht viel Leistung bring. Von dem her macht "kein HT, aber dafür mehr echte Kerne" nur wenig Sinn.

(EDIT: Weil du durch das Weglassen von HT wahrscheinlich nichteinmal annähernd genug Platz für einen zusätzlichen Kern sparst.)

 

[mkdr]

Verdam.... wie kann ich den Dreck abschalten!? Ich bin weder Cloud Anbieter noch betreibe ich VMs. Ich will und brauch diesen Performance Krüppel-Mist nicht auf meinen PCs.

Ergänzung (28. November 2018)

Also Spectre Mitigations Einschalten/Abschalten (via InSpectre) auf meinem Ryzen Sys bringt keinen auch nur messbaren Unterschied in den typischen Benchmarks. Definitiv eingeschaltet lassen!

Völliger Schwachsinn. Außerdem ist InSpectre seit Windows 1809 verbuggt. Hab den Autor schon mehrfach angeschrieben. Reagiert nicht.

Besonders zu L1TF gab es bisher nirgens Windows 10 Desktop Performance-Vergleiche vorher/nachher. Und zu Spectre 3/4 auch nicht.

 

[Ned Flanders]

@mkdr

Was genau ist hier Schwachsinn?

 

[mkdr]

@mkdr

Was genau ist hier Schwachsinn?

30-60% SSD Verkrüppelung, besonders bei den wichtigen 4k Zugriffen, also überall im normalen Betrieb, allein schon Chrome öffnen dauert 50% mehr.

 

[Ned Flanders]

30-60% SSD verkrüppelung, besonders bei den wichtigen 4k Zugriffen, also überall im normalen Betrieb, allein schon Chrome öffnen dauert 50% mehr.

Auf welchem System? Bei mir definitiv nicht!

 

[Shagrath]

Aber wir sind uns schon einig, das die Wahrscheinlichkeit, als 08/15 user einem Angriff ausgesetzt zu sein minimal ist?

Nein, wir sind uns nicht einig. Solche Lücken könnten, da sie selbst via JavaScript dank der POC-Sourcecodes einfach zu implementieren sind, breitflächig über infizierte Sites und übernommene Server auch Normaluser angreifen, während diese einfach und nichtsahnend ihren Browser nutzen. Natürlich nur, wenn man vorsätzlich die Patches deaktiviert.
Die Browserdaten wie gespeicherte Passwörter und ggf. auch Daten anderer Prozesse (etwa Passwortmanager) könnten da schon interessant werden, selbst wenn der User das initial nicht war. «Gelegenheit macht Diebe.»

Man muss kein Rechenzentrumsbetreiber sein, um von gestreuten Angriffen getroffen zu werden. Die Betroffenheit wäre dann vielleicht aber groß, wenn man für selbst 10% oder ein paar FPS ingame seine Passwörter "veröffentlicht" hat.

 

[Andybmf]

Wer weiss was mit deinen Daten alles an Schindluder getrieben werden kann. Das Ding ist, dass wenn persönliche Daten einmal draußen sind, diese nicht wieder einzufangen sind, und damit Dinge veranstalltet werden können die du nicht willst.

was nichts an meiner meinung ändert, dass ich zu 99% nicht von interesse bin, dass diese sicherheitslücke bei mir ausgenutzt wird, um daten zu klauen.
ich spreche nur von mir und so habe ich es auch geschrieben.

und mit meinem 4790k, der schon oft genug an der kotzgrenze arbeitet und der wahrscheinlichkeit, dass ich mehr als 5% leistungsverlust habe, spielt das für mich eine erhebliche rolle.

 

[mkdr]

@Shagrath Völliger Blödsinn. Erstens haben die Browser eigene Schutzmaßnahmen integriert, daher ist auch der RAM Verbrauch von Chrome nochmal explodiert (10 tabs und 3GB RAM Nutzung, n Witz). Zweitens ist die Wahrscheinlichkeit wertvolle gezielte Informationen auszulesen gegen Null. Drittens würde es sonst wie lange dauern 16GB RAM mit 10kb/s auszulesen, da ist man von der Seite schon vor Tagen runter oder hat den PC aus. Dazu kommt noch, dass man nicht auf duibiosen Seiten surft, Scriptblock und Adware nutzt.

Ich will und brauch die Microcode Krüppelgülle nicht auf meinen PCs haben. Ich kann selber entscheiden, wie und wo ich surfe und was ich als sicher erachte.

 

[Shagrath]

Was "man" so tut und benutzt ist eine spannende Frage - insbesondere, wenn wie in obiger Annahme vom "08/15 user" die Rede ist.
Was Du brauchst und für Schwachsinn hältst bleibt ja Dir überlassen. Anderen Deine Sicht als die Weisheit per Axiom zu verkaufen halte ich hier für falsch.

 

[gur_helios]

Hallo zusammen

Microsoft bietet ja das Speculation Control Validation PowerShell Script zur Überprüfung der Verwundbarkeit eines Systems respektive CPU an.

LG Uwe

 

[Ned Flanders]

was nichts an meiner meinung ändert, dass ich zu 99% nicht von interesse bin

100% der User bei Facebook sind genau der gleichen Meinung wie Du, das ihre Posts für niemanden von Interesse. Gleichzeitig verdient Facebook sich eine goldene Nase mit den Daten der User.

Wenn Du Dich heute in deinem Browser bei der Sexfetisch Seite deiner Wahl einlogst oder aus einer Laune heraus den ISIS Blog liest weil dich mal interessiert was die da so posten, oder auf der geheimen Seite der türkischen Opposition ließt.... Alles Dinge die in manchen Ländern von interesse sind --- übrigens durchsaus auch für Verwandte von Dir. Und in 10 Jahren kommt raus, das die NSA/KGB (Geheimdienst Deiner Wahl) diese Lücken breit ausgenutzt hat (Nein, Nein, das machen die nicht), aber keiner konnte es wissen.... Und deine Tochter beschließt in die Politik zu gehen um die Geheimdienste mal wieder an die Kette zu legen, diese wissen aber alles über ihren Daddy und sowas wird ja in Wahlkämpfen nie verwendet.

Um den Sinn vom Schutz persönlicher Daten zu verstehen muss man halt mal seine Phantasie walten lassen. Siehe oben von mir geposteten Link. In spätestens 5 Jahren wird der genetische Fingerabdruck eines jeden US Bürgers öffentlich triangulierbar sein, weil eine Hand voll Idioten ihre DNA an Firmen wie 23andme geschickt haben. Nur ein Beispiel wie wichtig es insgesamt ist das die Leute auf ihre persönl. Daten achten.

Aber 5% Performance die kein Schwein spürt ohne ein Messgerät in der Hand zu haben... die sinds natürlich alles definitiv wert. Wie gesagt, schalt deine Firewall ab... das bringt nochmal 1-2% Latenz!

Wenns hier um 30%-50% Performance ginge, könnte ich es ja nachvollziehen. Aber 5%? Seriously?

 

[gur_helios]

Übrigens... Windows 10 (19H1) wird auf Google's Retpoline zur Mitigation der Spectre-Lücken basieren. MS Insider können dies jetzt schon austesten.

 

[metallica2006]

@cb
Bitte benchmarks machen mit allen Maßnahmen aktiv.

Danke