Intel kämpft mit schwerer Sicherheitslücke (Update: Intel veröffentlicht Server-Benchmarks)

[oooverclocker]

Offiziell spricht intel nicht von einem Fix im Sinne von Fehler komplett behoben, sondern davon, dass es Änderungen im Chip wegen Spectre und Meltdown geben wird.

Das passt zu ihrer Aussage, vom Anfang des Monats, dass erste Chips kommen werden, die die Software Patches erleichtern sollen.
Ich vermute, da hat sich die Presse einen Bären aufbinden lassen. Mal wieder...

Ich verstehe nicht, warum von der Presse die Aussagen von verschiedenen Herstellern unterschiedlich interpretiert werden. Man hat schon das Gefühl, dass teilweise die Artikel am Ende 1:1 das wiedergeben, was der Hersteller an Verwirrung stiften wollte, während andere Statements dann komplett missinterpretiert werden, sodass ein Hersteller plötzlich richtig in Bedrängnis kommt - wegen gar nichts.

Es gibt auch so andere Seiten, wo dann plötzlich bei bestimmten Herstellern Benchmarks fehlen oder regelmäßig mal Benchmarks, wo man erwartet, dass der jeweilige Hersteller da total einbricht, komischerweise dann gerade nicht funktioniert haben...

So geht das einfach nicht weiter. Es sollte etwas mehr Wert auf Korrektheit und Unabhängigkeit gelegt werden. Sonst hat man leider den Eindruck, dass die Computer-Presse zwar an den Schlagzeilen verdienen möchte, dass alles kaputt sei, aber dann auch gerne wieder den Leuten neue Produkte andreht, ohne sie darüber zu informieren, dass die immernoch defekt sind, und vielleicht höchstens Vorkehrungen integriert haben, dass der Leistungsverlust durch Softwarepatches verringert wird.

 

[Holzmann]

Intel muss erstmal sichere CPUs liefern können, davon hängt einiges ab, Ruf in oder her.
Bis jetzt stimmt AMDs Behauptung einfach, da sie bis jetzt noch nicht angegriffen werden konnten, jedenfalls hat das noch keiner nachvollziehbar geschafft!, um die Kurve zum Thema wieder zu kratzen.

 

[kumberg12]

Für mich ist aktuell folgendes "Fact":

Meltdown (halte ich für am kritischsten): ist nur Intel betroffen - der MS Patch kostet definitiv Leistung und hat das ASUS NB meiner Tochter nahezu unbrauchbar gemacht.
Spectre: So ziemlich alle CPU Hersteller sind betroffen - Microcode/ BIOS Updates z. B. für mein X99 System gibt es nicht, da "ältere" Systeme - zum Glück - funktioniert lt. Intel eh nicht zuverlässig/ ohne Reboot. Erwarte mir da auch weitere Leistungseinbußen.
@Holzmann: Bis Dato wurde noch "niemand" bestätigt angegriffen, was sich rasch ändern kann. Bzgl. Spectre haben meiner Meinung nach so ziemlich alle CPU Hersteller das "Tor offen". NSA? Will mir meine nächste Einreise in XX nicht erschweren - lesen sowieso alles mit. AMD ist bzgl. Spectre definitiv angreifbar.

Sehe das Thema entspannt - plane sowie aufzurüsten/ mir einen neuen PC zusammen zu bauen. Da werde ich dann einfach entscheiden wer mit dem Thema am "Besten/ ehrlichstem" umgeht. AMD hatte ich z. B. eh schon lange nicht mehr.

l. G:
Karl

 

[Hardwareaner]

Ja wenn Klagen in den USA anerkannt werden sollten, dann wächst der Druck auch hier auf Intel, dann sollten Sie auch den dt. Kunden was anbieten, einen Rabatt bei Neukauf ZB einer fehlerfreien CPU, da benötigen sie ja dann auch noch was Zeit, bis sie diese liefern können.

Super, dann bekommst du halt 15€ Rabatt wenn du dir einen neuen i7 kaufst. Vorausgesetzt du beantragst den Rabatt und investierst entsprechend Zeit.

Was sind schon minus ~10% Leistung - nur mit dem MS Patch (~ Minus 50% bei NVME PCIE SSDs) und abstürzende/ nicht mehr brauchbare Rechner (älteres ASUS NB mit Intel CPU) ein Grund für Entschädigungen.l

Die 10% kann ich nicht bestätigen. Bei mir sind das in der Praxis weit weniger, idR sogar innerhalb der Messtoleranz. Das hängt aber auch vom Anwendungsszenario ab.
Die 50% bei SSDs sind Extremfälle in bestimmten Situationen, die werden nicht grundsätzlich 50% langsamer.

 

[kumberg12]

@Hardwareaner,

Die Leistungseinbußen sind natürlich abhängig von den Anwendungen/ HW für die man z. T. viel bezahlt hat - z. B. PCIe SSDs. Ich für meinen Teil bemerke definitiv die Einbussen auch in "Realität" - das bedeutet, dass die Einbussen z. T. sogar definitiv grösser als 10% sind (die würde man nicht einnmal ohne Benchmarks bemerken). Ist egal - in der EU werden die Kunden null Entschädigung für teuer gekaufte HW kriegen werden, die plötzlich um einiges langsamer ist. Da gibt es ein gutes Beispiel dafür.
l. G.
Karl

 

[Holzmann]

Eins ist sicher, nun kennt die ganze Welt diese Lücken erstmal.
Das Wettrennen zwischen Hackern und Intel hat begonnen ...

 

[Medi Terraner]

Hier mal ein kleiner Bench mit einer Samsung 850 Pro und Crucial MX100 (beide mit 512GB). Einmal mit 38er Microcode und einmal mit dem 3B.

Microcode #38


Microcode #3B


Wie man sieht, wirkt sich der 3B negativ in bestimmen Szenarien aus. Performanceunterschiede konnte ich im Betrieb keine feststellen.

Ich hatte mit dem 3B bisher noch keine Abstürze, Bluescreens oder ähnliches. Auch tauchen in der Ereignisanzeige keine Fehler auf.

 

[Hardwareaner]

Das Wettrennen zwischen Hackern und Intel hat begonnen ...

Jep, AMD wird auf alle Zeit immun gegen solche Lücken sein.

 

[Marcellus5000]

@Hardwareaner,

Die Leistungseinbußen sind natürlich abhängig von den Anwendungen/ HW für die man z. T. viel bezahlt hat - z. B. PCIe SSDs.

Wie u.a. auf dem einem Video von Heise schön erklärt, ist besonderst IO mit vielen kleinen Dateien betroffen. Das sieht man auch in SSD Benches. Je schneller ein Device, desto mehr fällt es auf.

- - - Updated - - -

Eins ist sicher, nun kennt die ganze Welt diese Lücken erstmal.
Das Wettrennen zwischen Hackern und Intel hat begonnen ...

Es ist nicht unüblich, das die Betroffenen eines Exploid ein halbes Jahr Zeit haben, bevor es veröffentlich wird. Intel ist (nur) einer davon... Die Hersteller haben also ein halbes Jahr Vorsprung in diesem Wettrennen.
Sehr viel auf die Strasse gebracht haben alle nicht. (AMD hat noch nichts an Microcodes rausgebracht und Intel zieht seine zurück).
Deinen Posts nach vemute ich, dass es Dir ggf. am liebsten wäre man hätte es nicht veröffentlicht. Ist das so?

 

[Holzmann]

Wie u.a. auf dem einem Video von Heise schön erklärt, ist besonderst IO mit vielen kleinen Dateien betroffen. Das sieht man auch in SSD Benches. Je schneller ein Device, desto mehr fällt es auf.

- - - Updated - - -



Es ist nicht unüblich, das die Betroffenen eines Exploid ein halbes Jahr Zeit haben, bevor es veröffentlich wird. Intel ist (nur) einer davon... Die Hersteller haben also ein halbes Jahr Vorsprung in diesem Wettrennen.
Sehr viel auf die Strasse gebracht haben alle nicht. (AMD hat noch nichts an Microcodes rausgebracht und Intel zieht seine zurück).
Deinen Posts nach vemute ich, dass es Dir ggf. am liebsten wäre man hätte es nicht veröffentlicht. Ist das so?

Das nicht, aber ich sehe immo noch keine wirkliche Lösung, zumal ich auch von einem fehlerhaften Bios Update betroffen bin. Der Lösungsansatz Retpoline klingt bisher am besten ...

 

[floogy]

Retpoline funktioniert unter Windows wohl nicht, da auch die Compiler angepasst werden müssen und alle betroffenen Treiber und Binaries entsprechend neu kompiliert werden müssten. Windows und Retpoline | heise forum

Microsoft arbeitet aber wohl an etwas vergleichbarem. Spectre mitigations in MSVC | Visual C++ Team Blog

 

[Fallwrrk]

Retpoline setzt voraus, dass jede Anwendung, die gegen Spectre abgesichert werden soll, neu kompiliert werden müsste. Und das ist unter Windows absolut unrealistisch.

 

[Holzmann]

Retpoline funktioniert unter Windows wohl nicht, da auch die Compiler angepasst werden müssen und alle betroffenen Treiber und Binaries entsprechend neu kompiliert werden müssten. Windows und Retpoline | heise forum

Microsoft arbeitet aber wohl an etwas vergleichbarem. Spectre mitigations in MSVC | Visual C++ Team Blog

Spectre v2:
"AMD benutzt im Gegensatz zu Intel keine Adress-"flattening" in der branch prediction. Da immer die volle Adresse genutzt wird bei AMD gibt es nicht die Möglichkeit anhand der bisher gezeigten Methoden, mittels einer vom Hacker kontrollierten Teiladresse die branch prediction auszutricksen und den Rest der Adresse mit Daten anderer Herkunft zu vervollständigen und dann auszulesen. Bisher ist es noch keinem gelungen Daten aus einer vollständigen Adresse auszulesen."

Spectre v1 ist was anderes - aber dagegen hilft nur software mitigation - oder ein völliges deaktivieren der spekulativen ausführung und das betrifft ALLE prozessoren die spekulativ arbeiten. Also eigentlich ALLES siet ca 1995 egal ob Intel, ARM, AMD usw....

Aber die Mitigations gegen Spectre v1 sind "relativ" simpel und effektiv müssen halt aber für jede anfällige Software, vor allem aber Browser, geschlossen werden via Softwarepatch. Firefox, Chrome, Safari sind ja schon gepatched. Firefox seit v57.0.4

 

[RAZ0RLIGHT]

Sind diese "Patches" bzgl. Meltdown final oder kommt da noch was, das die Performance beeinflussen könnte?

 

[Marcellus5000]

Das nicht, aber ich sehe immo noch keine wirkliche Lösung, zumal ich auch von einem fehlerhaften Bios Update betroffen bin. Der Lösungsansatz Retpoline klingt bisher am besten ...

Ja da hast Du wohl recht. Am 31.01 soll Intel wohl eine neue Info rausgeben. Muß für Retpoline nicht neu compeiliert werden oder verwechsle ich da etwas?

 

[Holzmann]

@Razorlight

Für Intel gilt der MS patch als final, aber du weißt doch das Meltdown nur per Software nicht behebbar ist, oder was meinst du genau?

Intel hat aber versprochen auch die Hardware zu fixen, bis wann ist noch unbekannt:
Intel-CEO verspricht Prozessoren ohne Meltdown-Problem | ZDNet.de

Intel-CEO verspricht Prozessoren ohne Meltdown-Problem | ZDNet.de

 

[Marcellus5000]

Sind diese "Patches" bzgl. Meltdown final oder kommt da noch was, das die Performance beeinflussen könnte?

Bei Spectre hat der Microsoft Patch nur Wirkung mit einen Microcode Update (Windows=UEFI Update, Linux=via OS)
Intel hat seine Microcode Updates zurückgezogen und AMD hat noch keine draussen. Final ist da leider nichts.

P.S. der MS Patch ist für Meldown und Spectre:

Powershell Check:

Spectre Part:
PS C:\WINDOWS\system32> Get-SpeculationControlSettings
Speculation control settings for CVE-2017-5715 [branch target injection]
For more information about the output below, please refer to https://support.microsoft.com/en-in/help/4074629

Hardware support for branch target injection mitigation is present: False
Windows OS support for branch target injection mitigation is present: True
Windows OS support for branch target injection mitigation is enabled: False
Windows OS support for branch target injection mitigation is disabled by system policy: False
Windows OS support for branch target injection mitigation is disabled by absence of hardware support: True

Meltdown Part:

Speculation control settings for CVE-2017-5754 [rogue data cache load]

Hardware requires kernel VA shadowing: True
Windows OS support for kernel VA shadow is present: True
Windows OS support for kernel VA shadow is enabled: True
Windows OS support for PCID performance optimization is enabled: True [not required for security]

PPS. So sieht der Spectre Teil des Checks dann mit neuem Microcode aus (Erst dann kann man Aussagen über Performance machen, da die aktuelle MC aber zurück gezogen sind, sind diese aktuell nicht repräsentativ)

Speculation control settings for CVE-2017-5715 [branch target injection]
For more information about the output below, please refer to https://support.microsoft.com/en-in/help/4074629

Hardware support for branch target injection mitigation is present: True
Windows OS support for branch target injection mitigation is present: True
Windows OS support for branch target injection mitigation is enabled: True

 

[RAZ0RLIGHT]

Spectre ist mir bekannt, was mich interessiert ist Meltdown.

Wenn da so ein einfacher OS Fix abhilfe schafft, warum sollten sie dann so schnelll hardwareseitig etwas ändern.
Ich bin da noch skeptisch, vor allem bzgl. noch größeren Leistungseinbußen die noch kommen könnten.
Hoffentlich gibts bis April da mehr Klarheit, derzeit ist das alles eher ein Chaos.

 

[Holzmann]

Ja da hast Du wohl recht. Am 31.01 soll Intel wohl eine neue Info rausgeben. Muß für Retpoline nicht neu compeiliert werden oder verwechsle ich da etwas?

Da bin ich auch noch nicht sicher, wenn ja ist MS gefragt?:
Interessante Interpretation von Retpoline | Forum - heise online

 

[Marcellus5000]

Da bin ich auch noch nicht sicher, wenn ja ist MS gefragt?:
Interessante Interpretation von Retpoline | Forum - heise online

Ich bin kein Coder aber in dem Fall imo MS und alle die Software anbieten, welcher unter Windows läuft. Aber ich lese mir das nochmal in Ruhe durch, thx für den Link.

- - - Updated - - -

Spectre ist mir bekannt, was mich interessiert ist Meltdown.

Wenn Du Meltdown und Spectre in der Praxis trennen willst, darfst Du nie wieder ein UEFI Update einspielen und wenn MS die MC Updates doch via Windows verteilt, hast Du verloren.
Also nur Meltdown zu betrachten, bringt imo nichts aber ja da sollte das mit dem Performance Impact final sein.

 

[Holzmann]

Ich gehe davon aus, dass wenn Intel sagt, bei neuen CPUs ist die Meltdown Lücke geschlossen, dass frühestens die Gen. nach CL sein wird.

 

[unl34shed]

Rechne mir ein paar Jahren, bis das passiert

 

[Holzmann]

Rechne mir ein paar Jahren, bis das passiert

Naja, also wenn man davon ausgeht, dass Intel das Problem schon lange bekannt ist und man seine CPU Architektur kennt, wovon man ausgehen kann, dann sollte es doch möglich sein die eigenen next Gen. zu korrigieren, ernsthaft, es gingen Meldungen durchs Netzt, das dies Jahre dauern könnte, aber warum und weshalb stand eigentlich nirgends .... Wäre aber krass, wenn das wirklich noch Jahre dauern würde, wer soll dann die cpus inzwischen noch kaufen

Kann natürlich auch sein, das dies eine geschickte PR Formulierung ist, zu sagen zukünftige CPUs sind sicher, aber nicht zu sagen ab wann.

 

[unl34shed]

Um das ganze zu fixen muss man Tief in die Architektur eingreifen, da es in den Grundfunktionen verankert ist und das dauert eben so lange.

Vom Lösungsansatz, Simulationen, Implementierung, erstem Tapeout, ggf. einer weiteren Revision, bis zum Release dauert es halt mehrere Jahre. Ist bei allen Herstellern so, Intel kocht auch nur mit Wasser.
Einzige Möglichkeit, Intel weiß davon nicht erst seit Mitte 2017, dann hätte man das aber so schon längst kommuniziert und nicht eine Nebelkerze nach der anderen gezündet. -> Dieses Jahr kommt nichts gefixtes.

 

[Paddy92]

Muß für Retpoline nicht neu compeiliert werden oder verwechsle ich da etwas?

Bei Retpoline führt der Compiler während der Compile-Zeit an entsprechenden Stellen des Codes Veränderungen durch. Daher muss die Software neu kompiliert werden, denn irgendwie muss diese Änderung am Code in die Software gelangen.

 

[pufaxx]

Ich hab jetzt nun inzwischen ziemlich viel gelesen und viele Erklärvideos gesehen, ich glaube, ich habe die theoretische Seite der Sicherheitslücke sogar halbwegs verstanden ... Warum die Geschichte insbesondere für Cloud-Dienste & Co. extrem gefährlich ist, ist offensichtlich.

Aber mir ist immer noch nicht klar, was das in der Praxis für den "Endverbraucher" bedeutet. Es muss ja erst ein Angriff stattfinden. Kann man den nicht von vornherein verhindern? Wenn man z.B. mit uMatrix o.ä. unterwegs ist, fallen die meisten Szenarien doch weg - oder mache ich mir da jetzt zu wenig Sorgen?

Nachtrag: Und Cloud-Dienste habe ich noch nie genutzt ...

 

[Holzmann]

Ich hab jetzt nun inzwischen ziemlich viel gelesen und viele Erklärvideos gesehen, ich glaube, ich habe die theoretische Seite der Sicherheitslücke sogar halbwegs verstanden ... Warum die Geschichte insbesondere für Cloud-Dienste & Co. extrem gefährlich ist, ist offensichtlich.

Aber mir ist immer noch nicht klar, was das in der Praxis für den "Endverbraucher" bedeutet. Es muss ja erst ein Angriff stattfinden. Kann man den nicht von vornherein verhindern? Wenn man z.B. mit uMatrix o.ä. unterwegs ist, fallen die meisten Szenarien doch weg - oder mache ich mir da jetzt zu wenig Sorgen?

Nachtrag: Und Cloud-Dienste habe ich noch nie genutzt ...

Hast du über das was du da zu uMatrix schreibst eine Quelle, sowie diese zb?
Intel will Chip-Lücken mit Silikon schließen - Kampf gegen Meltdown und Spectre

 

[pufaxx]

@Holzmann: Keine Quelle direkt zu uMatrix, aber in mehreren Videos war von JavaScript die Rede. Und das kann man ja mit diversen Tools einschränken.

 

[unl34shed]

Das Problem ist halt:
Wie viele Seiten laufen noch vernünftig ohne Script?
Wenn du eine Seite Whitelistest, können darauf laufende Skripte immernoch geändert werden, ... Dann nutzt es dir auch nichts.
Und du merkst halt nicht, wenn die Lücke genutzt werden.
Hinzu kommt, dass der DAU weder mit AddBlock noch noScript aber dafür 20 Toolbars im Browser rumsurfen.

Das kritische ist halt, dass die Anwendung unbemerkt aus ihrem Speicherbereich ausbrechen kann und hier nicht Mal absehbar ist, was damit alles angestellt werden kann.

- - - Updated - - -

Hast du über das was du da zu uMatrix schreibst eine Quelle, sowie diese zb?
Intel will Chip-Lücken mit Silikon schließen - Kampf gegen Meltdown und Spectre

Und das ist Käse was unser liebe Presse hier wieder verbreitet, denn Intel selbst spricht nur von Änderungen wegen Meltdown/Spectre in Silicon aber nicht von einem Fix. Im Zusammenhang mit ihrer vorherigen Aussage, dass diese Jahr Chips kommen, die den Software Patch erleichtern und eben der kurzen Zeit sollte man keinen Fix erwarten.

 

[floogy]

»Silikon-Lösungen zum Schutz vor den Schwachstellen« - Baumarkt?