Die Frage stellt sich eigentlich überhaupt nicht... Denn es ist ein Unterschied ob ein Workaround/eine Mitigation Leistung kostet oder ob ein Prozessor durch was auch immer Leistung "gewinnt", weil er insecure ist.
Das eine hat mit dem anderen schlicht absolut nichts zu tun. Im Moment geht jeglicher Versuch ein Urteil darüber zu treffen über eine Messung mit und ohne aktiver Mitigations einher. Was man damit aber nicht ermittelt ist den möglichen Speedvorteil der "kaputten" Architektur (manches ist schlicht auch by Design wie es ist) sondern man ermittelt da lediglich den Leistungsverlust durch die Mitigation.
1) Doch, die Frage stellt sich
2) Wenn die Mathematik nicht gerade von dir neu erfunden wird, ist die Differenz zwischen mitigierter und unmitigierter Testsituation weiterhin eine Differenz. Exakt aus diesem Grund kann gemessen werden und deshalb wird auch gemessen - denn die Differenz ist kausal.
3) Nach Adam Ries sind 100% - 10% = 90%. Um von 90% wieder auf 100% zu kommen, musst du: 1/0,9 = x also x=11% wieder draufpacken. Setzt du die 0,9 als 100%, wäre der "Gewinn" aus der unmitigierten Testsituation 11%. Wir lernen: Je nachdem was du als Referenz auswählst, haben wir unterschiedliche Relationen: 10% Verlust oder 11% Gewinn. (Exakte Durchschnittwerte können in den Reviews erlesen werden)
Bisherige "Hardware" Mitigations haben (Meltdown bpsw.) belegt, dass es auch ohne Leistungsverlust gehen kann, das Problem zu fixen auf welches der Fix eben angesetzt wrude, während der umständliche Weg über die Software meist mit ziemlich großen Problemen einhergeht.
Das Dumme an der Thematik ist, aktuell rennt Intel im Spiel offenbar seinen Forschern "hinterher". Für diese Probleme gibt es, wie für so ziemlich alle Security Themen überhaupt, schlicht und ergreifend keine Pauschal-Lösung.
Weshalb eine neue µArch notwendig ist. Da die Entwicklung einer solchen aber Jahre dauert, kann Intel derzeit nur ein Pflaster draufpacken und muss derweil im Hintergrund eine neue, robuste µArch entwickeln. Die Geschwindigkeitsdifferenzen bleiben hingegen real und sind im mitigierten Zustand als Referenz zu betrachten, da das unmitigierte Produkt unsicher ist.
Da kann sich nicht die Intel Forschungsabteilung hinsetzen und wie von Kollege Holzmann unsinnigerweise fordert ein Datum für einen Fix raushauen, vor allem dann nicht, wenn für weit in die Zukunft geplante Themen die Notwendigkeit für einen Fix nichtmal klar ist. Was heute entwickelt wird, kauft man für gewöhnlich in keine Ahnung 3-5 Jahren. Was an Security Themen heute also nicht bekannt ist, kann nicht pauschal gefixt sein/werden.
Ich stelle mir gerade vor, dass ich ein Zertifizierer wäre und es um Sachen Sicherheit geht: Ich finde in einer kritischen Umgebung (Krankenhaus) mehrere Rechner, welche während einer OP theoretisch geknackt werden können. Diese vom Netzt zu nehmen geht leider nicht, weil einige Operationen mit Assistenz durchgeführt werden müssen (per Videokonferenz). Da müsste ich jetzt knallhart sagen: Kein Fix innerhalb von 4 Wochen, raus mit dem Mist.
Dir kanns egal sein, du liegst ja nicht auf dem Tisch und musst beten, dass alles glatt läuft. Hauptsache Intel gut, Lücken egal, Patient Banane - dafür aber in Gaming-Benches den längeren Balken. Die Operateure sind btw keine Technik-Cracks, die wollen einfach nur in Ruhe ihre Arbeit machen und hätten am liebsten GAR NIX mit irgendwelchen Nebenproblemen während einer OP zu tun. Das muss laufen. Schnell, sicher, robust und wenn möglich mit Backup.
...aber ohne Lösung bringt das ganze rumgehupe wenig bis nichts. Und eine Lösung gibt es nicht.
Ähm, schon: Sich nen Prozessor kaufen, der immun ist. Da gibts derzeit leider nur zwei Hersteller: AMD und VIA.
Die Fraktion der "Aufklärer" (dummerweise auch der böswilligen Angreifer)
Lieg du mal auf dem OP-Tisch und sag das nochmal. Daran ist nix böswillig. Wenn daran auch nur 1 Patient stirbt, kann das Krankenhaus dicht machen. Irgendwo, irgenwann kann das passieren - und da Krankenhäuser ja so eine tolle Update-Struktur ihrer Rechner haben, würde es mich nicht wundern, wenn die noch alte Software drauf haben, die genau das Einfallstor für Specter&Meltdown bietet. Für einen neuen Rechner haben die Krankenhäuser kein Geld, da die Dinger immer 5x so teuer sind wie die, die du im Laden kaufen kannst. Und die Lizenzen für die Medizinsoftware sind auch gerne mal an den Rechner gebunden.
Du unterstellst Böswilligkeit, wo Sicherheit notwendig ist. Ich dreh den Schuh einfach mal um: Du bist böswillig, ein offenes Tor zu verteidigen.
Nicht nur bei Intel, wie AMDs PSP Thema bspw. belegt.
Yo, gehört alles rausgekantet. AMDs PSP kann man zum Glück einfach deaktivieren. Intels "Sicherheits" Prozessor nicht, den kann man nur hirntot-patchen. Bis jemand kommt, der auch mit 8kB nen Wurm schreiben kann.
Intels aktuelles Pech ist nur
Nix "nur". Es ist Intels Pech. Ende. Sie haben es zu fixen und alle mit nem Intel Prozessor müssen damit leben. Außer Gamer zu Hause - die können es abschalten. Krankenhäuser nicht. Das AMD davon profitiert ist da völlig Banane. Dem Menschen auf dem OP Tisch interessiert sich nicht für AMD, der will ordentlich operiert werden - egal ob mit Intel oder AMD.
Die Krankenhausleitung hingegen möchte das alles bezahlbar halten - wo AMD dann natürlich attraktiver aussieht.
