Názory k článku Jak je to s bezpečnostní dírou procesorů Intel. Chyby jsou dvě, Meltdown a Spectre

KPTI je už ve stable jádru 4.14.11

Stach už zplodil článek. :D

Inak sranda ako sa to ddebilko na svojom blogu zas snazi nafuknuť ako čisto intel problem :)

Přehledně sepsaný článek. Díky.

Tak jsem osobně taky přetestoval co se dalo a výsledky mi vycházejí hodně podobně jako na guru3d:
http://www.guru3d.com/articles-pages/windows-vulnerability-cpu-meltdown-patch-benchmarked.html

Testoval jsem na i7 8700, Asus Z370-F, bios 0606, W10 64bit včetně Kb4056892. Největší pokles .. a z toho nebudu spát .. mám ve Wprime 118s je nyní 120,5s. :) Jinak AC Origins, Just Cause3 ale treba i Cinebench a 3Dmarky, vše v rozdílu statistický chyby. Nula nula nic. Trubte na poplach! Zrušte poplach!

Díky za přehledný sumář.

Tedy že chyba typu dumpu dat z cache CPU po zahození větve z vnucené predikce kódu půjde zneužít třeba i hi-level jazyka, jakým je například zmiňovaný Javascript, to už je na mě fakt moc. Čekal bych to tak u Asm/C/C++, ale u Javascriptu fakt ne :-O

PS: Velmi dobře napsaný článek a díky za odkazy.

Moc pěkný článek. :)

Aktualne fakty priamo z Intelu bitches :)

Is this a bug in Intel hardware or processor design?

No. This is not a bug or a flaw in Intel products. These new exploits leverage data about the proper operation of processing techniques common to modern computing platforms, potentially compromising security even though a system is operating exactly as it is designed to. Based on the analysis to date, many types of computing devices — with many different vendors’ processors and operating systems — are susceptible to these exploits.

https://www.intel.com/content/www/us/en/architecture-and-technology/facts-about-side-channel-analysis-and-intel-products.html

V pohodě, ví se o tom poměrně dost dlouho, Intel by už u nových procesorů toto řešil novou revizí, jak jednoduchá oprava. Za oponou je schováno úplně něco jiného. Ten bonbonek teprve přijde, ale udusí se s ním úplně někdo jiný.
A ty prodané akcie šéfa Intelu? Není nejlepší je prodat když je hodnota vysoká? A není nejlepší je zase nakoupit když je hodnota nízká? A ztráty výkonu? testuji a testuji a nic nenalézám. Nechme se překvapit.

PS C:\Windows\system32> Install-Module SpeculationControl

PS C:\Windows\system32> Get-SpeculationControlSettings
Speculation control settings for CVE-2017-5715 [branch target injection]

Hardware support for branch target injection mitigation is present: False
Windows OS support for branch target injection mitigation is present: True
Windows OS support for branch target injection mitigation is enabled: False
Windows OS support for branch target injection mitigation is disabled by system policy: False
Windows OS support for branch target injection mitigation is disabled by absence of hardware support: True

Speculation control settings for CVE-2017-5754 [rogue data cache load]

Hardware requires kernel VA shadowing: True
Windows OS support for kernel VA shadow is present: True
Windows OS support for kernel VA shadow is enabled: True
Windows OS support for PCID optimization is enabled: False

Suggested actions

* Install BIOS/firmware update provided by your device OEM that enables hardware support for the branch target injection mitigation.
* Follow the guidance for enabling Windows support for speculation control mitigations are described in https://support.microsoft.com/help/4072698



Toto je výsledek na Nehalemu - výrobce motherboardu zjevně musí dodat nový microcode update / nový BIOS, což se zatím nestalo. Na AMD Turion II je situace stejná, pouze s rozdílem, že pro CVE-2017-5754 je výsledek "Hardware requires kernel VA shadowing: False"


Microsoft umožňuje vypnout zabezpečení pomocí klíčů v registru:
https://support.microsoft.com/en-sg/help/4072698/windows-server-guidance-to-protect-against-the-speculative-execution

Benchmark na i7-840QM s vypnutým HT - archivace 7-zip, adresář 1.12GiB, 5208 souborů (některé malé, některé velké).

Nastavení komprese Normal:
bez Meltdown patche: 232s
s Meltdown patchem: 247s
-> zpomalení o 6.5 %

Nastavení komprese Store:
bez Meltdown patche: 57s
s Meltdown patchem: 61s
-> zpomalení o 7 %

Vždy stejný kernel, patch jen vypnut přes registry. Patch na Spectre neaktivní.

7 % se může zdát jako málo, ale výkon procesoru se tak posouvá na úroveň i7-820QM, tedy o stupeň horšího modelu.

Pro všechny idioty, co tu píšou, že ředitel Intelu prodal akcie, protože věděl o bugu v procesorech. V té době nebyla cena Intel akcie lepší než je dnes - mezitím ke konci roku byla, ale to spíš prodělal. Lidem s velkou fantazií bych doporučil ledovou sprchu, než zasednou k chatu.

A je to tady - Intel v USA už čelí třem hromadným žalobám kvůli kauzám Meltdown a Spectre
https://www.theguardian.com/technology/2018/jan/05/intel-class-action-lawsuits-meltdown-spectre-bugs-computer

@tombomino Ohledne NDA mezi Google a Intel. Nemam nic proti tomu, prosim ale kouknete se do originalniho Meltdown paperu, hned na zacatku mate vyjmenovany autory i s institucema. 4 univerzity, dve firmy a jeden nezavislak.. Zadny Intel, zadny Goodle. Jen v textu je uvedena poznamka, ze zpusob utoku byl objeven nezavisle autory textu a Jann Horn z Projektu Google Zero. Proste to stoji za to si to precist: https://meltdownattack.com/meltdown.pdf

Tady jsou vysledky mereni po aplikaci patche ve Windows pro Meltdown a nahrani noveho Intel Mikrokodu pro Spectre "2" variantu pres Asus X370 MB. Vysledky zacinaji byt zajimave (pokud jsou korektni) a dochazi k dost necekanym poklesum vykonu
https://www.reddit.com/r/pcmasterrace/comments/7obokl/performance_impact...


"Heavy multitasking" -9%
"Image editing" -21%
"Encoding" -9%
"System score" -12%

Muze te nekdo zkusit taky premerit?
..tady uz prestava docela sranda

Pro zajímavost k 15. prosinci 2017 Intel vydal update microcode pro procesory s těmito CPUID:
306C3 - Haswell C0
306D4 - Broadwell F0
306F2 - Haswell-EP R2
40651 - Haswell-U C0
406E3 - Skylake-U D1
406F1 - Broadwell-EP B0
50654 - Skylake-SP H0
506C9 - Apollo Lake B0/B1
806E9 - Kaby Lake-U H0
906E9 - Kaby Lake-S B0/S0

Zdaleka tedy neměli opravené všechny generace procesorů. Hlavně starší zatím chyběly. Zveřejnění zranitelnosti je zastihlo nepřipravené.

Někde někdo psal, že ten patch prý není finální - tak ať to není předčasná radost..

Jinak je jasné, že úlohy s malým podílem syscalls nebudou ovlivněné prakticky vůbec.. ;)

Rychlost grafiky to neovlivní. Ale například rychlost přístupu k disku už ano.

Tak u Power a mainframů to vzhledem k ceně fakt zamrzí. Stejně je zajímavé, že se chyba projevuje u tak odlišných architektur, jako je x86, ARM, Power, ..

Podľa toho čo som sa zatiaľ dočítal si myslím, že prepady výkonu budú zrejme v tedy ak jedno jadro, fyzické alebo aj SMT ? , bude vykonávať viac rôznych úloh za sebou v cykle a hlavne v tedy ak každá úlohy bude využívať iné prostriedky, PCIE, LAN, SATA atď. Z toho teda vypláva, že úzkoprofilové benchmarky prepady nezachytia, ale v reálnych situáciach kde beží na pozadí viac procesov, môžu byť krátkodobé prepady v časoch volania rôznych prostriedkov. A ešte v reálnych podmienkach budú asi viac trpieť CPU s menším počtom jadier. Inak fakt dobrý článok.

Jenze to plati pro Spectre, Intel mlzi sec muze, reditel uz prodal akcie, takze ten pruser z toho primo cisi. V podstate je cela vec logicka, princip out-of-order necemu takovemu nahrava a jestli je neco podivne, tak ze se na to prislo az tak dlouho.
Inteluv problem v tom Meltdown je trochu jiny, Intel narozdil od AMD umi s pomerne velkou presnosti tipovat vysledky kodu, cimz si urychluje beh aplikaci a proto jsou take mimo jine Intely rychlejsi. Jenze se ukazuje, ze Intel tipoval tak agresivne, ze spravne tipne i to, co je posleze zruseno pro nedostatecne opravneni k vykonane akci. Jenze tou dobou uz ten spravny tip ma utocnik odchycen. Proto je asi opravnena domnenka, ze update resici problem zaroven snizi vykon, nebude se tak moc casto spravne tipovat.
Radeji zatim teda aktualizace neinstaluju, ikdyz treba budu casem muset, ale snizeni vykonu se mi nelibi.

Otazka, ktera je na poradu dne jako uplne hlavni a ktera jeste neni zodpovezena, kde vsude dojde opravou ke snizeni vykonu. Ono by to porad nemuselo byt tak zle, ikdyz panika u Intelu bohuzel naznacuje opak. :-/

Tady mas kompetentni odpoved Linuse na korporatni PR kecy (v tomto pripade v podani Intelu)..
" A *competent* CPU engineer would fix this by making sure speculation doesn't happen across protection domains. Maybe even a L1 I$ that is keyed by CPL.
I think somebody inside of Intel needs to really take a long hard look at their CPU's, and actually admit that they have issues instead of writing PR blurbs that say that everything works as designed.
.. and that really means that all these mitigation patches should be written with "not all CPU's are crap" in mind.
Or is Intel basically saying "we are committed to selling you shit forever and ever, and never fixing anything"?
Because if that's the case, maybe we should start looking towards the ARM64 people more.
Please talk to management. Because I really see exactly two possibibilities: Intel never intends to fix anything OR these workarounds should have a way to disable them. Which of the two is it?
Linus Torvalds

Jinými slovy pro Meltdown je po lednových aktualizacích oprava na Intelech aktivní, u AMD se nepoužívá.

Pro Spectre je vyžadován update mikrokódu / BIOSu, který je podmínkou pro fungování záplaty - tato nebude do té doby aktivní. Otázkou je, jestli bude někdo aktualizovat BIOSy i u starých zařízení, spousta lidí používá stále např. Core 2 Duo, které na základní činnosti dodnes dostačují.

Přítomnost funkce PCID (Processor Context ID) v procesoru, která by měla zmírňovat dopady patche Meltdown, lze zjistit přes System Information Viewer - http://rh-software.com/ - rozevření combo boxu SPD a kliknutím na Features. Následně poslední položka v druhém sloupci zleva.

Článek na DDW jsem četl a tentokrát se autor moc neuťal, naopak sis uřízl velkou ostudu ty, Vlko, svým hloupým hatekomentářem.

ARM už vydal tabulku postizenych jader. A75 postihuje i meltdown.
https://developer.arm.com/support/security-update

ako si vypol patch cez registre ?

Pekny test, ale pri kompresy je pry vykon snizen nejvice, nebo ne?

Musite merit syscalls. Pokud pocitate jen v pameti procesu, tak zasazen nebudete. Problem je ve flushovani TLB, resp. problem je v tom, ze obrana spociva v nutnosti flushovat TLB pri syscall.

Pro účely trestního řízení není až tak rozhodné, jaká je cena teď a jaká byla tehdy. Podstatné je, jestli získal prospěch, což může být i rozdíl imaginární ceny, která by bývala byla bez zveřejnění infornace, a ceny, jaká je teď. Vzhledem k reakci trhů po zveřejnění to nemusí být tak obtížné prokázat. On se bude muset bránit, že v době prodeje to nepovažoval za problém, ale to je jeho tvrzení vs. realita - pro něj nezáviděnihodná situace. Zdá se, že je to největší problém Intelu od dob FDIV, tak kdo mu uvěří, že to nepovažoval za podstatné?

Diky za informaci, ten dokument jsem neznal.

Mi na tom prijde stavnate to, ze ta chyba je pry znama uz od Cervna.. a na verejnost se to dostalo az v lednu ;)
To musel nekdo pekne utahovat srouby, aby to nikde neprosaklo :))

Budes s 386kou v bezpeci, nez se nacte ten JavaScript, tak i na mem Pentiu 200MMX vyprsi doba spojeni, takze fakt stare procaky to nezneuzije. :-)

Magor Linus je ten poslední co by do toho měl kecat, ty jeho orgie a žvásty při vydání failu Vegy mě dostali do kolen.

Podle me ta chyba vychazi z principu out-of-order a pokud je AMD ovlivneno mnohem mene a lze vyresit opravou mikrokodu, tak opravdu asi jen jednoducha revize a pojede se dal. Pokud se ukaze, ze ten princip je proste vadny a casem nekdo prijde na to, jak zneuzitv i AMD, tak maji oba vyrobci procesoru pro PC zasadni problem a reseni v nedohlednu.

Sef Intelu na zaklade internich informaci prodal akcie v dobe, kdy jejich hodnota byla mirne snizovana nastupem RyZenu, ale nebyla degradovana touto chybou. Uvidime kdy zas nakoupi. Byl by to dobry signal, ze sve firme vubec jeste po katastrofalnim pruseru veri a neopustil definitivne jako prvni lod.

AMD jasně řeklo, čím je jak ovlivněno..

https://www.amd.com/en/corporate/speculative-execution


Varianta 3 je Meltdown a tou nijak netrpí, takže nepotřebuje KPTI.

PR oddělení, co si tu vymýšlí, je to Intelovské (dostali za to i hate od Linuse).

Jojo, pravdu di Linus. Tedy tentokrat. Bohuzel asi Intel kompetentni inzenyry vyhazel a ted to zachranuje PR oddeleni. Predpokladam si PRaci budou chtit pridat za zachranu v bouri a Intel na to vydela tak, ze propusti dalsi inzenyry. :-)

Ano, v tomto jednom případě. V jiném to bude o něco víc a v dalším o něco méně. Zavádějící to není.

7 % je strašně moc, kdyby tomu tak bylo i u i7 7700K, je to stejně jako Turbo ne na 4.5GHz, ale jen na 4.2GHz. Jestli třeba někdo kupoval i7, protože je v single-threadu rychlejší než Ryzen, po této kauze už tomu tak být nemusí. V situaci, kdy výkon v posledních pěti letech rostl mezi generacemi o jednotky procent, je toto velký zásah do výkonu.

To nevím, ale ví se, že ta chyba byla známa dostatečně dlouho na to, aby tak mohli učinit i druzí, stejně tak jako on musel dopředu ohlasit prodej svých akcií. Myslím, že mu nic nehrozí, ale je to pouze můj názor.

Hnizdo, ja jsem tak nejak cekal, kdy zase prijde tvoje modra vlna..a uz je tady :))
Linus Toward, clovek ktery stoji za celym Linuxem, tak blafuje :D
Mozna by jsi mel zkusit pochopit, o cem jeho prispevek je a ne neustale obhajovat nejakou pitomou mega-korporaci, ktera na tebe jako uzivatele tak akorat z vysoka.. a jeji jedine zajmy jsou vyska jejich akcii a bonusy managerum...

Neprodal všechny, část držet prostě musí. Navíc jejich avizo o tom, že je bude prodávat musí dát s velkým předstihem. Taktéž je to běžná praxe, že se odměnové akcie obratem prodávají. Hlavně ať to věděl nebo ne, na akciích vždy vydělá ten, kdo má informace z první ruky - do jisté míry to je jakési využití (paranoidní lidi čtou zneužití). Jakože wtf no a co, je to ředitel, dostal to za odměnu a to že z pocice výkonu své funkce ví o dobrém i špatném vlastní firmy přece neznamená, že s odměnou nenaloží jak chce. Lidi mu asi hodně musí závidět jeho pozici a plat.

Aktualizace již vyšly v předstihu - jak na Win10, tak i na Win8.1 a Win7.

Ja Vam do toho nechci az tak kecat, ale jsou zpravy, kde na tech virtualnich farmach to delalo problemy uz mnimalne pred tydnem. A to je to, co prosaklo na verejnost. Tudiz to taky mohlo byt klidne i pred mesicem...
Pul roku studia...no nevim.. podle tech komentaru k linuxovym patchum pro meltdown, to spis vypada ze je to site horkou jehlou a u vidli se to stejne nedozvime.
Vite, ono se nekdy problemy ve velkych korporacich resi treba tak, ze se jednoduse vysedi..a nekdy to vyjde, nekdy ne :)

Ano, omluva Tombominovi. Jsem jak vlak když vidím a slyším Linus.

tombomino: proto to taky zveřejnili týden před plánovaným datem zveřejnění.

Že si s opravou moc práce nedali, tomu bych i věřil, dnešní doba přeje lidem, co umí udělat PPT prezentaci a tlachat na poradách a videokonferencích.

@tynyt,.. ano ano, kdo pro ne delal-dela, tak vi kolik casu se prokeca na poradach, protaktizuje s domnelymi souperi a prace...ta se taky snad udela :))

@dusan
omluva prijata ;)

No vis, ja na rozdil od Tebe anglicky mluvim plynne a pracoval jsem 4 roky v anglicky mluvici zemi. Anglicke slovo "blame" samozrejme neni 'blafovat'..nicmene tvuj prispevek, ktery Linuse napada, kde vicemene tvrdis, ze pises blbosti, tak v tomto kontextu muzes rict, ze 'blafuje', byt to samozrejme neni preklad slova blame. Ten ale nikdo nedelal. Takze si ty svoje poucky mzues popriste zkouset na nekom jinym.
A jen ti zopakuji, ze se neustale zastavas mega-korporace, ktera na nekoho jmenem hnizdo tak akorat maximale z vysoka. Mozna az to jeden den pochopis, pochopis i to, ze nema cenu se o tom ani prit.
Tvrdit o Torvaldovi, ze se projevuje jako 'hovado' je pouze pokrytectvi. Clovek, ktery rika veci nahlas, ktere si ostatni mysli, spise zasluhuje obdiv. Kdo se chova jako hovada jsou korporace, jedno jestli maji jmeno Intel, Nestle, Shell, a podobne.

Prestante uz psat o tom, ze to bylo pod NDA! Byl to normalni bezpecnostni vyzkum a tam je bezne, ze pokud objevite zasadni chybu, tak nejdrive komunikujete s vendorem a dohadujete se na opravach (vendorovi to muze trvat nejakou dobu) a zverejneni (kvuli kreditu). Jako bezpecnostni vyzkumnik s nima ale namete podepsanu zadnou NDA. Je to spise o vuli obou stran spolupracovat.

Typ zranitelnosti je znam od BlackHat 2016. Konkretni exploity jsou znamy od cervna 2017.

Hnizdile, ty jsi normalne maly upatlany cesky pitomecek spolu s Mauditem. Dva zamindrakovani pitomci, kteri si chodi ulevovat do diskusi.
Nic vic nic min
ps: slovo blamovat jsem slysel v tvem podani poprve. Myslel jsem ze je to odvozene od anglickeho blame. Evidentne neni. Doufam, ze jsi si pohonil ego, ze jsi mne jednou na necem tak prihlouplem nachytal.
Jinak jsi opravdu jen otravny zamindrakovany jedinec, bez technickych znalosti, ktery si potrebuje neustale nekde dokazovat, ze neco.
Je mi te akorat lito troubo

ps: jinak anglicky mluvici zeme jsou
Velka Britanie, Irsko, US, Australie a Novy Zealand.
Kdyz by jste oba nebyli jenom blbecci, tak si zjistite aspon toto.
Krome toho jsem pracoval 8 let v Nemecky mluvicich zemich

@Kgardas.. to nemusis mit uplne pravdu. Partnerske firmy, ktere spolu spoluprauji maji bezne podepsane mezi s sebou NDA. Nektere firmy pro svoji spolupraci to primo vyzaduji. Jesti je NDA mezi Googlem a Intelem, netusim, nicmene mezi jinyma firmama je to bezne. Rozsah toho NDA je pak na konkretni smlouve.

Gogo..komentar Linuse je o pristupu Intelu jako takovem. Samozrejme nikdo nechce, aby se to troubilo hackerum a spol. Intel bude mit typicky postoj velkych korporaci..kdo pro ne dela/delal tak vi o cem mluvim. Vsechno trva strasne dlouho, problemy se bud neresi a vysedavaji, nebo trvaji hrozne pomalu, zakaznici se zdimou, vsechno je to neskutecne strnule a kostnate a korunku tomu davaji ruzne PR prohlaseni, ktera jsou dobra tak na uspavani jedincu jako je Hnizdo a Maudit. To je bohuzel dnesni realita takovych spolecnosti. Kdyz jsem pracoval pro jednu takovou, tak byt jsem mel platnou smlouvu, tak mi prisli penize az za 6 mesicu, protoze to nekde 'hnilo' u nekoho a zrovna 'menili procesy' a musel jsem si vzit pujcku u banky :)) Takovych a jinych historek o nepruznosti tehle korporaci jsou mraky..

Jendoduse receno, dotknout se neci (v tomot pripade modre) modly aniz by to strhlo vse ostatni se nesmi :))

Podmínkou instalace záplaty je, že antivir musí vyplnit hodnotu v registru signalizující, že je kompatibilní s novým způsobem memory managementu. Dokud to neudělá, aktualizace nebude povolena.

Stáhnout se ovšem v případě potřeby dají manuálně. S Haswellem to nesouvisí, mně se instalovaly na Nehalem.

Windows 10
http://www.catalog.update.microsoft.com/Search.aspx?q=KB4056892


Windows 8.1
http://www.catalog.update.microsoft.com/Search.aspx?q=KB4056898


Windows 7
https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056897