Windows-Patch & Microcode: AMD und Microsoft liefern Schutz gegen Spectre V2 aus

Der Patchday April 2018 bringt Nutzern der aktuellen Windows-10-Version 1709 „Fall Creators Update“ jetzt auch für viele CPUs von AMD eine Gegenmaßnahme gegen die Sicherheitslücke Spectre Variante 2. Auch sie setzt neuen CPU-Microcode voraus, den AMD parallel an OEMs verteilt. Und Anwender müssen sie manuell aktivieren.

Dass auch CPUs von AMD wie die von Intel neuen Microcode mit neuen CPU-Befehlen unter Windows benötigen, um das vom Hersteller als „Near-Zero Risk“ bezeichnete Restrisiko aus der Sicherheitslücke Spectre Variante 2 auszulöschen, ist schon länger bekannt. Wann das passieren sollte, war allerdings offen.

Neuer Microcode bis zurück zu Bulldozer (2011)

Das Update KB4093112, vorerst exklusiv für Windows 10 Version 1709, enthält jetzt die Option, den neuen CPU-Befehl Indirect Branch Prediction Barrier (IBPB) zu nutzen, mit dem gegen Spectre Variante 2 vorgegangen werden kann. Damit er genutzt werden kann, muss die CPU diesen Befehl aber erst beigebracht bekommen. Wie bei Intel geschieht das auch bei AMD über neuen CPU-Microcode, den der Hersteller mit dem heutigen Tag für alle CPUs bis zurück zu den ersten Bulldozer-Prozessoren aus dem Jahr 2011 an OEMs verteilt hat. Endkunden sollen ihn also in Kürze über BIOS- und Firmware-Updates erhalten – zumindest in der Theorie.

In der Praxis lehrt die Erfahrung mit BIOS- und Firmware-Updates für Systeme mit Intel-CPU allerdings, dass nur wenige OEMs und nicht alle Mainboard-Hersteller die Verteilung bisher zufriedenstellend vorangetrieben haben. Zumindest für Inhaber der neuesten Architekturen vom Typ Intel Skylake, Kaby Lake und Coffee Lake waren vor diesem Hintergrund Microcode-Updates für Windows 10 von Microsoft hilfreich, die den neuen Microcode am BIOS vorbei rechtzeitig laden. Inhaber älterer Architekturen oder der Betriebssysteme Windows 7 und Windows 8.1 gehen aber auch hier noch leer aus. Ob oder wann Microsoft den von AMD freigegebenen Microcode ebenfalls per Windows-Update verteilen wird, darüber gibt es bisher keine Auskunft.

Erste Hersteller dürften bei AMD immerhin bereits mit der Implementierung und Verteilung begonnen haben, darauf deuteten schon vor Wochen erste Hinweise hin.

Anwender müssen den Schutz manuell aktivieren

Anwender erhalten den Schutz bei AMD allerdings nicht automatisch, wenn sie das Windows-Update und neuen Microcode erhalten haben. Im Gegensatz zur Gegenmaßnahme für Intel-Systeme müssen sie den neuen CPU-Befehl erst über die Eingabeaufforderung aktivieren (als Administrator ausführen).

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 64 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Interessant ist, dass die in Windows 10 implementierten Gegenmaßnahmen für CPUs von AMD nicht den bisher für Intel implementierten entsprechen. AMD hatte das allerdings Ende Januar in Aussicht gestellt. Mit Indirect Branch Predictor Barrier (IBPB) setzt AMDs Gegenmaßnahme nur auf einen der drei von Intel bekannten Befehle, Indirect Branch Restricted Speculation (IBRS) und Single Thread Indirect Branch Predictors (STIBP) bleiben außen vor. In einem Whitepaper (PDF) erklärt AMD, die beiden anderen Befehle derzeit nicht als performante Gegenmaßnahme in Windows empfehlen zu können. Der Hersteller schließt also nicht aus, dass ihre Nutzung die CPUs noch besser schützen würde, sieht die jetzt ergriffene Gegenmaßnahme aber als ausreichend an.

Ryzen 2000 dürfte ab Start „sicher“ sein

Mit der Freigabe des neuen Microcodes und der Updates für Windows 10 1709 dürfte AMD dem Versprechen, die 2. Generation der Ryzen-Prozessoren vom Start gegen Spectre Variante 2 abzusichern, deutlich näher gekommen sein. Möglich, dass Ryzen 2000 mit aktiviertem Patch bereits heute den Status „abgesichert“ zurückgibt. Bisher wäre das nicht der Fall gewesen, weil der Patch für Intel, wie jetzt bekannt wurde, nicht der richtige gewesen ist. Ryzen 2000 wird für den 19. April erwartet.