News Spectre: Details zu Microcode-Updates für CPUs von AMD

[janeeisklar]

Das das auch nicht einmal ohne solch sinnlose Kommentare abgehen kann.
Schließlich haben sich weder Intel noch AMD bei der Sache mit Ruhm bekleckert.

AMD mit Intel diesbezüglich in einem Satz auch nur zu erwähnen ist schon dreist. Von den Problemen die Intel hat ist AMD meilenweit entfernt.

 

[Medcha]

Ohne Frage, dieses Thema hat schon seine Reichweite. ABER es ist doch viel einfacher und wahrscheinlicher, sich seinen Rechner zu zerschiessen durch Viren und Trojaner über irgendwelche Internetseiten. In allen Medien wird darüber gesprochen, aber den Alltagsnutzen dieser Diskussionen stelle ich infrage. Zumal wir ja auch bis heute nicht wissen, was große IT-Konzerne WIRKLICH über uns wissen und weiterverkaufen. Spectre wird da kein Game-changer sein; zumindest nicht für Gamer und Normaluser.

Übrigens, das AMD vs. Intel Fanboygequatsche wird langsam echt albern.

 

[engine]

Aus dem Artikel hier:

- Laut Google ist der Leistungsverlust durch Retpoline „vernachlässigbar klein“ ...
- Microsoft hat allerdings noch keine Stellungnahme dazu abgegeben, ob ... in Zukunft Retpoline genutzt werden wird. ...
- AMD wäre dann ohne Update der eigenen Architektur sicher ...
- Intel wiederum würde laut Heise auch in diesem Fall ab Broadwell ein Microcode-Update benötigen ...
- Ältere Intel-CPUs wären hingegen ebenfalls ohne Aktualisierung sicher, falls Microsoft die Retpoline-Technik in Windows einbauen sollte. ...

Mit Retpoline
wären alle mit älterer CPU < Broadwell fein raus .

Die Entscheidung nach obigen Sätzen wäre für Nicht-Programmierer und Nicht-CPU-Techniker relativ einfach.
Nur muss die Retpoline-Lösung wirklich das liefern, was versprochen wird.

Mal schauen, was die Microsoft-Chef Etage dazu dann sagt. Bestimmt gehts auch ums liebe Geld .

 

[DaZpoon]

Gibts hier jemanden der retpoline mal kurz & knackig erklären kann? Ich hatte den Eindruck dass auch Intel dann keine Microcode Updates bräuchte wenn retpoline eingesetzt wird. Aber dann müsste halt jede kritische Software neu übersetzt werden, oder?

Klar, deshalb schmiert mir Linux auch laufend ab

Komplett abgeschmiert ist es mir noch nicht, aber dafür gibt es andere Hänger die vorher nicht da waren. Manchmal ist mein Terminal einfach unansprechbar. Allerdings reagieren zurzeit alle sehr sehr hektisch. Für den Endanwender eher nervig, für Serverbetreiber ein GAU.

 

[kisser]

Naja fehlt halt die im Effekt erwähnte Zeile 4 (op 4)

Nein, vorne dran die, denn die neue Zeile 4 ist ja die alte Zeile 3.
Da muss ja ein LFence in den Code. Copy-Paste-Fehler.

Auch AMD erklärt: „Als neue Funktionen sind diese Mechanismen nur auf einer limitierten Anzahl an Prozessoren von AMD verfügbar und benötigen ein Microcode-Update.“ Welche Generationen das sind, bleibt vorerst unbekannt.

Auch generell nach wie vor Schweigen bei AMD zu betroffenen CPUs. In dem Dokument steht dazu nämlich nichts.

Mainboard-Hersteller ließen gegenüber ComputerBase in dieser Woche verlauten, dass es bisher aber noch keinen neuen Microcode von AMD gibt.

Vermutlich auch kein Datum, wann man damit rechnen kann.

 

[Zotac2012]

​Mir kommt das ganze wie eine Endlosschleife vor, jeder schiebt jedem die Schuld zu, mal ist Intel an allem schuld, dann wieder AMD, weil sie einfach nicht die Wahrheit gesagt haben und Ihr ganzes "Near Zero Risk" dann doch nicht "Near Zero Risk" ist, dann Microsoft, weil man doch noch deutlich bessere Patch Lösungen finden könnte, Microsoft das aber irgendwie nicht wirklich favorisiert.

Als Kunde verliert man irgendwie so langsam den Überblick, mal werden Bios Update mit einem Microcode verteilt, ein paar Wochen später wird dann wieder davor gewarnt, diese zu verwenden. Also wenn ich mir so das ganze Chaos anschaue, weiß irgendwie jeder alles und wie man das Problem vielleicht in den Griff bekommt, aber eine wirkliche Lösung bietet derzeit keiner.

Ich frage mich mittlerweile, wie es gelungen ist Meltdown & Spectre ein halbes Jahr geheim zu halten [Juni/Juli 2017] bevor es dann doch kurz vor dem vereinbarten Veröffentlichungstermin Januar 2018, im Dezember ausgeplaudert wurde. Noch mehr frage ich mich aber, was man eigentlich in diesen knapp 6.Monate gemacht hat, um das Problem zu lösen? Wenn man sich dann also so die ganze Situation anschaut, dann hat sich keiner von den CPU Herstellern wie Intel und AMD, aber auch Microsoft mit einem gelungenen Krisenmanagement hervorgetan!

Ich glaube das Problem wird uns User/Käufer noch länger beschäftigen, als uns lieb ist!

 

[Shririnovski]

Na AMD schafft es zumindest mal bessere PR zu machen in solch einer Situation als Intel das macht. Ob ich denen das nur minimale Restrisiko abnehme oder nicht, das spielt da kaum eine Rolle. Immerhin weiß man klar, dass die Nutzung von Retpoline die Lücke stopft, alternative Softwarelösungen einen Microcodepatch brauchen.

Und persönlich brauche ich nur mein Spielesystem auflösen, den Xeon1231v3 nutze ich im Server weiter, Linux mit Retpoline sorgen da ja wahrscheinlich für sicherheit. Die FuryX pack ich als zweite GPU in meine Ryzen Workstation und fahre entweder Dualboot oder eine VM mit GPU Passthrough fürs Gaming.

 

[engine]

Gibts hier jemanden der retpoline mal kurz & knackig erklären kann? ...

Leider nein, aber zitieren:
https://support.google.com/faqs/answer/7625886

Executive Summary

“Retpoline” sequences are a software construct which allow indirect branches to be isolated from speculative execution. This may be applied to protect sensitive binaries (such as operating system or hypervisor implementations) from branch target injection attacks against their indirect branches.

The name “retpoline” is a portmanteau of “return” and “trampoline.” It is a trampoline construct constructed using return operations which also figuratively ensures that any associated speculative execution will “bounce” endlessly.

 

[HaZweiOh]

eine VM mit GPU Passthrough fürs Gaming.

Entweder das, oder gleich nativ unter Linux spielen! Es ist schon erstaunlich, wie viele Titel schon für Linux verfügbar sind, auch bei den Humble Bundles.

Dass diese Lücken hauptsächlich Intel-User betreffen, ist ja nunmal so. Das hat nichts mit PR zu tun.

 

[Shririnovski]

@ HaZweiOh: Wie mit der Existenz der Lücke umgegangen wird und man sich in Richtung der Kundschaft verhält und äußert fällt doch unter PR. Und AMD weiß, dass auch sie betroffen sind, wenn auch scheinbar weniger heftig. Und sie verbreiten weder Unmut noch Panik bei der Kundschaft, beides hat Intel bereits geschafft.

Edit: Thema Gaming, ja Einiges läuft bereits unter Linux, entweder weil ein nativer Spieleclient da ist, oder notfalls über Wine. Da werd ich ein Wenig testen müssen, was wie gut funktioniert, gerade die Performance wenn via Wine ausgeführt wird ist ja gerne mal unterirdisch. Und die Windowslizenz hab ich sowieso bereits, genau wie ein Multimonitor-Setup, eine VM mit Hardware-Passthrough ist also auch höchstens eine Konfigurationsherausforderung.

 

[luckysh0t]

Gibts hier jemanden der retpoline mal kurz & knackig erklären kann? Ich hatte den Eindruck dass auch Intel dann keine Microcode Updates bräuchte wenn retpoline eingesetzt wird. Aber dann müsste halt jede kritische Software neu übersetzt werden, oder?

Im Editorial der aktuellen iX werden die Gegenmaßnahmen schön bildlich erklärt.


Kurz gefasst: Du bist in einer Bar und willst etwas bestellen, nun hüpft der Barmann auf einem Trampolin, bis er den Ausweiß von dir gesehen hat.

Ich versteh das so:"Es wird so lange gewartet bis alle Bedingungen erfüllt sind, vorher gehts nicht weiter."

Aber das müssen halt auch die ganzen Programme etc. auch können.

 

[Lord Horu$]

Kleinere OEMs bekleckern sich zur Zeit auch nicht mit Ruhm...bei XMG gabs ne kleine Diskussion und auch "etwas" Unwissen, aber der Hammer is ja, dass ein Großteil der Geräte ungepatcht bleiben.
Wie groß die Gefahr dadurch ist, wird sich zeigen, aber ein Großteil der Laptops und PCs sind in Händen von Leuten, die nicht wissen, wie man den Microcode einspielt.

Für uns hier mag das einfach sein, aber meine Eltern würden die Tastatur, Maus und Bildschirm in Brand setzen

Als Supporter weiss ich, wie groß das Unwissen teilweise ist...

Ich arbeite im Bereich, wo wirklich sensible Daten verarbeitet werden und wie Kunden teilweise mit diesen umgehen, ist erschreckend und oft liegts einfach daran, dass sie es nicht besser wissen WOLLEN!
Ich hab meinen Avatar nicht ohne Grund gewählt

Ich möcht auch nicht wissen, wie viele Leute von all dem hier einfach mal nix mitkriegen und das multiplizieren wir mal mit der Anzahl an alter Hardware, die einfach kein Update sehen wird, weil sich der Hersteller einen Scheiß drum kümmert.

Haben wir doch bei all den IoT-Botnetzen gesehen, wie sehr sich Leute drum kümmern :/

Eine Sicherheitslücke ist ne Sicherheitslücke und Leute werden versuchen sie auszunutzen, das ist Fakt!

THAT SAID:

AMD, Intel und MS verhalten sich gerade wie jede große Firma.
Sehe ich bei mir auf der Arbeit (Erst heute e_e ), sehe ich bei unseren Kunden.

Wenn Patches einfach mal 6 Monate und 5 Anläufe brauchen (Ist bei jemanden passiert dessen Namen ihr ALLE kennt, ohne Namen zu nennen!) und der Patch war kritisch!
Ist überall das Gleiche und zeigt, wie (gleich) unfähig alle sind!

Macht es das besser? Nö, aber es regt einen wenigstens nemehr auf. Wat sollste auch machen?

 

[QXARE]

Ist zwar ein wenig Off-Topic und ich habe mich nicht wirklich in diese Materie eingelesen, aber wurden die Details dieser Lücken einfach so und ohne großem Nachdruck auf die Hersteller veröffentlicht, oder gab es hier im Voraus Gespräche und Andeutungen, dass man bei Nichtstun damit an die Öffentlichkeit geht?

 

[foofoobar]

Ist zwar ein wenig Off-Topic und ich habe mich nicht wirklich in diese Materie eingelesen, aber wurden die Details dieser Lücken einfach so und ohne großem Nachdruck auf die Hersteller veröffentlicht, oder gab es hier im Voraus Gespräche und Andeutungen, dass man bei Nichtstun damit an die Öffentlichkeit geht?

Als Quasi-Monopolist hatte es Intel es jahrelang nicht nötig auf externe Einflüsse reagieren zu müssen und in dieser Zeit hat Intel es komplett verlernt mit Krisen umzugehen.

 

[andr_gin]

Nach meinem derzeitigen Kenntnisstand erfordern sowohl Meltdown als auch Spectre 2 es, dass Code mit lokalen Benutzerrechten läuft und es kann dabei auf den Speicher des Kernel bzw. anderen lesend Prozessen zugegriffen werden. Das ist zwar für Cloudprovider eine Katastrophe, wenn ein Kunde auf die Daten des anderen zugreifen kann, aber auf einem Desktopsystem sind diese Updates optional sowohl für Intel als auch für AMD. Ich schätze dass auch daher AMDs Einschätzung etwas anders ist als die von Intel einfach durch den etwas anderen Kundenkreis bedingt. Marketingtechnisch geht AMD aber viel intelligenter mit der Sache um und hat es geschafft ein gemeinsames Problem zu einem eigenen Vorteil zu wandeln. Dass Intel bei dem Ganzen etwas stärker betroffen ist hängt denke ich auch einmal von der generellen Strategie ab. AMD optimiert auf mehrere kleine Kerne und entsprechend parallelisierbare Anwendungen während Intel auf klassische 1 Thread Software und hohe Single Core Leistung optimiert wo eben Dinge wie die spekulative Ausführung viel stärker verwendet werden müssen.

Das was Desktoprechner eher betrifft ist Spectre 1. Hier kann ais einer Sandbox ausgebrochen werden und auf die Daten des ausführenden Prozesses zugegriffen werden. Die größte Angriffsfläche Javascript wird von den Broserherstellern geschlossen aber im Prinzip ist jede Sandbox betroffen wenn entsprechend genaue Timerfunktionen vorhanden sind.

Ergänzung (25. Januar 2018)

Ist zwar ein wenig Off-Topic und ich habe mich nicht wirklich in diese Materie eingelesen, aber wurden die Details dieser Lücken einfach so und ohne großem Nachdruck auf die Hersteller veröffentlicht, oder gab es hier im Voraus Gespräche und Andeutungen, dass man bei Nichtstun damit an die Öffentlichkeit geht?

Nein es wurden die betroffenen Hersteller informiert und diese haben an Fixes gearbeitet nur ist das bei der Linux Community auf Grund des Open Source Prinzips aufgeflogen. Da tut sich Microsoft halt deutlich einfacher still und heimlich einen Patch zu produzieren und den ihren Kunden beim nächsten Update unterzujubeln.

 

[desmoule]

Wenn Microsoft kein Retpoline unterstützt müssen sie verklagt werden. Ohne Retpoline werden zig Millionen alte PCs, Pentium 4 bis Ivy Bridge.niemals vor Spectre geschützt werden, einfach weil für diese PCs niemand mehr ein UEFI/BIOS Update rausbringen wird, selbst wenn Intel ein UEFI Update bereitstellen wird, was ja auch sehr zweifelhaft scheint.
Zudem werden diese alten PCs dann wohl auch noch langsamer.

wurden die Details dieser Lücken einfach so und ohne großem Nachdruck auf die Hersteller veröffentlicht, oder gab es hier im Voraus Gespräche und Andeutungen, dass man bei Nichtstun damit an die Öffentlichkeit geht?

Die Lücken wurden letztes Jahr entdeckt und Juli 2017 an die Hersteller gemeldet. Diese hatten also 6 Monate Zeit z.B. für ihre Microcode Updates. Der Linux Kernel auch, und der Linux Kernel hat diese retpoline Technik seit ca. November. Kleine OS Hersteller wie z.B. die BSDs wurden allerdings erst an Weihnachten informiert.

 

[Müritzer]

Da hier immer wieder die Frage aufkommt, ob AMD betroffen ist oder nicht. Hier mal ein Interview ( 24.01 2018 ) mit Dr. Lisa Su

Zitat:

„Q: In some cases, AMD has said that some products aren’t vulnerable and other people are saying that AMD products are vulnerable.
LS: I think this is where the ‘Devil is in the details’, and so with the Meltdown variant, we believe that our microarchitecture is just not vulnerable to that particular thing.
With Spectre, the 2 variants, that our architecture is susceptible and what we’ve said is there would be some OS patches that will be helpful and also there is a set of work that needs to be done relative to how these things actually come out in real life. So it is a very complex problem and we want to be sure that we’re giving it its full attention. We are taking it very, very seriously and in particular, making sure that our customers are very clear on where we are.“
Quelle:

https://www.anandtech.com/show/1231...n-exclusive-interview-with-dr-lisa-su-amd-ceo

 

[Iscaran]

Intel möchte Retpoline oder die entsprechende Windows variante davon nicht weil es für Skylake und neuere CPUs nicht funktioniert.

Damit würde es passieren dass ein Broadwell plötzlich evtl. sogar schneller wäre als ein Skylake oder neuer.

Wohingegen mit einem ALL Around IBRS/IBPB microcode + software OS patch werden alle Intel Archs gleichermaßen langsamer, bzw. ältere Archs sogar noch mehr als skylake.

Die Hoffnung ist das dann alle Intel-Kunden die noch auf älteren Archs sitzen auf Skylake / oder neuer Aufrüsten....

Die(se) Leute kaufen ja eh keine nicht-Intel CPU - ovn daher....win-win für intel

 

[HaZweiOh]

Thema Gaming, ja Einiges läuft bereits unter Linux

Nicht nur ein bisschen. Ein Drittel meiner Steam-Bibliothek sind native Linux-Spiele, und ich spiele kaum Indie-Titel. Wer hätte das vor ein paar Jahren gedacht? Für den Rest kannst du besser GPU Passthrough nehmen als Wine.

 

[Bolko]

Jetzt überlege mal wie lange es dauert, bis unter Windows alle Bibliotheken, Systemkomponenten und Anwendungssoftware einen Patch bekommen könnten?

Laut Google kann man RetPoline automatisieren, indem man Pass2 beim 2-Pass-Compiler leicht anpasst, so dass der Compiler immer die Retpoline-Sequenz in das Binary einfügt.

Also Schritt 1:
Microsoft muss den eigenen Visual C Compiler umschreiben, damit er beim Pass2 Retpoline einbaut.
Laut google ist das innerhalb weniger Minuten erledigt.

Schritt 2:
Den gesamten Windows-Quellcode einmal durch den Compiler laufen lassen.
Das dauert ein paar Stunden, evtl einen Tag.

Schritt 3:
Die neu compilierten Binarys als Patch verteilen (also praktisch ein komplett neues Windows-ISO).