Intel avtäcker massvis av sårbarheter – påverkar prestanda

Verkar som många föredrar prestanda istället för ett säkrare system och låter bli att installera uppdateringar. Känns lite bakvänt för mig men det är väl olika hur man prioriterar.

Har själv lagt in så att mikrokoden uppdateras automatiskt varje boot på Linux (kör mest Linux på mina datorer). Däremot kan jag vara slarvig med att uppdatera UEFI / BIOS eftersom det är något jag behöver göra manuellt. Brukar bli i samband med ominstallationer av hela systemet.

Var?

Jag tror att AMD blir granskade på exakt samma sätt, och samtidigt granskar sig själva på samma sätt som Intel. Men om man utgår från tidigare rapporter så verkar ju Intel verkligen sjabblat till saker på punkter där AMD inte gjort det. Så om man använder den "logiken" så har AMD helt enkelt gjort ett bättre säkerhetsjobb utifrån nuvarande situation.

Om AMD har liknande svagheter/säkerhetsrisker så kan jag lova er att de kommer komma fram. Inom den här världen finns det inga forskare och externa partners som håller varandra om ryggen. Företag är inte "fan boys" på samma sätt som vi människor.

Vilken planet bor du på?

Zen/Zen+ är mottaglig för Spectre v1, v2 och v4. Enligt denna artikel ska Zen2 ha HW-skydd mot Spectre v4, men enligt Linux är min 3900X mottaglig för detta (ja, kör utan patcher för denna datorn har ingen webbläsare, står på ett skyddat nät och gör tyvärr precis det som patcharna för spectre har mest prestandapåverkan på)

kjonsson@ryzen:~$ cat /proc/cpuinfo|grep "model name" -m1
model name	: AMD Ryzen 9 3900X 12-Core Processor
kjonsson@ryzen:~$ cat /sys/devices/system/cpu/vulnerabilities/spec_store_bypass 
Vulnerable

Gör man många övergångar mellan kärna/program, vilket t.ex. detta program gör, blir det tyvärr en påverkan av dessa fixar. Zen2 påverkas klart mer än Zen/Zen+

Det är numera möjligt under Linux, rätt säker att det även går att stänga av de motmedel man inte anser sig behöva även i Windows.

Flera av dessa buggar är i praktiken bara relevant om du kör okända personers virtuella maskiner på din burk, spectre v1 vill du dock ha skydd mot då den (i alla fall i teorin, finns så här långt noll kända försök att utnyttja detta) kan utnyttjas via din webbläsare.

Verkar råda delade meningar om MDS är ett reellt hot på skrivbordet, har man en AMD eller Intel CPU utan HT är det ett icke-problem.

Ändå helt rätt beslut av de stora OS:en att slå på alla patchar som förval!

Tja, om du verkligen prioriterar säkerhet över prestanda: varför kör du inte en CPU med in-order design (t.ex RPi3 och tidigare eller ursprungliga Pentium)? För oss konsumenter är Spectre v1 den just nu sannolikaste attackvektorn, Spectre v1 och v2 verkar drabba alla CPUer med out-of-order design.

Råder inget tvivel om att fel som Spectre, Meltdown och MDS är buggar i HW. De möjliggör något som enligt specifikationen för CPUn inte ska vara möjligt.

Men samtidigt tycker jag möjligheten att faktiskt göra något vettigt med dessa attacker i praktiken är något som forskarna är väldigt måna om att mörka så långt som bara möjligt. Ta MDS varianten som SweClockers skrev om tidigare idag.

Lyssnarna man på forskarna låter det ju som att man mer eller mindre kan kasta sin CPU, de får tag på "root" raden i /etc/passwd på ~30s

Fast kolla vad hans skript faktiskt gör... En rejält förmildrande omständighet i MDS är att den som utför attacken har i praktiken ingen kontroll över vad som läcks. MDS är dock definitivt en bugg för ingen data ska läcka mellan processer.

Men vad mer är, kolla topologin på den CPU som testas. CPU tråd #3 och #7 kör på samma fysiska kärna, är ett krav att den som utför attacken kan hålla "sin" CPU-tråd på samma CPU-kärna som den process man vill attackera. Windows, Linux och MacOS kommer alla så långt det är möjligt lägga saker på olika kärnor! I attacken som visas ovan tvingar man attack-processen till CPU-tråd #3 och det man attackerar till tråd #7.

I normalfallet har man inte kontroll över den process man vill attackera, att låsa någon annan process än sin egen till specifika CPU-trådar kräver root/admin-rättighet, har man det är ju hela attacken meningslös...

Slutligen, man kör "cat /etc/passwd > /dev/null" i en evighetsloop (på min dator körs då detta kommando ~1000 gånger per sekund). I ett mer normal fungerande system kommer ingen nyckeldatabas eller lösenordsdatabas rimligtvis läsas/skrivas 1000 gånger per sekund under någon längre tid. Om det data man vill åt inte läses/skrives kan den inte kommas åt med MDS (här skiljer sig Spectre/Meltdown, de är farligare ur den synpunkten då den som attackerar har bättre kontroll över vad som ska stjälas).

@Yoshman: tack för att du finns och engagerar dig. Jag lär mig verkligen mycket av dina poster.

Låter som vi är på samma våglängd här! Håller helt med om att allt som kan patchas ska patchas som förval.
Frågan är om inte den slutliga lösningen är att separera kritisk information från resten, för annars kommer man få göra val som påverkar prestanda negativt. Designen av systemkretsar går i riktning mot allt mer asymmetri, bl.a. med säkra och "realtidskritiska" öar på samma krets.

Hittade informationen kring hur man slår av/på specifika patchar under Windows.

Vissa kan inte slås av, t.ex. inte patchen för spectre v1, CVE-2017-5753 (fullt rimligt givet hur Windows normalt används) men de flesta kan stänga ned.