Monet käyttäjät ovat arvuutelleet parhaillaan vellovan päivitysrumban keskellä onko se oma tietokone nyt vihdoin paikattu Meltdown- ja Spectre-haavoittuvuuksilta. Gibson Research Corporation on julkaissut verkkosivuillaan ratkaisun tähän arvuutteluun.
Gibson Research Corporationin julkaisema InSpectre-ohjelma kertoo lyhyesti ja ytimekkäästi kaikkien Windows-kokoonpanojen suojauksen tilan Meltdown- ja Spectre-haavoittuvuuksien osalta. Ohjelman kerrotaan toimivan kaikilla Windows-versioilla. Lisäbonuksena se antaa myös arvion siitä, ovatko päivitykset vaikuttaneet järjestelmän suorituskykyyn. Microsoftin mukaan vanhempien kokoonpanojen suorituskyky kärsii päivityksistä enemmän kuin uusien.
InSpectren kehittäjä toivoo, että ohjelmaa ei ladattaisi kolmansien osapuolten palveluiden kautta, sillä tällöin he eivät voi taata sen turvallisuutta. Lisäksi GRC kertoo, että Windows Defenderin Edge- ja Internet Explorer 11 -selaimiin integroitu SmartScreen-suojaus saattaa varoittaa virheellisesti, että kyseessä olisi haittaohjelma.
Lähde: InSpectre
Eikös eilen pitänyt olla viimeinenkin Bitdefender softa pätsätty tukemaan tai ilmoittamaan tukensa Windows patchille? Information for Bitdefender users on the Microsoft January 2018 Security Update – Bitdefender
Toki ehkä pieni viive tossa, että osalla vasta tänään Bitdefenderin kanssa lähtee pelittää.
Eikös eilen pitänyt olla viimeinenkin Bitdefender softa pätsätty tukemaan tai ilmoittamaan tukensa Windows patchille? Information for Bitdefender users on the Microsoft January 2018 Security Update – Bitdefender
Toki ehkä pieni viive tossa, että osalla vasta tänään Bitdefenderin kanssa lähtee pelittää.
Microsoft says its Meltdown and Spectre patches slow down older PCs more than newer ones (2016 and later) – Liliputing
Microsoft says its Meltdown and Spectre patches slow down older PCs more than newer ones (2016 and later) – Liliputing
Esson baari on mielentila, ei paikka. 😀
Esson baari on mielentila, ei paikka. 😀
Ettei olis markkinointi osasto laitettu hommiin eli ostakaa uutta ostakaa.
Ettei olis markkinointi osasto laitettu hommiin eli ostakaa uutta ostakaa.
Laadukas artikkeli taas.
TM:n tapaan ovat vetäneet mutkat suoriksi klikkien perässä ja toteavat mm. näin:
Höhö! Tietyt AMD-koneet ottavat niin paljon osumaa suorituskykyyn, että koneet eivät edes boottaa!!! Höhö!!! 😀
Laadukas artikkeli taas.
TM:n tapaan ovat vetäneet mutkat suoriksi klikkien perässä ja toteavat mm. näin:
Höhö! Tietyt AMD-koneet ottavat niin paljon osumaa suorituskykyyn, että koneet eivät edes boottaa!!! Höhö!!! 😀
Hetznerillä on ihan hyvä Wiki -sivu aiheeseen liittyen miten heidän palvelimien patchit menee (eri käyttikset jne): https://wiki.hetzner.de/index.php/Spectre_and_Meltdown/en
Hetznerillä on ihan hyvä Wiki -sivu aiheeseen liittyen miten heidän palvelimien patchit menee (eri käyttikset jne): https://wiki.hetzner.de/index.php/Spectre_and_Meltdown/en
Olisi kiva nähdä benchmarkkeja siitä, kuinka suuri vaikutus käytännössä on noille vanhemmille rossuille. Jos tää ivy bridge hidastuu selvästi, niin kai sitä pitää alkaa päivittelemään.
Olisi kiva nähdä benchmarkkeja siitä, kuinka suuri vaikutus käytännössä on noille vanhemmille rossuille. Jos tää ivy bridge hidastuu selvästi, niin kai sitä pitää alkaa päivittelemään.
Ivy bridge ja sitä vanhemmat eivät toistaiseksi tulleen tiedon mukaan tule saamaan BIOS päivitystä haavoittuvuuksia vastaan.
Intelin tiedotteessa puhuttiin 90% alle 5v vanhojen prosessorien saavan päivityksen tämän viikon aikana, mutta siinä ei mainittu tuon vanhemmista mitään.
Haswell prosessoriin oli tullut overclockers foorumin mukaan päivitys, joka on aiheuttanut prosessorin epävakautta vakiona työpöydällä.
Käsittääkseni Asus on ilmoittanut että yli 5v vanhoille emoille ei tule päivitystä. Muut valmistajat ovat jättäneet vastaamatta kyselyihin.
Käsittääkseni meltdownin tukkiminen vaatii windows päivityksen lisäksi uuden mikrokoodin, ja specte vähintäänkin jäänee tukkimatta ilman uutta biosta.
Ivy bridge ja sitä vanhemmat eivät toistaiseksi tulleen tiedon mukaan tule saamaan BIOS päivitystä haavoittuvuuksia vastaan.
Intelin tiedotteessa puhuttiin 90% alle 5v vanhojen prosessorien saavan päivityksen tämän viikon aikana, mutta siinä ei mainittu tuon vanhemmista mitään.
Haswell prosessoriin oli tullut overclockers foorumin mukaan päivitys, joka on aiheuttanut prosessorin epävakautta vakiona työpöydällä.
Käsittääkseni Asus on ilmoittanut että yli 5v vanhoille emoille ei tule päivitystä. Muut valmistajat ovat jättäneet vastaamatta kyselyihin.
Käsittääkseni meltdownin tukkiminen vaatii windows päivityksen lisäksi uuden mikrokoodin, ja specte vähintäänkin jäänee tukkimatta ilman uutta biosta.
:itku:
Joo-o, pitää varmaan alkaa selvittelemään mitä kaikkea mitigation toimenpitetä tarjolla speksien kokoonpanoon. Niitä kuitenkin on, ja työstetään. Eikö peräti Googlekin jotain värkkää.
Heittäkää toki joku source jos on tiedossa.
Ei sillä etteikö päätös olisi yllättävä.
:itku:
Joo-o, pitää varmaan alkaa selvittelemään mitä kaikkea mitigation toimenpitetä tarjolla speksien kokoonpanoon. Niitä kuitenkin on, ja työstetään. Eikö peräti Googlekin jotain värkkää.
Heittäkää toki joku source jos on tiedossa.
Ei sillä etteikö päätös olisi yllättävä.
Ei vaadi. Riittää, että käyttis poistaa virtuaalimuistimappaykset kokonaan sivuilta, joita ei saa lukea.
(Kun aiemmin ne virtuaalimuistimappaykset oli läsnä, mutta merkattu kielletyiksi käyttää)
Mikrokoodipäivitykset liittyivät todennäköisesti spectreen, ei meltdowniin, tai JOS meltdown pystytään mikrokoodipäivityksellä tukkimaan, se tarkoittaa sitten sitä, että käyttikseltä EI tarvita MITÄÄN muutoksia, nuo virtuaalimuistimappaykset voi jättää ennalleen.
Ei vaadi. Riittää, että käyttis poistaa virtuaalimuistimappaykset kokonaan sivuilta, joita ei saa lukea.
(Kun aiemmin ne virtuaalimuistimappaykset oli läsnä, mutta merkattu kielletyiksi käyttää)
Mikrokoodipäivitykset liittyivät todennäköisesti spectreen, ei meltdowniin, tai JOS meltdown pystytään mikrokoodipäivityksellä tukkimaan, se tarkoittaa sitten sitä, että käyttikseltä EI tarvita MITÄÄN muutoksia, nuo virtuaalimuistimappaykset voi jättää ennalleen.
Juuri näin.
Juuri näin.
Totta, muistin väärin.
Tuossa kuvassahan tuo lukee, spectre päivitys on windowsissa läsnä, muttei käytössä ilman bios päivitystä.
windows OS support present = true, enabled = false
Totta, muistin väärin.
Tuossa kuvassahan tuo lukee, spectre päivitys on windowsissa läsnä, muttei käytössä ilman bios päivitystä.
windows OS support present = true, enabled = false
Ubuntuun oli nyt viimein saapunut Meltdown-tilkitty kerneli, jonka sitten ajoin NASsiin (Haswell Pentium G3200) sisään. Tulos:
Olisi edes käyttökone, mutta kun nassiin ole näppäimistöä saati näyttöä normaalisti kytkettynä niin ketuttaa urheilla näiden päivitysten kanssa.
Ubuntuun oli nyt viimein saapunut Meltdown-tilkitty kerneli, jonka sitten ajoin NASsiin (Haswell Pentium G3200) sisään. Tulos:
Olisi edes käyttökone, mutta kun nassiin ole näppäimistöä saati näyttöä normaalisti kytkettynä niin ketuttaa urheilla näiden päivitysten kanssa.
Joku heitti redditin puolella, että lataa Intelin sivuilta uusimman mikrokoodin (joka on kyllä Linuxiin tarkoitettu vaikka sama se taitaa olla Windowsillekin?) ja esim. VMware CPU Microcode Driver:lla laittaa sen sisään. Itsellä ei ole tietotaitoa tarpeeksi, että voisin sanoa onko tuo turvallista tai järkevää, enkä itse ole tuota uskaltanut vielä kokeilla, joku paremmin asiasta tietävä voisi valaista hieman.
Tuolta mikrokoodi:
Download Linux* Processor Microcode Data File
Tuolla se sisään:
VMware CPU Microcode Update Driver
Ilmeisesti tuo VMwaren systeemi asentaa sen aina bootissa, että se pitää olla siis asennettuna aina?
Tosiaan en voi suositella tekemään tuota, kun en tiedä mahdollisia seurauksia, enkä ota mitään vastuuta, jos prossusta tulee entinen. En edes tiedä antaako tuo päivitetty mikrokoodi vanhemmille prossuille mitään uutta.
Joku heitti redditin puolella, että lataa Intelin sivuilta uusimman mikrokoodin (joka on kyllä Linuxiin tarkoitettu vaikka sama se taitaa olla Windowsillekin?) ja esim. VMware CPU Microcode Driver:lla laittaa sen sisään. Itsellä ei ole tietotaitoa tarpeeksi, että voisin sanoa onko tuo turvallista tai järkevää, enkä itse ole tuota uskaltanut vielä kokeilla, joku paremmin asiasta tietävä voisi valaista hieman.
Tuolta mikrokoodi:
Download Linux* Processor Microcode Data File
Tuolla se sisään:
VMware CPU Microcode Update Driver
Ilmeisesti tuo VMwaren systeemi asentaa sen aina bootissa, että se pitää olla siis asennettuna aina?
Tosiaan en voi suositella tekemään tuota, kun en tiedä mahdollisia seurauksia, enkä ota mitään vastuuta, jos prossusta tulee entinen. En edes tiedä antaako tuo päivitetty mikrokoodi vanhemmille prossuille mitään uutta.
Alkuperäinen kirjoittaja Stephen Elop: ↑
Käsittääkseni meltdownin tukkiminen vaatii windows päivityksen lisäksi uuden mikrokoodin
Nyt tässä systeemissä on vissiin mennyt lainaukset vähän väärin…:confused: Ainakaan en itse muista että olisin kirjoittanut Meltdowin vaativan myös mikrokoodipäivityksiä. No joo ei liity asiaan…Jatkakaa.
Alkuperäinen kirjoittaja Stephen Elop: ↑
Käsittääkseni meltdownin tukkiminen vaatii windows päivityksen lisäksi uuden mikrokoodin
Nyt tässä systeemissä on vissiin mennyt lainaukset vähän väärin…:confused: Ainakaan en itse muista että olisin kirjoittanut Meltdowin vaativan myös mikrokoodipäivityksiä. No joo ei liity asiaan…Jatkakaa.
ohoh.
korjasin.
Olin ehkä meinannut alkaa vastaamaan johonkin viestiisi, jättänyt sen kirjoittamisen kesken, ja myöhemmin vastannut tuohon niin sinne jääänyt to alku tuosta.
ohoh.
korjasin.
Olin ehkä meinannut alkaa vastaamaan johonkin viestiisi, jättänyt sen kirjoittamisen kesken, ja myöhemmin vastannut tuohon niin sinne jääänyt to alku tuosta.
No ohhoh, Acerin tuelta pamahti tällainen viesti:
Koneeni todellakin on haavoittuvainen.. tuo linkki on Intel Management Engine haavoittuvuuksista. Hyvin pelaa Acerin support. zeezus.
No ohhoh, Acerin tuelta pamahti tällainen viesti:
Koneeni todellakin on haavoittuvainen.. tuo linkki on Intel Management Engine haavoittuvuuksista. Hyvin pelaa Acerin support. zeezus.
Vaikuttaa varsin asiantuntevilta tunareilta jotka tuon on julki pistäneet..
Vaikuttaa varsin asiantuntevilta tunareilta jotka tuon on julki pistäneet..
Tosiaan, jos microcode päivitys ajetaan sisään käyttistasolta niin se täytyy olla aina asennettuna. Toinen vaihtoehto on päivittää BIOS. BIOS määrää alkuperäisen microcoden, jonka sitten bootloaderi yliajaa, eli jos microcode myöhemmin poistetaan, palautuu toiminta siihen mitä BIOS:ssa on, koska käyttis ei osaa ylikirjoittaa microcodeosiota BIOS:sta….
Linuxilla Intelin microcode päivityksen voi asentaa useimmiten asentamalla paketin intel-ucode (joka siis sisältää kaikki Intelin microcodepäivitykset ja pitäisi olla joka paketinhallinnasta saatavissa, Debianilla näkyy olevan nimellä intel-microcode ja löytyy non-free reposta, joka täytyy ensin ottaa erikseen käyttöön), AMD:n microcode on linux-firmware paketissa mukana, joka on peruspaketti ja aina asennettu, eli vain Intel-käyttäjien tarvitsee asentaa erikseen. Microcoden .img pitää olla bootloaderissa ennen Linux .img:ea jotta se tulee käyttöön, mutta GRUB tekee tämän automaattisesti, kun sen config vain päivitetään intel-ucoden asentamisen jälkeen. Eli asentaa vain paketin intel-ucode ja päivittää GRUB:n. Jos käyttää jotain muuta bootloaderia kuin GRUB:ia niin silloin käsittääkseni pitää manuaalisesti värkätä bootloaderin sekaan tuo intelin microcodepäivitys. grub.cfg:n initrd kohdan tulee näyttää siis tältä:
Käsittääkseni version 2 "Spectre" vaatii microcodepäivityksen OS päivityksen lisäksi, kun OS päivitys riittää versioihin 1 (myös "Spectre") ja 3 ("Meltdown"). Ja tätä Intel ei siis aio tuottaa yli 5 vuotta vanhoihin prosessoreihin. Tosin Spectre on kuulemma hankala toteuttaa ja täten ei riitä ainoaksi syyksi normikäytössä lähtä ostamaan uutta rosessoria.
Tuon takia itse huolin NAS:iin vain hardwarea joka tukee IPMI:ä. Helppo vaikkapa biossia säädellä netin ylitse. Maksaa yleensä hieman enemmän kun löytyy vain serverikäyttöön tarkoitetuilta emolevyiltä. Mutta on se vaan niin paljon helpompi hallita ja värkätä, ettei voi kuin suositella…
Itsellä ei ainakaan Arch:ssa mitään ongelmia ole ollut fiksatussa kernelissä (4.14-sarja), mutta Ubuntu tietääkseni muokkaa kerneliä runsaamminpuoleisesti? Enkä ole huomannut mitenkään koneenkaan hidastuneen. Onko kellään havaintoja onko missään mittailtu ja julkaistu artikkelia kuinka päivitys on tiputtanut suorituskykyä ja missä tilanteissa? Käsittääkseni tuo suorituskyvyn tippuminen on varsin riippuvainen tilanteesta.
Itsellä kun NAS:ssa FreeNAS käyttiksenä, niin saanee vielä odotella päivitystä. FreeBSD (josta FreeNAS siis tehdään/muokataan) kun sai tiedon koko ongelmasta vasta joulukuun lopussa:
Kun Linuxpuolelle tämä tieto tuli jo marraskuussa, esim. Ubuntu on ilmoittanut saaneensa tiedon tästä NDA:n alaisena "jo" 9 päivä marraskuuta. Sitä en tiedä saiko kernel porukka jo ennen tätä tietoonsa (tai saiko esim. Microsoft tai Apple tietää jo ennen tätä), mutta FreeBSD on aika pahassa jälkijunassa… Ihme ettei kukaan heille ilmoittanut aikaisemmin…
Tosiaan, jos microcode päivitys ajetaan sisään käyttistasolta niin se täytyy olla aina asennettuna. Toinen vaihtoehto on päivittää BIOS. BIOS määrää alkuperäisen microcoden, jonka sitten bootloaderi yliajaa, eli jos microcode myöhemmin poistetaan, palautuu toiminta siihen mitä BIOS:ssa on, koska käyttis ei osaa ylikirjoittaa microcodeosiota BIOS:sta….
Linuxilla Intelin microcode päivityksen voi asentaa useimmiten asentamalla paketin intel-ucode (joka siis sisältää kaikki Intelin microcodepäivitykset ja pitäisi olla joka paketinhallinnasta saatavissa, Debianilla näkyy olevan nimellä intel-microcode ja löytyy non-free reposta, joka täytyy ensin ottaa erikseen käyttöön), AMD:n microcode on linux-firmware paketissa mukana, joka on peruspaketti ja aina asennettu, eli vain Intel-käyttäjien tarvitsee asentaa erikseen. Microcoden .img pitää olla bootloaderissa ennen Linux .img:ea jotta se tulee käyttöön, mutta GRUB tekee tämän automaattisesti, kun sen config vain päivitetään intel-ucoden asentamisen jälkeen. Eli asentaa vain paketin intel-ucode ja päivittää GRUB:n. Jos käyttää jotain muuta bootloaderia kuin GRUB:ia niin silloin käsittääkseni pitää manuaalisesti värkätä bootloaderin sekaan tuo intelin microcodepäivitys. grub.cfg:n initrd kohdan tulee näyttää siis tältä:
Käsittääkseni version 2 "Spectre" vaatii microcodepäivityksen OS päivityksen lisäksi, kun OS päivitys riittää versioihin 1 (myös "Spectre") ja 3 ("Meltdown"). Ja tätä Intel ei siis aio tuottaa yli 5 vuotta vanhoihin prosessoreihin. Tosin Spectre on kuulemma hankala toteuttaa ja täten ei riitä ainoaksi syyksi normikäytössä lähtä ostamaan uutta rosessoria.
Tuon takia itse huolin NAS:iin vain hardwarea joka tukee IPMI:ä. Helppo vaikkapa biossia säädellä netin ylitse. Maksaa yleensä hieman enemmän kun löytyy vain serverikäyttöön tarkoitetuilta emolevyiltä. Mutta on se vaan niin paljon helpompi hallita ja värkätä, ettei voi kuin suositella…
Itsellä ei ainakaan Arch:ssa mitään ongelmia ole ollut fiksatussa kernelissä (4.14-sarja), mutta Ubuntu tietääkseni muokkaa kerneliä runsaamminpuoleisesti? Enkä ole huomannut mitenkään koneenkaan hidastuneen. Onko kellään havaintoja onko missään mittailtu ja julkaistu artikkelia kuinka päivitys on tiputtanut suorituskykyä ja missä tilanteissa? Käsittääkseni tuo suorituskyvyn tippuminen on varsin riippuvainen tilanteesta.
Itsellä kun NAS:ssa FreeNAS käyttiksenä, niin saanee vielä odotella päivitystä. FreeBSD (josta FreeNAS siis tehdään/muokataan) kun sai tiedon koko ongelmasta vasta joulukuun lopussa:
Kun Linuxpuolelle tämä tieto tuli jo marraskuussa, esim. Ubuntu on ilmoittanut saaneensa tiedon tästä NDA:n alaisena "jo" 9 päivä marraskuuta. Sitä en tiedä saiko kernel porukka jo ennen tätä tietoonsa (tai saiko esim. Microsoft tai Apple tietää jo ennen tätä), mutta FreeBSD on aika pahassa jälkijunassa… Ihme ettei kukaan heille ilmoittanut aikaisemmin…
Windowsille tuli jo joskus marraskuussa patcheja näihin haavoittuvuuksiin liittyen. Eiköhän Microsoft ja Apple ole olleet tietoisia näistä about heti silloin kesällä, kun Google on nämä löytänyt.
Syy miksi avoimen lähdekoodin hermannit saavat tietää näistä myöhässä on se, että todennäköisyys haavoittuvuuksien vuotamiselle kasvaa noin stetsonista vetämällä 50 % jokaisena 24h heille kertomisen jälkeen. Linux kehittäjiin luotetaan selvästi hitunen enemmän mitä *BSD-kavereihin. Etenkin kun siellä *BSD-puolella on kritisoitu näitä NDA:n alaisia settejä aiemminkin.
edit: Nytkin tämä homma vuosi sen takia, että joku oli laskenut 1+1 Linuxiin tullessa turbonopeudella PTI-patcheja, mitkä normaalisti kokisivat kuukausien vänkäämisen ja tuunaamisen postituslistalla ennen kuin ne otettaisiin kerneliin.
Windowsille tuli jo joskus marraskuussa patcheja näihin haavoittuvuuksiin liittyen. Eiköhän Microsoft ja Apple ole olleet tietoisia näistä about heti silloin kesällä, kun Google on nämä löytänyt.
Syy miksi avoimen lähdekoodin hermannit saavat tietää näistä myöhässä on se, että todennäköisyys haavoittuvuuksien vuotamiselle kasvaa noin stetsonista vetämällä 50 % jokaisena 24h heille kertomisen jälkeen. Linux kehittäjiin luotetaan selvästi hitunen enemmän mitä *BSD-kavereihin. Etenkin kun siellä *BSD-puolella on kritisoitu näitä NDA:n alaisia settejä aiemminkin.
edit: Nytkin tämä homma vuosi sen takia, että joku oli laskenut 1+1 Linuxiin tullessa turbonopeudella PTI-patcheja, mitkä normaalisti kokisivat kuukausien vänkäämisen ja tuunaamisen postituslistalla ennen kuin ne otettaisiin kerneliin.
Microsoft Says Windows 10 PCs Running Haswell Or Older Intel CPUs Can Expect Significant Slowdowns Post-Spectre Patch | HotHardware
Tuo on kyllä jotenkin huvittavaa miten kerrotaan että Haswell ja vanhemmat prossut tulevat ottamaan pahiten osumaa Variant 2:n paikkaamisesta, mutta sitten kuitenkin koko ajan on myös kerrottu ettei yli 5v prossuille ole edes tulossa mitään mikrokoodipäivityksiä jotka siihen vaikuttaisivat (jolloin tämä Variant 2, eli "Branch Target Injection" jää käytännössä niiden prossujen osalta paikkaamatta). Päättäisivät jo! 😀
Microsoft Says Windows 10 PCs Running Haswell Or Older Intel CPUs Can Expect Significant Slowdowns Post-Spectre Patch | HotHardware
Tuo on kyllä jotenkin huvittavaa miten kerrotaan että Haswell ja vanhemmat prossut tulevat ottamaan pahiten osumaa Variant 2:n paikkaamisesta, mutta sitten kuitenkin koko ajan on myös kerrottu ettei yli 5v prossuille ole edes tulossa mitään mikrokoodipäivityksiä jotka siihen vaikuttaisivat (jolloin tämä Variant 2, eli "Branch Target Injection" jää käytännössä niiden prossujen osalta paikkaamatta). Päättäisivät jo! 😀
Tä? Ei microsoft ole tehnyt mitään päätöksiä 5 vuoden rajasta, joten miten ihmeessä se voisi kommentoida sellaisia?
Tä? Ei microsoft ole tehnyt mitään päätöksiä 5 vuoden rajasta, joten miten ihmeessä se voisi kommentoida sellaisia?
En minä Microsoftista puhunutkaan, vaan laitevalmistajista. Oliko se nyt peräti Intel (vai Asus) joka niin totesi?
En minä Microsoftista puhunutkaan, vaan laitevalmistajista. Oliko se nyt peräti Intel (vai Asus) joka niin totesi?
No miten se liittyy sitten uutisen jossa käsitellään microsoftia ja microsoftin arvioita nopeushaitoista?
Vai yrititkö jotain vitsiä heittää?
No miten se liittyy sitten uutisen jossa käsitellään microsoftia ja microsoftin arvioita nopeushaitoista?
Vai yrititkö jotain vitsiä heittää?