Spectre ja Meltdown ovat olleet viimepäivien kuumin puheenaihe IT-maailmassa. Suurimman osan huomiosta on saanut Intel, vaikka haavoittuvuudet koskevat myös muita valmistajia.
Spectre- ja Meltdown-haavoittuvuuksien paikkaamisen tiedetään vaikuttavan tietokoneiden suorituskykyyn. Se, miten paljon paikat suorituskykyä laskevat, riippuu ennen kaikkea tietokoneella tehtävistä tehtävistä. Suurimman suorituskyvyn laskut tapahtuvatkin lähinnä datakeskuksissa, joissa palvelimiin kohdistuu raskasta I/O-rasitusta.
Intel on julkaissut omat suorituskykytestinsä koskien kotikäyttäjien tietokoneita Windows-alustoilla. Testit on ajettu yhtiön kolmen viimeisen sukupolven prosessoreilla käyttäen erilaisia synteettisiä testejä. 8. sukupolven Coffee Lake -prosessoreilla ja 8. ja 7. sukupolven Kaby Lake -mobiiliprosessoreilla testit on suoritettu Windows 10 -käyttöjärjestelmällä ja 6. sukupolven Skylake-prosessoreilla sekä Windows 10:llä käyttäen SSD-asemaa että Windows 7:llä käyttäen SSD-asemaa ja kiintolevyä. Testit ajettu SYSmark 2014 SE-, PCMark 10- 3DMark Sky Diver- ja WebXPRT 2015 -ohjelmilla.
Intelin omien testien mukaan suorituskyky on laskenut lähes jokaisessa testissä, mutta muutama poikkeuskin löytyy. Suorituskyvyn kerrotaan jopa parantuneen kiintolevyllä ja Windows 7:llä varustetulla Skylake-kokoonpanolla SYSMark 2014 SE:n Data/Finance Analysis- ja Responsiveness-testeissä sekä samalla prosessorilla, SSD-asemalla ja Windows 10 -käyttöjärjestemällä SYSMark 2014 SE:n Data/Finance Analysis -testissä, 3DMark Sky Diverin kokonaistuloksessa, grafikka-testissä ja grafiikka- ja fysiikkatestit yhdistävässä Combined-testissä.
Suurin negatiivinen vaikutus päivityksistä on saatu SYSMark 2014 SE:n Responsiveness-testissä Skylake-prosessorilla Windows 10 -alustalla ja Kaby Lake -mobiiliprosessoreilla. Skylaken tapauksessa suorituskyky oli vaivaiset 79 % alkuperäisestä, kun Kaby Lakejen suorituskyky riitti niin ikään erittäin heikkoon 86 %:iin alkuperäisestä. Myös Coffee Lake -kokoonpanoin ja Windows 7:lla ja SSD-asemalla varustetun Skylake-kokoonpanon tulokset laskivat alle 90 %:iin päivittämättömien verrokkien tuloksista samassa testissä.
Löydät kaikki suorituskykylukemat uutisen kuvasta, jonka voi avata täyteen kokoon klikkaamalla.
Lähde: Intel
Intelin Linuxille tarjoama mikrokoodifile sisältää mikrokoodin kaikille Intelin prossuille. Siinä on siis tässä tapauksessa paikkaamattomille prossuille joku vanha mikrokoodi. Riemastuin ensin itsekin, kun parin vanhan läppärin prossut löytyi listalta. Harmittava totuus paljastui, kun päivitysohjeita googlatessa tajusin tuon ja sisäistin Intelin oman kuvauksen lataussivulta.
Mun läppäreiden Ubuntuissa (16.04 ja 17.10) intel-microcode paketti näytti olevankin jo asennettuna ja päivittyneen uusimpaan. Pettymyksen varmistaakseni ajoin vielä tarkistuksen näitä ohjeita mukaillen: How to update Intel microcode properly?
Uusin mikrokoodi vuodelta 2013 on käytössä ja kernelikin on sitä mieltä, että CPU on insecure 🙁
No voihan damn. No sitten tämä 5v on totuus mikä pitää kestää.
Käynnistitkö Chrome välissä uusiksi? Tuon asetuksen vaihtaminen kun vaatii sen.
Joo, mutta silti sanoo että not vulnerable.
offtopikkiin menee mutta..
Jos en väärin muista niin nykyisten Ryzen prosessoreiden IPC on hiukan parempi kuin haswell.
Kyllähän sen näinkin voi tulkita että ei Intelillä välttämättä ole hinkua hoputtaa laitevalmistajia ainakaan kotipuolella paikkaamaan tätä.
No kyllä se aika aikoinaan oli kun winxp:tä asenneltiin ja siihen service packejä. Tuossa joku jo ehtikin asiasta mainita, jos se puhas xp asennus sai olla julkisen IP:n kautta netissä, niin eipä siihen montaa minuuttia mennyt kun se oli ryönää täynnä.
Prosessorille 5960x oli päivitys tuossa mikrokooditiedostossa, versio 0x38->0x3b, mutta molemmissa päiväys 2017-11-17. Testin mukaan tuo microkoodi ei kuitenkaan sisällä spectre-suojausta:
Pitänee asennella nuo retpoline patchit kerneliin ja kääntäjään kunhan ehtii.
Opera v.51.0.2830.2 (64-bit, viimeisin) antaa W10/64 (pätsätty Windows, ei pätsätty BIOS/mikrokoodi) tuloksen:
Tämä vaikka Operasta päällä säädöt (opera://flags):
Strict site isolation=ENABLED (#enable-site-per-process=1)
Top document isolation=ENABLED (#enable-top-document-isolation=1)
Eli Opera on ainakin haavoittuva (Spectre) vielä nykyversiossaan.
katso liitettä 71250
Näin, vaikka selain olisi haavoittuva. Tyhmä testi.
Tuossa pitäisi siis lukea että "Your system is not vulnerable through this browser". Haavoittuvuushan ei ole mikään selaimen haavoittuvuus, vaan prossun!
Asentelin tuossa muutama päivä takaperin Windowsin (8.1) uusimmat tietoturvapäivitykset (joukossa oli myös Intelin päivitys) ja kaikki selaimeni antavat tulokseksi "Not vulnerable" (IE, Firefox & Opera Neon (<- perustuu Chromiumiin))
Koitin hieman ATK-harrastaa mielenrauhani vuoksi tämän kommentin innoittamana. Prosessorina Xeon E3-1230-V3 ja emolevynä ASrock H87 Pro4. BIOS-päivitystä tähän tuskin enää tulee, tai ainakaan kovinkaan nopealla aikataululla.
VMwaren mikrokoodin päivitystyökalulla onnistuu kyllä mikrokoodin päivitys (versioon 23, 20-11-2017), mutta Windows kerkeää ladata kernelinsä käynnistysvaiheessa ennen mikrokoodia, ja hylätä Spectre-/Meltdown-paikan käyttöönoton.
Koitin saada mikrokoodin latautumista aikaistettua muuttamalla parametreja StartType=0x2 -> 0x1 -> 0x0 (0x0:lla ei käynnisty enää), LoadOrderGroup=Extended Base -> Base -> SCSI Class -> WdfLoadGroup, mutta mikrokoodi ei lataudu tarpeeksi ajoissa. Get-SpeculationControlSettingsillä näkee, että laitteisto- ja ohjelmistotuki kyllä paikalle löytyy:
Hardware support for branch target injection mitigation is present: True
Windows OS support for branch target injection mitigation is present: True
Windows OS support for branch target injection mitigation is enabled: False
…
Koska mikrokoodi näytti olevan korjattua versiota, modasin sen suoraan ASrockin viimeisimpään viralliseen biokseen ja päivitin emolevylle. Toimenpide ei ole kovin monimutkainen, mutta sitäkin jännittävämpi. Todellinen ATK-harrastaja pääsee näillä ohjeilla liikkeelle. Ei sovellu aloittelijalle eikä edes edistyneemmälle, vaan tiedät mitä teet -tyypille.
[Guide] How to flash a modded ASUS/ASRock/Gigabyte AMI UEFI BIOS
[Tool Guide+News] "UEFI BIOS Updater" (UBU)
Lopputuloksena mielenrauhani on astetta tyynempi:
katso liitettä 71254
Toki, mutta jos testi on oikein selaimen kohdalla on sekin tieto ihan jees.
Kuitenkin selaimen kautta tehtäviä aukon hyödyntämisiä pitää pelätä eniten.
Ashampoo® Spectre Meltdown CPU Checker
Ihan prohvessionaalisen näkönen security check tool.
Oletko koittanut päivittää? Mulla sanoo EzFlash utility, että "not a proper BIOS file". Onkohan tuo kuitenkaan oikea file Maximus VIII Herolle (ilman ALPHAA), kun on tiedosto nimetty "MAXIMUS-VIII-HERO-ALPHA-ASUS-3703"..?
Random sivuilta löytyviä testejä on aina hieman epäilyttävää ajella. Ei siis liity tähän linkkiin vaan yleisesti tietoturva"testeihin".
Ööö *sormi suussa* mitäs tämä nyt sitten meinaa? Eikö tuo microcode nyt ollutkaan toimiva? Sori, ei vaan osaamistaso riitä ymmärtämään mitä tässä nyt oikein sanottiin.
Eli tuo Intelin mikrokoodipäivitys ei sisältänyt päivitystä kyseiselle prosessorille.
No eiköhän tässä kannata odotella vielä ihan rauhassa. Intelin tavoite oli tällä viikolla hoitaa 90% alle 5v vanhoista prossuista ja vanhempia sitä mukaa kun ehtivät ja priorisoivat. Sen verran megaluokan bugista on kyse, että ihmettelisin jos ei jossain vaiheessa sandyt ja ivyt (ja miksei vanhemmatkin) tulis mukaan korjausten piiriin.
LÄHDE: Intel's Security-First Pledge
Tänään otin tuon työn alle ja ei onnistunut päivitys. Mitä pikaisesti googletin, niin ilmeisesti ASUS sössinyt, tuo on nimenomaan Hero Alpha:lle.
Onneksi ei suostunut päivittämään, olis voinut mennä solmuun 😮
Raspberry Pi Pi 3 Premium Kit – 79,00€
Hyvin menee näköjään kaupaksi D:
Oma kolmen markan kommenttini koko hiton rumbasta………
Eksyin tähän ketjuun, päivitin biosin sekä OS:n kun olivat heti saatavilla. (Asus Prime Z370-P, i3 8350k)
Suorituskyky ei alentunut juurikaan oleellisesti, samaa ei voi vakaudesta.
Aivan käsittämätöntä kaatuilua softista ja työpöydältäkin, buuttilooppeja jne jne……aivan käyttökelvoton siinä tilassa koko kone.
Eipä auttanut kuin päivittää bios vanhempaan, ja nyt tällä pystyy jo jotain tekemäänkin.
Summa summarum……seuraavaksi kun romut vaihdan niin se on leirin vaihto, sen verran nosti verenpainetta useaan otteeseen.
Kyselin Acerin supportilta, että miksihän heidän haavoittuvuus-sivulla ei ole vieläkään omaa konemallia jossa i5-4200U prosessori. Vastasivat:
Intelin tuolla sivustostolla on kuitenkin listattuna "4th generation Intel® Core™ processors" ja minun "Core i5-4200U" prosessori löytyy Intelin omalta "4th Generation Intel® Core™ i5 Processors" sivulta.
Ihan käsittämätöntä soopaa taas Acerilta, sekä supportilta, että miten väärää tietoa antavat haavoittuvat koneet sivullaan.
Veikkaanpa, että jos tarkistaisin ne listatut konemallit tuolta Acerin sivuilta, niin ne kaikki olisivat vain esim. 2-3 vuotta vanhoja, eli luulenpa, että yrittävät päästä mahdollisimman vähällä tästä tapauksesta ja tukea vain ihan uudempia konemalleja, ja samalla antavat muille aivan väärää haavoittuvuustietoa koneista. /mutu
Itse ajoin tuon Dellin updaten josta laitoin aiemmin juttua, mutta lakkasi sitten TB telakka toimimasta ja jouduin kanssa palaamaan aiempaan BIOS versioon. Ei varmaan suoraan johdannaista tästä mikrokoodipäivityksestä vaan jostain muusta BIOS ongelmasta, mutta noh se tuli tuon pätsin mukana kuitenkin.
Hohhoijaa, kokeilin nyt itsekin sitä Microsoftin Powershell-hommaa josta näkisi haavoittuvuuksien tilanteen. Ensiksi piti asennella "Windows Management Framework 5.0" koneelle ja bootata, sitten powershellistä "Install-Module SpeculationControl" komento jonka jälkeen tuli "NuGet provider is required to continue" ja sen lataus ilmeisesti onnistui mutta sen jälkeen tuli virhe:
PS C:Windowssystem32> Install-Module SpeculationControl PackageManagementInstall-Package : No match was found for the specified search criteria and module name 'SpeculationCo ntrol'. At C:Program FilesWindowsPowerShellModulesPowerShellGet1.0.0.1PSModule.psm1:1375 char:21 + ... $null = PackageManagementInstall-Package @PSBoundParameters + ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ + CategoryInfo : ObjectNotFound: (Microsoft.Power....InstallPackage:InstallPackage) [Install-Package], Ex ception + FullyQualifiedErrorId : NoMatchFoundForCriteria,Microsoft.PowerShell.PackageManagement.Cmdlets.InstallPackageJa sama virhe toistuu kun ajaa "Install-Module SpeculationControl" komentoa uudestaan. Vaikeata pitää näköjään kaikki olla. Kellään mitään hajua mistä kysymys?
Mulla ei ole hajua mistä on kysymys, kun PowerShell ei ole tuttu. Mutta itse sain ajettua tuon niillä "PowerShell Verification using a download from Technet" ohjeilla, jotka on heti "PowerShell Verification using the PowerShell Gallery" ohjeiden alapuolella.
Kokeileppa päivittää uusin ps, 5.1. Download Windows Management Framework 5.1 from Official Microsoft Download Center
Sain nuumion vinkillä toimimaan jo. Mutta kiitos vinkistä, jostain syystä en eksynyt uusimman version downloadiin. Tosin tuolla Microsoftin powershell-tsekkaussivulla sanotaan sille ensimmäiselle tavalle "PowerShell Verification using the PowerShell Gallery (Windows Server 2016 or WMF 5.0/5.1)", eli pitäisi kylläkin kait toimia WMF 5.0:llakin.
Päivitin linuxille julkaistuista uusista microcodeista, microcodin biosista g3258 prossulle, lautana joku asuksen h81. Powershell herjaa silti ettei hardware puolella ole suojausta,. Sanoisin että odotellaan vaan. Kuinkakohan pahana on kännykän turvallisuus puoli..
Onko kukaan onnistunut löytämään tietoa siitä että tälle haavoittuvuudelle olisi joskus (soon) tulossa fixi joka ei hidasta prossua lainkaan vai onko tyytyminen nyt tähän että ”Ostit kalliin kiven joka ei todellisuudessa vastaakaan lukemiasi testiraportteja vaan toimii X-nopeudella”?
Meinaakohan Intel ja emolevyvalmistajat nyt tosiaan jättää tuon Spectre paikkauksen vain käyttäjien omalle vastuulle? Jos tuota korjausta ei nimittäin esim. Windows puolella tulla syöttämään Windows updaten kautta, niin kuinkahan suuri osa niistä 5 vuotta tai uudempaakin rautaa käyttävistä koneista tullaan koskaan paikkaamaan? Itse veikkaisin, että selvä vähemmistö.
Googlen tekemä Retpoline väitetään olevan sellainen ratkaisu.
Variant 2 kun on se, jonka väitetään olevan vaikein pätsätä ilman performance hittiä.
Mulla ei ole mitään tietoa tuleeko tuo ja koska, ja mitä kautta….
Google claims its Spectre patch results in 'no degradation' to system performance | TheINQUIRER
Google on tuon jo omille palvelimilleen laittanut.
Kivi vastaa testiraportteja. Ohjelmat hidastavat itseään.
Patchit ovat kokonaisuutena kasa korjauksia satoihin ellei tuhansiin ohjelmiin. Ei tuota voi korjata mitenkään yhdellä jeesuskorjauksella.
Windows Users Targeted by Fake Meltdown and Spectre Update :/
Eiköhän päivitykset tule joko Windowsin kautta tai sitten BIOS päivitys valmistajalta…
Erään tietokantapalvelimen loadit ennen ja jälkeen korjauksen. Käyttäjiltä saadun palautteen perusteella, kohonneet arvot eivät kuitenkaan tuntuisi vaikuttavat päivittäiseen käyttöön.
Ja näin se vain tuotteen virhe selitellään ihmeellisesti ohjelmien syyksi. Miten siniset lasit pitää olla päässä ettei pystytä myöntämään sitä faktaa että Intelin tuotteissa on virhe jonka takia onjelmistopuolella joudutaan tekemään purkkavirityksiä että noita virheellisiä tuotteita edes uskallettaisiin kriittisissä paikoissa enää edes käyttää.
Useille Asuksen Z270 emoille tuli jopa yli puolen vuoden jälkeen bios päivityksiä viime viikolla.
Mm. jotain mikrokoodi päivityksiä sisälsivät mutta sen tarkemmin en tutkinut tai googletellut mitä noi itseasiassa korjasivat vaikka eilen lautani päivitin.
Nyt on oikea BIOS-päivitys tullut suomenkieliselle sivulle:
MAXIMUS VIII HERO Driver & Tools | Emolevyt | ASUS Suomi
Tai tuossa suora linkki:
http://dlcdnet.asus.com/pub/ASUS/mb/LGA1151/MAXIMUS_VIII_HERO/MAXIMUS-VIII-HERO-ASUS-3703.zip
Englanninkielisellä sivulla tarjoaa vielä vanhaa…
Laitoin asentaen ja tuntuu toistaiseksi toimivan, mutta kyllä ainakin testien mukaan pientä suorityskyvyn laskua on tullut. Huomaako tuota ihan käytössä, niin en vielä osaa sanoa.
katso liitettä 71761
CINEBENCH:
RealBench:
Ikävä yllätys iPhonen omistajille – Spectre-päivityksen jälkeen hidastuminen "järkyttävällä tasolla" | Kauppalehti
iluurit ottaa pahasti osumaa tuon mukaan.
Eikös nuo "Melv1inin testit" ole jo kyseenalaistettu aiemmin?
On.
Tietääkseni konsensus on se, että jotain mätää testeissä. Esimerkkinä että käytetty laite olisi samalla saanut kuuluisan battery drain päivityksen, eli tarpeeksi vanhan iPhonen suorityskykyä rajoitetaan jotta akku kestää edes lähelle sitä mitä ostaessa.
melv1n näemmä jo poistanut tulokset: https://melv1n.com/iphone-performance-benchmarks-after-spectre-update/
Tällä AMD pojalla juhlapäivät käynnissä.
Lenovo g40 läppäri näyttää win 10 patchin jälkeen ashampoon testillä että meltdown ei olis korjautunu? Miten mahdollista?
Mike Newswanger – Meltdown & Spectre Performance Impact at Stack Overflow
Eikös se Win10 päivitys vedetty pois jaosta joskus viikko sitten? Ainakin osalta koneista jos koneesta löytyy Intelin suoritin…
Omaan Gigabyte GA-H270N-WIFI on näköjään julkaistu F8b bios (Update CPU Microcode). Tuo kone on nyt siinä käytössä mihin se tarkoitettu eli pfSense laitteena.
Odoteltava vielä, että pfSense (FreeBSD) saa jotain korjattua.
An update on Meltdown and Spectre
Onko asennettuna joku antivirus softa joka ei ole yhteensopivuus listalla?
Isän HP probook, jossa i5-4200u, näyttäisi saaneen tuon BIOS päivityksen.
HP näyttäisi (ainakin tässä keississä) olevan selvästi vastuullisempi. Oma koneeni ei ole vieläkään "haavoittuvien Acer koneiden" listalla. Luin kahdesta eri Acerin foorumista, että jotkut käyttäjät olivat saaneet Aceriltä vastausta, että 6kk menee/kesällä 2018 tulee jotain paikkauksia. Jep.
Lenovo näyttäisi puskeneen firmikset kohta kaikille ilmoitetuille ja laajensi juuri tukea jopa 2011 vuosimallin thinkpadeihin.
HP:lla on muutenkin paras ajurituki, ainakin yrityspuolella. Löytyy esim. kaikki vanhat ajuriversiot ja changelogit toisin kuin esim. Lenovolla.
Gigabyte näyttää saaneen Z170-Gaming K3 EU emoille päivityksen pihalle. Kuvauksessa lukee: Update CPU Microcode
Täytyypi asennella kun ehtii.