Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

[Tekkla]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Die 20-30% sind ja absoluter worst case und sehr anwendungen-spezifisch. Letztlich wird der Durchschnittskunde nichts merken, weil man bei 1-2 % nunmal nix merkt.

Richtig. Weil die allesamt mit mit ihrem (nach hinten raus kastrierten?) Porsche Cayenne durch die Stadt tingeln.

 

[PrivateCeralion]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

"How much are #sklearn and other #MachineLearning, #DeepLearning, and #DataScience libraries slowed down by the #Meltdown bug and patch?"

Randy Olson auf Twitter: "How much are #sklearn and other #MachineLearning, #DeepLearning, and #DataScience libraries slowed down by the #Meltdown bug and patch?

A p… https://t.co/wL8wk8S4IT"

 

[yummycandy]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

"How much are #sklearn and other #MachineLearning, #DeepLearning, and #DataScience libraries slowed down by the #Meltdown bug and patch?"

interessant dazu fefe's Post: Fefes Blog

...
Wieso hören wir davon nichts?

Update: Hier kommt sie.

- Ein Leser schreibt:
als Sysadmin eines Anbieters von "Cloudservern" kann ich dir zumindest für UNS deine Frage beantworten: Von uns zum Beispiel hört man dazu nichts, weil es für das verwendete Hostbetriebssystem (Joyent SmartOS) noch keine Patches gab. Und auch sonst gibt man sich wohl schmallippig dazu. Könnte mir jedenfalls vorstellen, dass hier auch andere Cloudanbieter schlicht noch nicht so weit sind. Die physikalischen Server die bereits gepatcht sind verhalten sich bislang allerdings unauffällig.

Für nächste Woche ist wohl geplant, dass wir die Patches ausrollen, sofern sie wirklich verfügbar sind, dann werden wir ja sehen wie hart es VM-Hosts mit 30 bis 35 Gästen trifft. So oder so, bei mehr als 1500 physikalischen Hosts steht uns noch viel Arbeit ins Haus. Einziger zu erwartender positiver(?) Effekt: Die ganzen alten Schleudern, für die es keinen Herstellersupport mehr gibt, dürften bald ausrangiert werden.

- Ein anderer Einsender meint:

Weil die großen Cloud-Provider noch mitten im Patchen ihrer Infrastruktur sind. Amazon rollt seit ~2-3 Wochen peu a peu Instanzen durch. Azure hat das große Patchen für ab dem 9. Januar angekündigt, wir sehen bei uns aber Hinweise das sie intern vermutlich doch schon Maschinen durchstarten. Dazu kommt dass die Kunden sich gerade erst fertig machen ihre Applikations-Images mit den von AWS geupdateten Base-Images zu backen und zu releasen. In vielen Fällen werden die Kunden noch in der Schadensbestandsaufnahmephase sein und testen wie sehr ihre Applikationen betroffen sind.

Bei uns weiß ich von mindestens einer Applikation bei der wir auf einen größeren Instanztyp gehen werden müssen weil die Applikation auf dem derzeitigen eh schon sehr nah am Limit lief und nun permanent zuviel Load hat. In einem anderen Fall beobachten wir bei einer ElastiCache Umgebung mit klein gewählter Instance-Size seit 2 Wochen deutlich höhere Antwortzeiten inkl. mehr Time-Outs als zuvor, nachdem die darunterliegenden Instanzen kurz vor Weihnachten alle im Rahmen einer AWS planned maintenance durchgebootet wurden.
Aber wie gesagt, ich denke momentan sind die meisten Betroffenen noch am patchen und beginnen gerade erst damit zu analysieren, welche Mehrkosten dadurch entstehen.

- Das Joyent-Ding ist übrigens kein Randgruppenproblem: ich arbeite selbst bei einem der größeren deutschen Cloud-Anbieter. Hier wurde in den letzten Jahren sehr stark auf SmartOS umgestellt um mehr Leistung zu erziehlen und damit das Preis/Leistungs-Verhältnis zu bessern. Für SmartOS stehen derzeit noch keine Updates bereit.
Das SmartOS basiert übrigens auf der Open-Source-Version von Solaris.

- Ein Einsender wirft die Frage auf, ob vielleicht die Zocker-Infrastrukturen (Börsen, etc) den Patch nicht einspielen werden, weil Latenz wichtiger als Security ist. Nicht nur Joyent hat noch keine Patches: bezüglich deiner Frage warum man bisher noch nicht viel von einer Cloud-Apokalypse hört kann ich aus meiner persönlichen Erfahrung als Angestellter bei einem großen deutschen Hoster folgendes sagen:
Alle unsere virtuellen Systeme laufen unter verschiedenen Virtualiserungslösungen der Firma Parallels (Virtuozzo) und bisher sind die Patches für diese Systeme noch nicht verfügbar und damit auch noch nicht eingespielt.
Das volle Ausmaß von Meltdown und Spectre auf unsere Intel-basierte Infrastruktur ist dem C-Level und auch den meisten anderen Personen in der Firma nicht bewusst bzw. wird als nicht so schlimm eingestuft.
Das jetzt ein großer Wechsel auf AMD-Prozessoren stattfinden wird ist unwahrscheinlich, die Hardwareplattformen sind eingerichtet und alle Prozesse für diese Systeme optimiert ein Wechsel erfordert einiges an Aufwand und Entwickler-Ressourcen sind knapp.
Ich vermute das dies einfach auf den Kunden abgewälzt wird, wenn seine Ressourcen nun nicht mehr ausreichen soll er halt auf eine größere Ausbaustufe wechseln.

 

[plusminus]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Ich spiele zwar nicht mit 144hz oder gar 200, auch wenn es sicher einen Unterschied machen würde bei schnellen Shootern o.Ä.
Aber da selbst ich mit einer 10 Jahre alten CPU nicht ins CPU Limit komme, denke ich, dass man das über 60hz sehr wohlt tut und mir das nur noch nicht aufgefallen ist.




Man ist sich des Sicherheitsproblems schon seit über 20 Jahren bewusst, das schrieb ich auch schon vor zig Seiten.




Cool, es geht also nun 1% langsamer (Intel) oder gar nicht. Danke Microsoft, wieder mal gut gemacht
#Es ist recht unwahrschienlich, dass es jemanden hier trifft
2) es ist noch unbekannt, ob es überhaupt konkret schon Leute gibt, die diesen Fehler ausnutzen - außer die Forscher



Also ich browse nur als Test gerade via Teamviewer. Geht eigentlich ganz gut. Da ist das Risiko natürlich von 0.1% jetzt 0.0


Es ist eine andere Ebene als die zigtausend Lücken die jede Woche bekannt werden und eigentlich Lücken in der Software sind.
Es ist nicht unsicherer wie diese tausenden anderen Lücken. Aber es ist schwerer zu stopfen.
Wenn du also nervös bist, solltest du den persönlichen "Nervositätsstatus" vor der veröffentlichung einnehmen und 1 Promille Nervosität dazurechnen















Also eigentlich viel Wind um nichts , da es sehr viel mehr aktuelle Software Lücken gibt als die zwei -drei Harware Lücken von denen nur noch eine übrigbleibt , die dann auch nur mit sehr großem Aufwand unter Laborbedinungen ausgenutzt werden kann

 

[Olstyle]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Ein Bug von ihm heißt "Halt and Catch Fire". Der bringt mal eben die CPU zum kompletten anhalten (abstürzen?).

Halt and Catch Fire ist ziemlich gängig (und der Name einen genialen TV-Serie):
Halt and Catch Fire - Wikipedia
Der F00F Bug war z.B. auch ein solcher Befehl.

 

[yummycandy]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Halt and Catch Fire ist ziemlich gängig (und der Name einen genialen TV-Serie):
Halt and Catch Fire - Wikipedia
Der F00F Bug war z.B. auch ein solcher Befehl.

Ich guck die Serie gerade, kenne sie schon länger.
Den Halt and Catch Fire gibts schon ewig, allerdings gabs seit 2017 nen neuen, den keiner kannte auf x86.

 

[Olstyle]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

XKCD Hat das Thema übrigens auch aufgenommen und eine nette Analogie zur Erklärung gefunden (Phantom Trolleys with Hammers):
xkcd: Meltdown and Spectre
Nebenbei versteckt sich da auch der Hinweis auf einen älteren HW-Bug:
Rowhammer – Wikipedia

 

[arkim]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Ich habe einen Sandybridge Core-i7 2600k, der bei 4 GhZ läuft. Solange ich noch nicht gesicherte Hinweise habe, welche Leistungsauswirkungen es gibt (ich mache Audioproduction und spiele manche Sims, da ist CPU ein Thema) - solange schalte ich Windows Update aus und halte Augen und Ohren offen. Ist eben viel Rauschen da draußen und Heise Online hat auch immer mehr Durchschnittsuser unter den Foristen, oder zumindest kaum IT-ler. Irgendwann bin ich leider auch aus dem Usenet ausgestiegen.

Zumindest für die AMD-Leute kam die BSOD-Thematik auf. Kann ich echt nicht gebrauchen. So hat Microsoft den Zorn auf sich gezogen, Intel wird sich freuen.
Das Thema nervt schon auf der Arbeit, da die User/Laien Zeit binden, weil Sie es natürlich auch nicht besser wissen. Gerade CPU-nahe Thematiken sind eben auch eine spezielle Sache - aber User sind eben nur User. Die meisten IT-ler können so ein Projectzero-Paper auch nicht verstehen (und müssen es auch gar nicht). Und die, die es verstehen sind zur Zeit auch eher machtlos.

Felix ist auf jeden Fall eine gute Zentrale dafür, dass Leute aus dem Nähkästchen plaudern. Man merkt oft, dass die öffentliche Meinung gerne mal absolut gar nichts mit Realitäten/Zwängen vor Ort, da wo gehobelt wird, zu tun hat.
Ich arbeite auch für die IT (und zwar an interessanter Stelle, an einer Schnittstelle zwischen interner IT und ausufernder Externalisierung, wie überall) eines sehr bekannten DAX-Unternehmens, es gäbe da einiges zu berichten. Tue ich aber nicht Man muss bis zur Rente schön die Schnauze halten - jeden Tag mit Absurdistan klarkommen, das ist die Herausforderung.

 

[xaskor]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Das Windows Update kannste ruhig ziehen, das zieht doch kaum irgendwas.
Nur vor dem Microcode Update habe ich bissl "Angst" mit meinem Skylake

 

[JackTheHero]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Brauchste nicht.

 

[Prozessorarchitektur]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Also KB4056892 kann es nicht sein

Das erste ist system logfiles error bei übergroßen datenmenge
Das zweite ist office
Das Dritte ist hardware driver load error keyboard doesnt load all 109 keys standard keyboard??
Das vierte ist browser issue edge with video playback flash und co
Das fünfte ist edge java script or render script error freezes on browser based games
Das Sechste ist OS load error of more than 4TB gpt formatet HDD
Das Siebte ist Windows update error on server version of windows 10 Lösung PC neu installieren und zuerst [FONT=&quot]KB4054022 installieren [/FONT][FONT=&quot]
Das Achte ist smb error für linux kernel on windows server subsystem was wohl auch in windows 10 vorhanden ist. prinzip eine inkompatibilität zum neuen linux kernel fix


kein Wort über meltdown oder spectre
Das update stammt vom 3,1,2018

[/FONT]

 

[butzbert]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Also KB4056892 kann es nicht sein

Das erste ist system logfiles error bei übergroßen datenmenge
Das zweite ist office
Das Dritte ist hardware driver load error keyboard doesnt load all 109 keys standard keyboard??
Das vierte ist browser issue edge with video playback flash und co
Das fünfte ist edge java script or render script error freezes on browser based games
Das Sechste ist OS load error of more than 4TB gpt formatet HDD
Das Siebte ist Windows update error on server version of windows 10 Lösung PC neu installieren und zuerst [FONT="]KB4054022 installieren [/FONT][COLOR=#000000][FONT="]
Das Achte ist smb error für linux kernel on windows server subsystem was wohl auch in windows 10 vorhanden ist. prinzip eine inkompatibilität zum neuen linux kernel fix


kein Wort über meltdown oder spectre
Das update stammt vom 3,1,2018

[/FONT]

https://support.microsoft.com/de-de/help/4056892/windows-10-update-kb4056892
3. Januar 2018 – KB4056892 (BS-Build 16299.192)
-Sicherheitsupdates für Windows SMB Server, Windows-Subsystem für Linux, Windows Kernel, Windows Datacenter Networking, Windows Graphics, Microsoft Edge, Internet Explorer und Microsoft Scripting Engine.


Da steht doch was von Windows Kernel, ist das nicht das Update für Meltdown?

 

[Phyzziks]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Doch, laut diversen Homepages, welche Tests zu dem Patch durchgeführt haben, ist das genau das Update.
Durch diesen Patch wird aber ausschließlich meltdown deutlich erschwert, jedoch nicht ganz behoben.
Für spectre müssen erst noch Patches entwickelt bzw veröffentlicht werden, wenn ich es richtig verstanden habe.

Bei mir wurde der Patch übrigens am 4.1. über ein automatisches Update installiert. Ich konnte bisher keinen Unterschied feststellen.
Ich hab in den letzten Tagen viel Fallout4 gespielt, aber dank enb, 1440p und mods dürfte da sowieso zuerst die GPU limitieren.
Wobei es bei Spielen wohl sowieso kaum messbare Unterschiede gibt. In erster Linie betrifft es wohl Programme, die viele kleine Dateien
schreiben bzw abrufen.

 

[yummycandy]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Für spectre müssen erst noch Patches entwickelt bzw veröffentlicht werden, wenn ich es richtig verstanden habe.

Bei mir wurde der Patch übrigens am 4.1. über ein automatisches Update installiert. Ich konnte bisher keinen Unterschied feststellen.
Ich hab in den letzten Tagen viel Fallout4 gespielt, aber dank enb, 1440p und mods dürfte da sowieso zuerst die GPU limitieren.
Wobei es bei Spielen wohl sowieso kaum messbare Unterschiede gibt.

Richtig!

 

[JackTheHero]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Für Spektre V1. Da muss das für jede Anwendung geschehen, ansonsten ist V2 und v3 behoben und Meltdown auch auf Softwareseite.

 

[yummycandy]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Für Spektre V1. Da muss das für jede Anwendung geschehen, ansonsten ist V2 und v3 behoben und Meltdown auch auf Softwareseite.

Wenn man das noch unterteilt, wirds undurchsichtiger. Die User sollten am besten jeden Patch von OS, BIOS oder Anwendung mitnehmen.

 

[butzbert]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Ich hoffe die bekommen das wieder im Griff. Vor allem hoffe ich das wir in Zukunft von sowas verschont werden Hardware Seitig.

Bei Amd,Intel und Arm und egal welcher Hersteller !

 

[yummycandy]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

Ich hoffe die bekommen das wieder im Griff. Vor allem hoffe ich das wir in Zukunft von sowas verschont werden Hardware Seitig.

Bei Amd,Intel und Arm und egal welcher Hersteller !

Das Gegenteil wird eher der Fall sein. Es werden weniger architekturbedingte Bugs sein, sondern versteckte Instruktionen, die ausgenutzt werden.

 

[Hacksplash]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

mal ne (theoretische) Frage an die Spezialisten hier aus der Sicht eines passionierten Gamers (geht hier ums Problemprinzip verstehen bzw eher um die Probleme die für mich erwachsen könnten ).

In meinem Bekanntenkreis wird viel Stellaris im MP gespielt und das Game ist mehr als schlecht optimiert (nutzt im Grunde nur einen Core voll (Bewohner/Popsberechnung per Datenbank -> ständige Abfragen, Last ist meist > 95%) und einen 2. zu ~ 50%. Core 3-x liegen idR brach (Auslastung unter 10%). Irgendwann (je mehr Systeme/Pops/Spielzeit) ruckelt das Spiel auf jden PC (Intel CPU > 4,5Ghz hält am längsten akzeptable fps, vor allem da bevor es ruckling wird die Maus schon mit laggn anfängt).
Meine Frage: wie muss ich mir in so einem Fall als Laie das mit den "syscalls" vorstellen ? Hätte ich in dem Fall Probleme da idR die echtzeitkritische DB-Abfragen die Performance beeinflussen ? Oder macht keinen Unterschied solange keine systemrelevanten Daten per prediction "geschätzt" werden ? Würde es einen Unterschied machen ob singleplay oder multiplay ?
Evtl. machen meine Fragen auch keinen Sinn (wie gesagt kenne mich so hardwarenah nicht aus), aber würde gerne (für mein persönliches Anwendungsfeld) abschätzen ob dieser Bug für mich (oder meine Spielrunde) in irgendeiner Form relevant ist.

auch bezüglich der Hardware: wir haben "alles" onboard (von q9550 über i5 6400 bis i7 7xxx, xeon x2/3, amd fx 9xxx, i7 26xx qm, i5 2500) -> skylake+ soll stärker betroffen sein (Stichwort additional microcode update ect), aber was ist mir älterer Hardware ? Verlieren die alle die kolportierten 0-5-30-50% (je nach Anwendung/Benchmark ect.) ? Weil stand jetzt sind alle Prozessoren bis auf Intel CPUs > 3,5 Ghz Takt am spielbarkeitslimit

PS: mir ist klar, dass hier niemand irgendne sichere, 90%+ proved Antwort geben kann - ich würde einfach gerne wissen worauf ich mich im besten/schlimmsten Fall einstellen kann. Leider ist meine aktive Zoggerzeit lange vorbei, sodass ich mit "Gamer sind eh in jeder Auflösung über 1080p im Graka-Limit bei >60-100fps also wayne" nichts anfangen kann (einfach weil in meinem Kreis nur noch 100% CPU limitierte Spiele gespielt werden). Ich frage deswegen, weil ich mich im schlimmsten Fall auf mehrere PC-Umbauen/Neuinstallationen ect. einstellen darf und liebend gerne paar Tage geistige Vorlaufzeit hätte bevor nach der nächsten Runde alle mowlen und mich in Anspruch nehmen wollen

 

[yummycandy]

AW: Meltdown und Spectre: Intels Sicherheitslücke weitet sich branchenweit aus

mal ne (theoretische) Frage an die Spezialisten hier aus der Sicht eines passionierten Gamers (geht hier ums Problemprinzip verstehen bzw eher um die Probleme die für mich erwachsen könnten ).

Evtl. machen meine Fragen auch keinen Sinn (wie gesagt kenne mich so hardwarenah nicht aus), aber würde gerne (für mein persönliches Anwendungsfeld) abschätzen ob dieser Bug für mich (oder meine Spielrunde) in irgendeiner Form relevant ist.

PS: mir ist klar, dass hier niemand irgendne sichere, 90%+ proved Antwort geben kann - ich würde einfach gerne wissen worauf ich mich im besten/schlimmsten Fall einstellen kann.

Das sind Syscalls: Liste der Linux-Systemaufrufe – Wikipedia

Als Desktopuser wirst du (nach jetzigen Meldungen) max 10% Verlust haben. Das betrifft alte oder neue Intel-Prozessoren. AMD-Benutzer sollten auf ein anderes Update warten, da der bisherige Patch für Probleme sorgen kann.