Intel CPU´s bald bis zu 30 Prozent langsamer

Zitat von Avira:

Zitat

So, der Hotfix scheint fertig und wird ab morgen per Updater verteilt. Wie bei Avira üblich kann es einige Tage dauern, bis alle Nutzer diesen bekommen haben, da iterativ und nicht als big bang ausgerollt wird.

Chrome und FF bringen Patches raus.... Bedeutet für...

Chrome: Jeder Tab wird ab sofort in einem eigenen Prozess geladen. Deutlicher Mehrbedarf an Hauptspeicher. Die Funktion gab es schon, musste aber über die Config manuell aktiviert werden. Das nächste Update aktiviert automatisch. Bedeutet, 20 offene Tabs = 20 aktive Prozesse.

FF: Reduziert die Genauigkeit der Performance-API und aller anderen Time-Funktionen. Davon auch betroffen z.B. CSS-Animationen. Ebenso wird der SharedArrayBuffer ersatzlos entfernt.

Mensch Meyer, das zieht Kreise, dabei hat es noch nicht mal wirklich begonnen.

Ach ja, MS brachte heute einen neuen Patch raus.

Die Tagesschau hatte da gerade einen livestream zu. Ich bin nicht ganz schlau daraus geworden - aber wie genau erfolgt denn ein Angriff auf diese Lücke?

Der Angriff kann im Zweifel durch 5 Zeilen Javascript erfolgen, beliebig, von jeder modifizierten Webseite aus. Google hat (hatte ich glaube ich verlinkt), den Code sogar veröffentlicht. Kommt auf die CPU an, was alles möglich ist. Sind ja 2 Lücken, Meltdown und Spectre, und da jeweils mehrere Versionen. Intel ist von allen betroffen, AMD bisher nur von Spectre und der Angriffs-Variante 1, wobei auch die nur sehr umständlich. 2 ist denkbar und 3 ist nicht möglich.

Im Grunde geht es um die Caches der CPU, also L1, L2 und L3. Dort werden ja auch Daten hinterlegt, die aber eigentlich in System und User getrennt sind. Der Bug ermöglicht es aber, dass der aktuelle User auf Daten der anderen und dem System zugreifen kann.

Die OS-Patches gehen nun her und trennen die Caches komplett, also das werden getrennte Speicherbereiche. Bedeutet für die CPU, wenn eine Anfrage vom System rein kommt, dann die Daten vom User speichern, den Speicherbereich wechseln, neu einlesen und verarbeiten. Selbiges im umgekehrten Fall. Bisher war alles der gleiche Speicherbereich, also kein Speichern und Lesen, sondern direkt drauf zugreifen. Daher die Leistungseinbusen, weil das eben mehr Zeit kostet. Und auch speziell für SSD, da die direkt mit der CPU kommunizieren und nicht mit einem externen Controller.

Hmm, ich glaube mich zu erinnern, dass ich gestern hörte, dass diese Lücke nur genutzt werden kann, wenn schon Schadsoftware auf dem Rechner ist. Das scheint ja dann nicht der Fall zu sein. Aber wie sollen über Javascript z.B. Server angegriffen werden? Da sehen doch die Experten die große Gefahr, dass Server, Provider , Serverfarmen, Router u.s.w. attackiert werden und dort die Passwörter und andere sensible Daten ausgelesen werden.

Ja gut, so klassisch darfst Du das nicht sehen, also Javascript und eigener Root-Server. Das geht nicht. Wobei Javascript aber nur eine Variante ist, das geht mit jeder. Die Gefahr an sich sind virtuelle Maschinen, also Clouds, vServer etc. Man könnte also aus seiner Umgebung ausbrechen und dann die Inhalte der fremden Umgebung aus der CPU abgreifen. Oder eben Browser selbst. Da läuft in der Regel alles in der Sandbox. Das bringt aber nix mehr, wenn man aus der raus kann und Zugriff auf die CPU hat, somit ebenfalls Daten der anderen abgreifen kann.

Das kannste alles weiter spinnen. Ein manipuliertes Addon oder eine entsprechende Webseite könnte über die CPU mitbekommen, welche Pin Dein Buchhaltungsprogramm gerade an die Bank schickte.

Zu den 30 %

https://beispiel.rocks/www.deskmodder…pectre-patches/

Irgendwie stehen die ganzen Benchmarks aber in Konflikt miteinander. Heute oder gestern hat Intel eigene raus gebracht mit CPUs der 8., 7. und 6. Generation und mit bzw. ohne SSD. Laut Intel ist der Leistungsverlust bis zu 10%. Der I/O-Durchsatz der SSD sinkt um bis zu 50%. Gleichzeitig rät Intel diversen Cloud-Anbietern, den Patch nicht einzuspielen, eben wegen dem Leistungsverlust.

Frag mich nun aber bitte nicht nach der Quelle. War ein PDF von Intel, glaube irgendwo bei Heise verlinkt.