{"id":199554,"date":"2018-01-09T20:02:23","date_gmt":"2018-01-09T19:02:23","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=199554"},"modified":"2019-09-27T15:54:36","modified_gmt":"2019-09-27T13:54:36","slug":"meltdown-spectre-leistungseinbuen-durch-patches","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2018\/01\/09\/meltdown-spectre-leistungseinbuen-durch-patches\/","title":{"rendered":"Meltdown\/Spectre: Leistungseinbu\u00dfen durch Patches &#8211; Teil 1"},"content":{"rendered":"<p><img decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Stop.jpg\" align=\"left\" \/>Wie stark wirken sich die Sicherheitsupdates f\u00fcr Meltdown und Spectre, die jetzt und k\u00fcnftig freigegeben werden, nun auf die Performance aus? Microsoft hat da was in Bezug auf Windows geschrieben \u2013 sieht nicht gut aus.<\/p>\n<p><!--more--><\/p>\n<h2>Worum geht es?<\/h2>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/ssl-vg03.met.vgwort.de\/na\/d84d07a4f9e746419b6dabec2996a97e\" alt=\"\" width=\"1\" height=\"1\" \/>Letzte Woche wurden ja zwei gravierende Sicherheitsl\u00fccken mit den Namen Meltdown und Spectre bekannt. Ich hatte im Blog-Beitrag <a href=\"https:\/\/borncity.com\/blog\/2018\/01\/03\/sicherheitslcke-bug-in-intel-cpus-bedroht-betriebssysteme\/\">Sicherheitsl\u00fccke: Bug in Intel CPUs bedroht Betriebssysteme<\/a> fr\u00fchzeitig \u00fcber das Thema berichtet. Diese beeinflussen die Sicherheit fast aller Systeme \u2013 wobei Spectre eigentlich auf fast allen CPUs ausnutzbar ist, w\u00e4hrend Meltdown auf Intel CPUs begrenzt bleibt.<\/p>\n<p>Die Betriebssystemhersteller versuchen momentan hektisch die Sicherheitsl\u00fccken in der Hardware zu stopfen. Microsoft hat bereits am 3. Januar 2018 erste Updates ausgerollt, am 4. und 5. nachgelegt und sich auf AMD-Systemen (sowie manchen Intel-Systemen) eine blutige Nase geholt. Der AMD-Patch wurde tempor\u00e4r ausgesetzt, weil er die Rechner lahm legt. Details finden sich in den am Ende des Blog-Beitrag verlinkten Artikeln.<\/p>\n<p>\u00dcber die Sicherheitsauswirkungen der Fehler l\u00e4sst sich zum Zeit nur spekulieren \u2013 aktuell sind keine Angriffe, die die L\u00fccken ausnutzen, bekannt. Das k\u00f6nnte sich aber \u00e4ndern, weshalb die Prozessorhersteller und die Softwareentwickler Updates bereitstellen. Und ich bin mir relativ sicher, dass wir in 2018 weitere Nachrichten zu CPU-L\u00fccken zu lesen bekommen. Denn der Vorfall hat die Aufmerksamkeit der Sicherheitsforscher auf das Feld der CPU-Bugs mit Sicherheitsl\u00fccken verschoben. Ohne \u00dcbertreibung l\u00e4sst sich feststellen, dass uns dieses Thema noch ein paar Tage, wenn nicht Jahre besch\u00e4ftigen k\u00f6nnte.<\/p>\n<h2>Und wie schaut es mit der Performance aus?<\/h2>\n<p>Die spannende Frage war ja: Wie wird die Leistung des Systems durch diese Updates ausgebremst? Im Blog-Beitrag <a href=\"https:\/\/borncity.com\/blog\/2018\/01\/04\/windows10-patch-fixt-den-intel-bug\/\">Windows 10: Patch fixt den Intel-Bug<\/a> hatte ich von ersten Benchmarks 5 bis 30 bis 50% berichtet.<\/p>\n<blockquote class=\"twitter-tweet\" data-lang=\"de\">\n<p dir=\"ltr\" lang=\"en\">This is bad: performance hit from PTI on the du -s benchmark on an AMD EPYC 7601 is 49%. <a href=\"https:\/\/t.co\/TT2aQpsb5U\">https:\/\/t.co\/TT2aQpsb5U<\/a> <a href=\"https:\/\/t.co\/Y12B1SIUMd\">https:\/\/t.co\/Y12B1SIUMd<\/a><\/p>\n<p>\u2014 grsecurity (@grsecurity) <a href=\"https:\/\/twitter.com\/grsecurity\/status\/947439275460702208?ref_src=twsrc%5Etfw\">31. Dezember 2017<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Blog-Leser Leon hat mich auf <a href=\"https:\/\/web.archive.org\/web\/20190527221042\/https:\/\/www.epicgames.com\/fortnite\/forums\/news\/announcements\/132642-epic-services-stability-update\" target=\"_blank\" rel=\"noopener noreferrer\">diesen Epic-Games-Foreneintrag<\/a> aufmerksam gemacht, die ihre Server wegen Meltdown patchen mussten und auf 20% Leistungseinbu\u00dfen kamen. The Verge diskutiert <a href=\"https:\/\/www.theverge.com\/2018\/1\/6\/16857878\/meltdown-cpu-performance-issues-epic-games-fortnite\">hier<\/a> die massiven Performance-Einbu\u00dfen bei Epic-Games Fortnite. Bei Cloud-Diensten wie AWS oder Azure habe ich dagegen nur Werte von 3 &#8211; 5 % gelesen. Das deckt sich mit <a href=\"https:\/\/windowsarea.de\/2018\/01\/surface-pro-3-performance-vergleich-vor-und-nach-dem-meltdown-patch\/\" target=\"_blank\" rel=\"noopener noreferrer\">diesem Artikel<\/a>, wo beim Surface und Windows 10 nachgemessen wurde. <a href=\"https:\/\/www.theregister.co.uk\/2018\/01\/09\/meltdown_spectre_slowdown\/\" target=\"_blank\" rel=\"noopener noreferrer\">Dieser Artikel<\/a> enth\u00e4lt ebenfalls eine \u00dcbersicht, die einige Angaben enth\u00e4lt.<\/p>\n<ul>\n<li>Lustre (parallel distributed filesystem) 10 bis 45 % (<a href=\"http:\/\/lists.lustre.org\/pipermail\/lustre-discuss-lustre.org\/2018-January\/015263.html\" target=\"_blank\" rel=\"noopener noreferrer\">siehe<\/a>)<\/li>\n<li>Monero Miner 45% \u2013 es gibt aber auch Angaben von 10 bis 15%<\/li>\n<li>Python (unter Windows 7) 37 % (<a href=\"https:\/\/twitter.com\/fran6wol\/status\/949696666172641280\" target=\"_blank\" rel=\"noopener noreferrer\">siehe<\/a>)<\/li>\n<\/ul>\n<p>Auch hier im Blog gab es widerspr\u00fcchliche Erfahrungen, die von 'nichts zu merken' bis zu sp\u00fcrbare Einschr\u00e4nkungen (z.B. Musikproduktion) reichen.<\/p>\n<h2>Microsoft nimmt Stellung<\/h2>\n<p>Microsofts Windows-Chef, Terry Myserson, hat im Blog-Beitrag\u00a0 <a href=\"https:\/\/cloudblogs.microsoft.com\/microsoftsecure\/2018\/01\/09\/understanding-the-performance-impact-of-spectre-and-meltdown-mitigations-on-windows-systems\/\" target=\"_blank\" rel=\"noopener noreferrer\">Understanding the performance impact of Spectre and Meltdown mitigations on Windows Systems<\/a> Stellung zum Thema Leistungseinbu\u00dfen genommen. Vorab sollte man im Hinterkopf behalten, dass wir erst am Anfang der Patcherei stehen. Im ersten Schritt gibt er Hinweise, mit welchen Ma\u00dfnahmen die drei bekannten Angriffsvarianten abgeblockt werden k\u00f6nnen.<\/p>\n<p><img decoding=\"async\" title=\"Mitigation for Meltdown and Spectre\" src=\"https:\/\/i.imgur.com\/HpyIPBJ.jpg\" alt=\"Mitigation for Meltdown and Spectre\" \/><\/p>\n<p>W\u00e4hrend manches durch \u00c4nderungen der Compileroptionen und Neu\u00fcbersetzung oder Anpassungen am Browser gel\u00f6st werden kann, erfordert Meltdown die Trennung der Kernel und User Mode-Tables. Eine Methode zur Abwehr von Spectre erfordert sogar ein Update des Microcodes der CPU. Und dann gibt Myerson Butter bei die Fische.<\/p>\n<ul>\n<li>Bei Windows 10 auf neuer CPUs (PCs aus 2016-\u00c4ra mit Skylake, Kabylake oder neuerer CPU) zeigen Benchmarks Leistungseinbu\u00dfen im einstelligen Prozentbereich. Microsoft erwartet nicht, dass die meisten Anwender eine Ver\u00e4nderung bemerken, da diese Prozents\u00e4tze in Millisekunden angegeben werden.<\/li>\n<li>Mit Windows 10 auf \u00e4lterer Hardware (PCs aus 2015 mit Haswell oder \u00e4lteren CPUs) sind nicht so gut dran. Einige Benchmarks\u00a0 zeigen eine deutlichere Verlangsamung der Systeme. Microsoft geht davon aus, dass einige Anwender einen R\u00fcckgang der Systemleistung bemerken werden.<\/li>\n<li>Hat jemand was von Windows 7 und Windows 8.1 gesagt? Mit Windows 8 und Windows 7 auf \u00e4lteren Prozessoren\/Chips\u00e4tzen (Systeme bis 2015\u00a0 mit Haswell oder \u00e4lteren CPUs) sieht es schlechter aus. Dort erwartet Microsoft, dass sich bei den meisten Anwendern eine Abnahme der Systemleistung bemerkbar macht.<\/li>\n<li>Bei Windows Server, insbesondere in jeder IO-intensiven Anwendungen (Datenbanken), zeigen Benchmarks, unabh\u00e4ngig vom Alter der Hardware eine signifikantere Auswirkung auf die Performance. Dies gilt, wenn vertrauensw\u00fcrdiger Code innerhalb einer Windows Server-Instanz isoliert werden muss.<\/li>\n<\/ul>\n<p>Die Unterschiede in den Leistungseinbu\u00dfen zwischen neueren und \u00e4lteren Prozessoren begr\u00fcndet Myerson damit, dass in neuen CPUs mehr M\u00f6glichkeiten gegeben seien, Branch Speculation zu deaktivieren. Das reduziert die Leistungseinbu\u00dfen wegen Spectre-Updates. Bei Windows 7 und Windows 8.1 gibt es, auf Grund des Designs, mehr \u00dcberg\u00e4nge zwischen User-Mode und Kernel-Mode (z.B. erfolgt dort das Font-Rendering im Kernel). Dies wirkt sich negativ in der Leistung aus. Microsoft will in den kommenden Wochen Benchmarks ver\u00f6ffentlichen.<\/p>\n<h2>Server-Umgebungen selektiv patchen<\/h2>\n<p>Microsoft schl\u00e4gt f\u00fcr Server-Umgebungen vor, f\u00fcr jede Instanz zu entscheiden, ob ob nicht vertrauensw\u00fcrdigem Code (in VMs) isoliert werden muss.<\/p>\n<blockquote><p>Unter nicht vertrauensw\u00fcrdigem Code versteht Microsoft z.B. Browser, Webanwendungen, heruntergeladene Apps und Anwendungen etc.<\/p><\/blockquote>\n<p>Administratoren m\u00fcssen dann entscheiden, ob Server gepatcht werden oder ob im Hinblick auf Leistungseinbu\u00dfen die Updates nicht eingespielt werden (so jedenfalls meine Lesart). Server, bei denen Anwendungen keine Browser verwenden und vertrauensw\u00fcrdigen Code ausf\u00fchren, k\u00f6nnen dann ggf. ungepatcht bleiben. Man soll einen Kompromiss zwischen Sicherheit und Leistung suchen.<\/p>\n<p>The Verge hat <a href=\"https:\/\/www.theverge.com\/2018\/1\/9\/16868290\/microsoft-meltdown-spectre-firmware-updates-pc-slowdown\" target=\"_blank\" rel=\"noopener noreferrer\">hier<\/a> einen Artikel zum Thema publiziert. Deutschsprachige Artikel lassen sich bei den Kollegen von <a href=\"https:\/\/www.deskmodder.de\/blog\/2018\/01\/09\/auswirkungen-von-spectre-und-meltdown-auf-windows-systeme-terry-myerson-klaert-auf\/\" target=\"_blank\" rel=\"noopener noreferrer\">deskmodder.de<\/a> und <a href=\"https:\/\/www.drwindows.de\/news\/je-aelter-je-schlimmer-performance-auswirkungen-der-patches-gegen-meltdown-und-spectre\" target=\"_blank\" rel=\"noopener noreferrer\">Dr. Windows<\/a> nachlesen. Was ich pers\u00f6nlich im Blog-Beitrag von Myerson vermisst habe? Er geht mit keinem Wort auf die von Google k\u00fcrzlich vorgestellte <a href=\"https:\/\/support.google.com\/faqs\/answer\/7625886\" target=\"_blank\" rel=\"noopener noreferrer\">Retpoline<\/a>-Technik ein, die die Sicherheitsl\u00fccken durch Software abschw\u00e4cht und angeblich kaum Leistungseinbu\u00dfen verursacht.<\/p>\n<p><strong>Artikelreihe:<\/strong><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2018\/01\/09\/meltdown-spectre-leistungseinbuen-durch-patches\/\" target=\"_blank\" rel=\"noopener noreferrer\">Meltdown\/Spectre: Leistungseinbu\u00dfen durch Patches<\/a> &#8211; Teil 1<br \/>\n<a href=\"https:\/\/borncity.com\/blog\/?p=199659\">Meltdown\/Spectre: Leistungseinbu\u00dfen durch Patches<\/a> &#8211; Teil 2<br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2018\/01\/13\/meltdown-spectre-google-patcht-cloud-ohne-leistungsverlust\/\" rel=\"bookmark\">Meltdown\/Spectre: Google patcht Cloud ohne Leistungsverlust<\/a><\/p>\n<p><strong>\u00c4hnliche Artikel<\/strong><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2018\/01\/03\/sicherheitslcke-bug-in-intel-cpus-bedroht-betriebssysteme\/\">Sicherheitsl\u00fccke: Bug in Intel CPUs bedroht Betriebssysteme<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2018\/01\/04\/windows10-patch-fixt-den-intel-bug\/\">Windows 10: Patch fixt den Intel-Bug<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2018\/01\/04\/kritische-updates-fr-windows-und-browser-3-1-2018\/\">Kritische Updates f\u00fcr Windows und Browser (3.1.2018)<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2018\/01\/04\/windows10-kritische-updates-vom-3-1-2017\/\">Windows 10: Kritische Updates vom 3.1.2018<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2018\/01\/04\/kritische-sicherheitsupdates-fr-windows-7-8-1-3-1-2018\/\">Kritische Sicherheitsupdates f\u00fcr Windows 7\/8.1\/Server (3.\/4.1.2018)<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2018\/01\/04\/weitere-updates-internet-explorer-gdi-3-1-2018\/\">Weitere Updates (Internet Explorer, GDI) 3.1.2018<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2018\/01\/07\/windows10-update-kb4056892-killt-amd-systeme-error-0x800f0845\/\">Windows10: Update KB4056892 killt AMD-Systeme (Error 0x800f0845)<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2018\/01\/09\/windows7-update-kb4056894-macht-probleme-0x000000c4\/\">Windows 7: Update KB4056894 macht Probleme (0x000000C4)<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2018\/01\/08\/kaspersky-endpoint-security-10-update-auf-v10-3-0-6294\/\">Kaspersky Endpoint Security 10 Update auf V10.3.0.6294<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2018\/01\/09\/windows-updates-kb4056892-kb4056894-etc-fr-amd-temporr-zurckgezogen\/\">Windows Updates (KB4056892, KB4056894 etc.) f\u00fcr AMD tempor\u00e4r zur\u00fcckgezogen<\/a><\/p>\n<h4><a href=\"https:\/\/borncity.com\/blog\/2018\/01\/09\/amd-gau-av-rger-neues-zu-windows-sicherheitsupdates\/\">AMD-GAU &amp; AV-\u00c4rger: Neues zu Windows-Sicherheitsupdates<\/a><\/h4>\n","protected":false},"excerpt":{"rendered":"<p>Wie stark wirken sich die Sicherheitsupdates f\u00fcr Meltdown und Spectre, die jetzt und k\u00fcnftig freigegeben werden, nun auf die Performance aus? Microsoft hat da was in Bezug auf Windows geschrieben \u2013 sieht nicht gut aus.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,185,301],"tags":[6753,154,4328,6752,4315,4325],"class_list":["post-199554","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-update","category-windows","tag-meltdown","tag-probleme","tag-sicherheit","tag-spectre","tag-update","tag-windows"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/199554","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=199554"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/199554\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=199554"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=199554"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=199554"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}