Které procesory Intel mají bezpečnostní opravy? Část 9. generace pořád trpí na Meltdown

28

Asi netřeba moc připomínat, jak se loni provalily v procesorech hardwarové bezpečnostní slabiny kolem spekulativního vykonávání kódu. Chyby Meltdown a Spectre (a poté další) nejvíce postihly CPU Intel. Ten už loni ale také vydal první CPU, které první z nich – zejména Meltdown – řešily. Byla to desktopová osmijádra řady 9000 (plus odvozený model i5-9600K). Od té doby Intel vydal celou řadu procesorů řady 9000, ale protože se v nich zdá se míchá spousta různých steppingů, dlouho nebylo jasné, zda mají tyto bezpečnostní opravy všechny. Vypadá to, že podezření bylo na místě. Intel teď totiž na svůj web uvedl přehled, z kterého se dá vyčíst, které čipy mají stejné opravy jako ono Core i9-9900K a jeho sourozenci. A ukazuje se, že řada nových procesorů má stále starý nechráněný křemík, což znamená, že na nich stále budou aktivní opravy na straně operačního systému, které snižují výkon.

Různé steppingy, různá úroveň oprav

Intel má na svém webu následující tabulku, kde lez vidět, které steppingy aktuálních procesorů mají co opraveno. Bohužel je to ovšem vedeno s terminologií „Family/Model/Stepping“, což je prakticky nezapamatovatelné. Naštěstí vedle toho má Intel také tabulku, kde lze najít, které modely CPU mají který stepping. Pokud se do první tabluky podíváte, uvidíte, že je hlavně jeden stepping (Family 6 Model 158 Stepping 11), na který si je třeba dávat pozor, jelikož nemá opravenou chybu Meltdown (oprava přes „Software“) a ani L1TF/Foreshadow. Ostatní mají tyto díry zalátané, další rozdíly ve stupni oprav chyby Spectre a dalších už asi nejsou tak závažné (u Spectre v2 je rozdíl hlavně v tom, zda je CPU opraveno z výroby, nebo potřebuje aktualizaci mikrokódu).

intel bezpecnostni orpavy diry meltdown foreshadow steppingy
Různá úroveň bezpečnostních oprav u různých steppingů současných procesorů Intel

Neopravená CPU

Tento neopravený stepping je podle Intelu v Prvé řadě použitý ve čtyřjádrových a dvoujádrových procesorech Core 9. generace. Podle tabulky jsou to všechny Core i3: od modelu i3-9100/9100T/9100F až po odemčený Core i3-9350K. Současně také Celerony G4930/G4930T/G4950 a Pentia G5420/G5420T až G5620.

Intel má také zřejmě ještě o jednu revizi starší desktopový křemík: Family 6 Model 158 Stepping 10. Ten v tabulce s hardwarovými opravami vůbec není a protože by měl být striktně o jednu revizi zpátky, platí asi, že také nebude mít opravy. Takže tyto modely asi můžeme přidat do předchozí skupiny. Jde o notebookové šestijádro Core i7-9750H a čtyřjádro i5-9300H, ovšem tyto dva procesory ještě mohou mít i opravené verze.

V desktopových procesorech tento křemík může být v některých před chvílí zmíněných Pentiích (podle Intelu G5420/G5420T) a Core i3-9100F. Zejména ho ale najdete v desktopových šestijádrech: Core i5-9400, i5-9500, i5-9600 a také v jejich 35W verzích označených „T“.

intel bezpecnostni orpavy diry meltdown foreshadow zranitelne1
Procesory, v kterých je starší křemík s neopravenými chybami Meltdown a Foreshadow

Opravená CPU

Core i5-9400F, i5-9500F a i5-9600F mají opravy, běžné verze ne

Naopak nejsou uvedená šestijádra i5 bez grafiky s označením F (i5-9400F, i5-9500F, i5-9600F) a také osmijádro Core i7-9700F. V těch je podle Intelu jen Stepping 13, jenž je opravený (pokud je toto pravda, tak se nám rýsuje důvod, proč tyto ne vždy moc výhodné modely kupovat). Bezpečnost „efek“ ale neplatí pro čtyřjádra, i3-9100F a i3-9350KF mohou mít neopravený křemík se steppingem 11.

Procesory, které by měly být opravené vždy, jsou dále osmijádra Core i9-9900K, i7-9700K a šestijádra i5-9600K, jakož i jejich verze bez grafiky „KF“. A taky 65W zamčené verze Core i9-9900, Core i7-9700 a jejich téčkové 35W verze. Čisté by měly být také nové notebookové procesory řady H generace 9000 vydané minulý měsíc, ovšem tam je to s výjimkou oněch dvou modelů, již zmíněných, které mohou mít starší zranitelnější (respektive pomalejší kvůli softwarovým opravám) křemík.

intel bezpecnostni orpavy diry meltdown foreshadow bezpecne
Procesory, v kterých jsou chyby Meltdown a Foreshadow už opravené. Červený puntík označuje modely, v kterých může být osazen alternativně i starší zranitelný křemík

Core i5-9400 je loterie

Překryv dvou různých variant křemíku s různým bezpečnostním statusem je poměrně nešťastný, protože u takových modelů nebudete vědět, zda jsou zabezpečené či ne – při výběru a nákupu je asi lepší na ně tedy pohlížet jako na neopravené. Takováto loterie nastává i u Core i5-9400, které má bezpečnou i nebezpečnou verzi, a zrovna jde na potvoru o atraktivní model. Bezpečné by asi mohly být modely s pájeným rozvaděčem tepla, které prý ale nejsou časté. Zda jsou bezpečné i některé nepájené, těžko říct. Toto tedy může být důvod pro Core i5-9400F, ovšem pokud potřebujete iGPU, máte smůlu.

Snímek osmijádrového čipu Coffee Lake Refresh. První z opravených steppingů přišel s těmito CPU (spolu s mobilními Whiskey Lake generace 8000)

Starší křemík má hlavně výkonnostní dopad

Pro pořádek: spekulativní chyby, o kterých tu je řeč, nejsou vysloveně kritické (třeba pro čistě herní PC), ale je jistější a doporučené na takových CPU provozovat operační systém se všemi opravami. Pokud máte nainstalované všechny opravy Windows (nebo Linuxu) a nejnovější BIOS desky/notebooku, či mikrokód přes aktualizaci operačního systému, máte i se zde probíranými „nezabezpečenými“ procesory stejnou úroveň ochrany, v tom tedy není problém. Jenomže zejména oprava Meltdownu má výkonnostní dopad na systémová volání a I/O operace (projeví se zpomalení náročných diskových operací zejména s rychlými NVMe SSD). Při nákupu těchto CPU tedy ve výsledku dostanete mít o něco nižší výkon na jedno jádro/jeden MHz.

Delid Core i5-9400F, fotografie a srovnání pouzdra


Které procesory Intel mají bezpečnostní opravy? Část 9. generace pořád trpí na Meltdown
Ohodnoťte tento článek!
4.8 (95%) 24 hlas/ů

28 KOMENTÁŘE

    • Retpoline je na Spectre v2, což se týká pořád všech procesorů a kdo ví, jestli někdy přestane.
      Tady pro Meltdown je relevantní ta oprava Kernel VA Shadowing (ve Windows, KPTI na Linuxu). Tam úplně nevím, ale je taky možný, že se dopady zmírnily. Ale jde o to, že některé procesory tu SW opravu pořád v OS spouštějí/používají, kdežto ty opravené už nemusí a nemají ten výkonnostní postih. Takže je lepší brát ty s opravenými steppingy, když to teda jde.

      • Meltdown se vyrazne snizil z s prichodem novych firmwaru s podporou novych instrukci. Tam se dopad dnes blizi nule. Zustal hlavne spectrev2 a i ten timto defacto padl. (ted se ale nebavime o serverech a napr. HT).

        Ono u slabsich cpu, ktere miry na nenarocne aplikace je uplne jedno, jestli tam ty mitiagace jsou nebo ne, protoze ten system narazi na svoje bottlenecky daleko driv nez highendova sestava s top end nvme disky.

      • Pro (nejnebezpečnější) Spoiler hovoří dva faktory:
        – relativní jednoduchost použití
        – možnost vzdáleného útoku, např. přes prohlížeč.

        Zatím co Meltdown a Spectre je spíše doménou virtualizace, VDE a terminálových serverů, tak tohle se týká všech.

        • mas mylne informace (nebo to umyslne zkreslujes). meltdown i spectre byly demonstrovany v prohlizecich / javascriptech. rozhodne se netykaly jen serveru, kdyz kvuli nim MS predelaval kernel a intel firmwary desktop cpu. vsechna wokna od XP pro 7, mozna i 8 se starsimi browsery jsou napadnutelna. a nikdo toho nevyuziva.

          https://react-etc.net/entry/javascript-spectre-meltdown-vulnerability-check-for-browsers

          k tomu spoileru
          https://www.reddit.com/r/intel/comments/b1knwa/should_i_buy_intel_cpus_after_spoiler/

          Things to note about the spoiler research paper:

          Spoiler is an exploit that allows potential leakage of memory layout and information, which can then be used to execute Rowhammer attacks. However, even without spoiler, no PC currently can be fully mitigated from Rowhammer, so if this is something you’re trying to avoid, you’re basically stuck using DDR or DDR2 memory. And no, ECC won’t protect you from this.

          The researchers published their methodology, but the not the source code, so there’s not really a way to verify it. Further, they tested it on one slow last gen AMD chip and one weird ARM chip and didn’t publish the results for either. Read the paper, their comment on AMD chips is literally one sentence. So it’s entirely possible that Ryzen is vulnerable, but we won’t know it until someone tries to do a more thorough test on a modern AMD system.

          If I really wanted to get into a PC, there’s about 10 other avenues I would take first before trying to use a really specific hardware flaw.

          Put simply, any CPU that uses some form of speculation is potentially vulnerable. Not even Spectre (which AMD chips are also vulnerable to) can be fully mitigated. But for your purposes, I wouldn’t let it be a factor. Choose the CPU that works for you.

    • “Pamatujete na BadUSB, antiviry nedetekovatelnou slabinu, která umí přeprogramovat mikrokontroléry v USB zařízeních a změnit je v nosiče malwaru? …Ten problém je tam pořád. Pořád je možné nainjektovat do vaší myši, tiskárny anebo klávesnice malware, protože jsou neudržované a nikdo to neřeší.” – Rybka, PCT.

      Ten ako si to nazval “deravej Intel procak” je len a len ďalším v rade spôsobov ako napadnúť niečí PC.

        • To co pise Maťko911 je o dost slozitejsi nez Spoiler, aspon podle toho, co jsem o tom cetl.
          A to co pises ty je zase chyba, ktera se nasla prubezne po vydani APU.
          Ja zase mam deravej Skylake a Haswell a taky na to kaslu.

          Muj nazor je, ze trochu rozdil mezi chybou objevenou na uz vydanych procesorech a mezi tim, kdyz si budu mozna letos, ale spis az pristi rok kupovat nove PC a mel bych se rozhodovat mezi deravym Intelem a toho casu bezpecnym AMD procakem. Tak to bych vzal ten procak bez diry ikdyby byl o neco vykonove horsi a to vsichni vime, ze spis bude lepsi.
          Nechapu lidi i firmy co kupuji Intel, ne proto, ze ma mene jader a horsi vykon, ale proto, ze kupujou neco o cem vime, ze je derave.

          • “Ja zase mam deravej Skylake a Haswell a taky na to kaslu.”

            “Nechapu lidi i firmy co kupuji Intel, proto, ze kupujou neco o cem vime, ze je derave.”

            Mozna na to (pravem) kaslou jako ty? 😀

            Lol 😀

            • Jenze ja ten procesor v dobe koupe deravej nemel. Respektive je furt stejnej, ale tehdy se o tom nevedelo a kdyz se na to prislo, tak uz jsem s tim nic nenadelal. Patche BIOSu mi vyrobci nevydali, takze ja s tim nic nenadelam a proste delam jako ze nic. Rozhodne si kvuli tomu nepujdu kupovat novy procesor.
              Ale az jednou pujdu kupovat novy PC tedy i s novym procesorem, tak logicky uz budu chtit, aby ten nove kupovany procesor diru nemel.

            • tak bud je to chyba vazna, a pak si ten novy nederavy cpu proste koupis, nebo neni, a pak nema vliv ani na provoz ani na pripadnou opetovnou koupi 😀

            • Den, kdy si koupíš nový komp, bude pro toto fórum vysvobozením.

          • Kupuju intel který má stejně jader jako kounkurence a se stejnými jádry poskytuje více výkonu.

            Zatím jsem neslyšel o žádných testech kde by 6c/12t R5 2600X překonal třeba 6c/12t 8700k, ta dokonce skoro dotahuje o dvě jádra vybavenější 2700X.

            Hlavně ti kdo si kupují intel si ho kupují typicky kvůli reálné potřebě výkonu, které jim levnější AMD neposkytne, nebo to poskytne třeba s vyšší spotřebou, například R5 2600 po OC nebo 2600X sotva dohání 9400F ve hrách ale má to 2-3x vyšší spotřebu než ta i5.

            A nějaké zranitelnosti které za velice specifické situace umí získat nějaká data, o kterých útočník netuší co jsou zač, hezky se o tom povídá ale je to normálnímu člověku u zadele 🙂

        • Ano, Honzo, tohle jsou nepopiratelné problémy, ale Spoiler je fakt jiná liga. Útočník totiž nemusí moc hledat, poměr děravých Intel procesorů k neděravým CPU je enormní, takže z pohledu útoků na platformu se s tím jedna konkrétní modelová řada jednoho výrobce desky prostě rovnat nemůže.

          Jinými slovy řečeno, potenciální útočník si vybere raději útok na velkou množinu Intel CPU, než útok na zastaralou platformu FM2 (a ještě s předpokladem, že musí jít o neopatchovaný BIOS, nebo konkrétního výrobce).

          My, jako běžní uživatelé, máme jediné štěstí: lidí schopných vyexploitovat Spoiler je málo, a těch, kteří by chtěli škodit je ještě méně. NICMÉNĚ: toto se v určitý okamžik zvrhne (předpokládám, že v okamžiku, kdy Intel bude mít na trhu opravené procesory) a někdo kvůli slávě zveřejní PoC kód, ze kterého si i ti méně schopní dokáží zkompilovat malware. V takovém okamžiku ale tyhle dnešní děravé počítače končí… (což bude asi rito pro Intel.)

          • ty zranitelnosti jsou znamy uz roky, zverejnene jsou vice nez rok. jsou masove rozsirene. myslet si ze jsou celosvetove wokna zaplatovana je iluzorni. dosud ani jedno napadeni. proc? protoze je to v praxi k nicemu. nikdo nebude prohledavat ram byte po byte a hledat nejake vzory, kdyz pohodlne zautoci primo na zdroj dat.

            • hnizdo> Mňa by len zaujímalo, odkiaľ berieš tú istotu, že “dosud ani jedno napadeni.”… ču už úspešné alebo neúspešné.

            • @ifko.. to je preci jasne, je to CPU o Intelu. Kdyby to bylo AMD, tak je jasne, ze dochazi ke zneuzivani denne 😉

            • V realu, pokud nekdo neni pitomec, tak tyhle zranitelnosti bere uplne stejne vazne/nevazne jako jakekoliv jine. Jaka je pravdepodobnost, ze se to stane zrovna nekou tady, je jina vec.
              Jenom blbec muze tvrdit, ze se to nikde nevyuzilo a nemuze se nic stat…

          • To nebylo míněno tak, že bych to FM2 srovnával (to snad byl jenom hodně lokální bezpečnostní bug, plus hardware je vzácný, a ani není v serverech), jenom jsem si na to vzpomněl, když bylo zmiňované to BadUSB a že se na to kašle.

            Spoiler bych já srovnával s těma Spectre. Spectre a spol leakujou data z paměti samy o sobě, Spoiler potřebuje spojit s další zranitelností, takže podle mě je Spectre a ty jeho příbuzné chyby větší problém.

            • ad kašlání: to naprosto souhlasím.

              ad Spoiler: Přiznávám po dobrém, že jsem to celé studoval z rychlíku a navíc jsem skoro vše už zase zapomněl, nechal jsem si jen to základní, tedy klíčové problémy a způsoby zneužití. A žiju v tom, že ani jeden z útoků není sám o sobě použitelný, vždy potřebuješ nějak zajistit spuštění kódu na cílovém stroji. Celý “přínos” Spoileru je v tom, že 256násobně zrychluje proces mapování paměti (a je tedy použitelný i u počítačů, které běží kratší dobu, typicky klasická PC, nejen servery).

              Podstata je zřejmě zde:
              “Further, we showed the impact of SPOILER by performing a highly targeted Rowhammer attack in a native user-levelenvironment. We further demonstrated the applicability ofSPOILERin sandboxed environments by constructing effi-cient eviction sets from JavaScript, an extremely restrictiveenvironment that usually does not grant any access to physicaladdresses. Gaining even partial knowledge of the physicaladdress will make new attack targets feasible in browsers eventhough JavaScript-enabled attacks are known to be difficult torealize in practice due to the limited nature of the JavaScriptenvironment. Broadly put, the leakage described in this paperwill enable attackers to perform existing attacks more effi-ciently, or to devise new attacks using the novel knowledge.”

              Je tedy zřejmé, že samotný Spoiler není řešení “vše v jednom”, ale nástroj, kterým se dá “zmapovat” paměť počítače a následně použít další metody k přesnějí cílenému útoku, než je tomu u “bulk” útoků typu Meltdown a Spectre (M+S). A aniž bych se chtěl sám pasovat na toho “kdo tomu rozumí” (což není pravda), vidím u Spoileru daleko větší potenciál a nebezpečí, než u teoreticky závažnějších starších děr. M+S. Je třeba totiž akceptovat to, že celá věc se vyvíjí a útočníci s postupem času hledají (a nacházejí) jednodušší a rychlejší způsoby, jakými mohou útočit, zejména kombinací a postupným nasazením několika různých útoků.

  1. Už je Meltdown opravený pod 32bit OS? Ještě před pár měsíci fungoval kernell shadowing jen na 64 bit.

    Jinak F/M/S čísla jsou výstupem CPUID instrukce. Kdysi dávno sloužily k identifikaci řady (např. Family 5 bylo Pentium a Family 6 Pentium Pro / II), model určoval generaci (typicky např. Katmai vs. Deschutes) a stepoing určoval revizi (opravy chyb). Dneska se ale číslují jedmotlivé čipy všelijak a vyšší číslo model/stepping klidně může mít starší procesor. Dokonce i různé čipy (LCC, HCC, XCC) někdy mívají stejné F/M/S. Podle F/M/S se dnes hlavně určuje, který microcode update nahrát.

    Mimochodem, co revize R0, která měla být teď někdy? Co si matně vybavuji, měla pokrývat všechny segmenty.