Intel licht hardwarematige Spectre- en Meltdown-bescherming in Cascade Lake toe

Intel heeft op het Hot Chips-symposium in Californië enkele details bekendgemaakt van de hardwarematige bescherming tegen Spectre- en Meltdown-achtige kwetsbaarheden die het aanbrengt in de Cascade Lake-generatie van zijn Xeon Scalable Platform-cpu's.

In een slide is te zien dat de chipmaker plant om hardwarematige bescherming voor drie varianten van de kwetsbaarheden in de nieuwe Xeon-cpu's op te nemen. Daarbij gaat het in de eerste plaats om Spectre-variant 2, ook wel bekend als branch target injection, waarvoor ook al softwarematige mitigations zijn ontwikkeld. Meltdown, oftewel rogue data cache load, komt ook in het rijtje voor, net als de vrij recente L1 Terminal Fault-variant, oftewel L1TF of Foreshadow. De Intel-presentatie werd bijgewoond door door AnandTech.

Volgens AnandTech maakte Intel nog niet bekend wat de plannen zijn voor hardwarematige maatregelen in generaties na Cascade Lake. Wat de plannen zijn voor consumentenprocessors komt ook niet naar voren. Toen de site eerder met Lisa Spelman sprak, de vicepresident van Intels datacenterdivisie, zei ze dat de hardwarematige aanpassingen het prestatieverlies door de maatregelen op softwaregebied moet verminderen, al is onduidelijk met welke factor. Ze stelde dat 'de hardwareaanpassingen de prestatie weer op koers brengen' en dat de prestaties hoe dan ook hoger liggen door 'updates aan het platform'.

Intel had al eerder bekendgemaakt dat het dit jaar hardwarematige aanpassingen zou doen vanwege kwetsbaarheden die gebruikmaken van eigenschappen als speculative execution en die door Intel worden geschaard onder de noemer side-channel methods. Deze maken het stelen van informatie uit het geheugen van kwetsbare systemen mogelijk, bijvoorbeeld ook uit een SGX-enclave. Door het verschijnen van nieuwe varianten is het niet ondenkbaar dat er ook in opvolgende cpu-generaties hardwarematige aanpassingen nodig zijn. Intel toonde onlangs een roadmap van Cascade Lake, met een beschikbaarheid in het vierde kwartaal, en de opvolgers.

Reacties (48)

[Squee]

Let er wel op dat Anandtech dit artikel heeft geschreven en gepubliceerd voordat Intel het werkelijk heeft gepresenteerd; de presentatie is namelijk pas morgen, Dinsdag aan het einde van de dag, in het slot over Server Processors van 5-7pm PDT. (Dus tussen 02:00-04:00 's nachts op Woensdag ochtend Nederlandse tijd).

Dit laatste slot is als afsluiting van Hot Chips ook traditioneel gezien het meest interessante, waar de grote nieuwe server processoren worden aangekondigd. Zo praat IBM ook over POWER9, Fujitsu over hun Post-K ARM HPC processor, NEC over een nieuwe vectorprocessor (ik ben verbaasd dat ze die nog steeds ontwikkelen!), en als afsluiter Intel over Cascade Lake.

De slides worden altijd aan het begin van de conferentie met het andere conferentie materiaal aan de deelnemers gegeven op een USB stick, dus zo is Anandtech hier al over gaan schrijven. Ik verwacht ook niet dat de presentatie van Intel morgen anders zal zijn, deze presentatie zal vast tot het uiterste gereviewed zijn door execs en legal voordat ze die extern mogen geven

Overigens vind ik de toelichting op de hardwarematige bescherming nogal summier; alleen een tabel van "we hebben het of in software, firmware of hardware gefixed". Natuurlijk zullen ze geen technische details gaan geven, maar eigenlijk is dit niet veel meer dan wat we eerder al gehoord hadden. De vraag is dus ook of ze er in de presentatie morgen nog meer over gaan zeggen, al vermoed ik eigenlijk van niet.

[Reactie gewijzigd door Squee op 23 juli 2024 02:31]

[GekkePrutser]

Eindelijk! Ik hoop dat dit betekent dat het prestatieverlies van de softwarefixes weer ongedaan wordt gemaakt. Ik heb al die tijd gewacht met upgraden (al denk ik ook wel over AMD)

[Reactie gewijzigd door GekkePrutser op 23 juli 2024 02:31]

[vectormatic]

Dit is nog geen consumenten CPU, tenzij je een park dure servers hebt staan is dit geen spannend nieuws.

Persoonlijk zou ik momenteel gewoon AMD gaan, Ryzen is zoiezo minder vaatbaar dan de recente intel chips, en Ryzen 2 (3x00 chips) volgend jaar gaan ook hardwarematige patches bevatten, en gaan gewoon in huidige AM4 bordjes werken.

[ELD]

Stukje van Theo de Raadt van Openbsd. Een aantal maanden geleden hadden ze al hyperthreading functionaliteit uitgezet en ze werden voor gek verklaard.

"We had some idea this class of problem was coming, through hints we
received from others and an extremely cynical perspective that has
developed. We believe Intel cpus do almost no security checks up-front,
but defer checks until instruction retire. As a result we believe
similar issues will be coming in the future."

Hij zit dit over AMD

"On a side note, AMD cpus are not vulnerable to this problem. Currently
it is believed their address translation layer works according to spec."

https://undeadly.org/cgi?action=article;sid=20180815070400

[Reactie gewijzigd door ELD op 23 juli 2024 02:31]

[Rtx]

Dit is nog geen consumenten CPU, tenzij je een park dure servers hebt staan is dit geen spannend nieuws.

Persoonlijk zou ik momenteel gewoon AMD gaan, Ryzen is zoiezo minder vaatbaar dan de recente intel chips, en Ryzen 2 (3x00 chips) volgend jaar gaan ook hardwarematige patches bevatten, en gaan gewoon in huidige AM4 bordjes werken.

In het bron artikel staat ook gewoon dat er voor het desktop segment 'hardware immune' cpus uitkomen 2019.

[Cerberus_tm]

Waar staat dat dan? Ik kon het zo snel niet vinden.

[GekkePrutser]

Bedankt, ik wist niet dat het hier om serverprocessoren gaat. Jammer. Ik heb het artikel nog eens gelezen en ik zie nu inderdaad Xeon staan, had ik niet opgemerkt.

Ja, wat me tegenhoudt voor AMD zijn 2 dingen:

- Thunderbolt mogelijkheden: Bijna geen enkel AMD moederboard heeft dit. Ik doe veel met Macs en Thunderbolt heeft een heel fijne 10Gbit ethernet emulatie mogelijkheid waarmee je heel snel SSD's kan klonen.
- De mogelijkheid tot 'hackintosh'. Er zijn geen AMD gebaseerde Macs dus dat gaat nooit werken.

Nu zijn beiden geen must-have op mijn gamePC (de enige reden dat ik een Windows PC heb) maar het zou wel handig zijn 'voor het geval dat'. Ik wacht nu toch de nieuwe generatie GPU's af, maar het ziet er naar uit dat die deze week gaan komen.

De vastigheid van AMD met hun sockets is inderdaad wel mooi, al upgrade ik zo zelden dat ik sowieso () toch altijd wel aan een nieuw moederboard zit.

[vectormatic]

Fair enough, voor een hackintosch zou ik ook geen AMD nemen, nu draai ik zelf 100% linux thuis, dus heb ik daar geen last van

[Crownable]

Zeg nooit nooit. Er zijn genoeg guides op internet te vinden om Hackintosh op een Ryzen systeem werkend te krijgen!

[Jeffrey2107]

amd hackintoshes kunnen gewoon wel hoor, zie deze video https://www.youtube.com/watch?v=IAut2VGpDvo&t=348s

[bdeblier]

zoiezo

*Sowieso: Duits leenwoord.

[ATS]

Wordt het niet eens tijd dat woord terug te gaan brengen dan? Volgens mij hebben we het al best een tijd...

[MN-Power]

Ach, altijd nog beter dan zoenzo en alle andere verbasteringen...

[Username3457829]

soberso

[Ayporos]

We hebben een prima Nederlands alternatief dat nagenoeg dezelfde betekenis heeft:
'Hoe dan ook'

[MN-Power]

Ik ga hoe dan ook voor sowieso.

[Grzzl]

ik spreek überhaupt maar één woord Duits...

[Marctraider]

Knope. Helemaal ongedaan wordt het niet. Sterker nog ik betwijfel of Intel procentueel architectureel meer uit haar CPU’s weet te persen dan dat deze flaws en hardwarematige ‘lapping up’ heeft kunnen herstellen aan performance in de volgende gen.

Alhoewel het ook wel load dependent is.

[Gekke Jantje]

Maar zal de CPU dan ook volledig veilig zijn en niet over 10 jaar weer in eens deuren bevatten waar een worm in kan kruipen, ook al zat er wat zandkorreltjes voor?

[Reactie gewijzigd door Gekke Jantje op 23 juli 2024 02:31]

[Orion64]

Malicious software on a die

[ELD]

Je krijgt een 0 maar ik denk dat je ten aanzien van Intel ME best eens gelijk kunt hebben.

[hellbringer]

Misschien even de context erbij vermelden, Intel Management Engine is een chip (onderdeel van de NIC?) met OS die standaard aanwezig op "Pro" moederborden (zowel servers als desktops), inclusief een geschikte Pro CPU is het voor grote bedrijven makkelijk om (BIOS) instellingen centraal door te voeren, Intel doet hier nog steeds heel geheimzinnig over en de functies staan standaard aan en zijn niet uit te schakelen.
Nu blijkt dat systeem (uiteraard) wat grove fouten te bevatten waardoor het voor een remote attacker mogelijk is om de gehele PC over te nemen gezien je toegang hebt tot het systeem voordat het OS geladen wordt en werkt ook als de PC uit staat.

https://blog.trendmicro.c...ent-engine-vulnerability/

http://www.tnhh.net/posts/ezpi4me-intel-me-be-gone.html

[kluyze]

Intel ME (Management Engine) zit niet in de NIC maar in de chipset en is niet enkel beperkt tot pro moederborden.

Jij bedoelt waarschijnlijk Intel AMT (Active Management Technology) wat gebruik maakt van ME en is bedoelt voor remote management. Intel AMT is enkel aanwezig op systemen met vPro enabled, maar ME zit overal in, ook niet vPro systemen.

Systemen zonder AMT/vPro hebben geen standaard manier om bij de ME te komen. Enkel via fouten/lekken in het systeem.

[Cerberus_tm]

Is het niet zo dat de ME wel degelijk ook in borden voor gewone consumentenprocessoren zit, maar dat bepaalde elementen dan uitgeschakeld zijn (Vpro)?

[Reactie gewijzigd door Cerberus_tm op 23 juli 2024 02:31]

[Dennism]

De ME zit niet in cpu's. Deze is, wanneer aanwezig, onderdeel van de chipset.

[Cerberus_tm]

OK, fair enough, aangepast.

[Toolmaker]

Niets is echt veilig in IT land. Dus de kans bestaat wel degelijk dat er nadien weer design flaws komen bovendrijven. CPUs zijn complexe apparaten, het is lastig om die 100% veilig te bakken, zeker met de kennis van nu. Over 10 jaar is er meer kennis, meer inzicht en betere analyse tooling beschikbaar waardoor het vinden van lekken ongetwijfeld mogelijk is.

[Verwijderd]

Veilig in de zin van geen backdoors, en volgens de huidige kennis omtrent security, zelf actief op zoek naar kwetsbaarheden gaan en die gewoon hw/sw patchen is voldoende..

[Ayporos]

Het slot op jou voordeur is ook niet 100% veilig.. als ook het slot op jou auto.. of die op jou kluis.

Het is een risico/kosten afweging. Ja, je zou je product veiliger kunnen maken.. maar wat zijn de kosten die daaraan hangen en zijn die het waard? Ja, we kunnen auto-ongelukken waarschijnlijk hélémaal doen verdwijnen door de snelheidslimieten op ALLE wegen naar 1km/u te verlagen.. maar is dat het waard?.. Ik zou zeggen van niet

Het is niet alsof intel hun producten market als zijnde '100% veilig', je zou wel gek zijn om zo je product te marketen want elke producent weet dat dat gewoon niet mogelijk is.

[Gekke Jantje]

Duidelijk. Mijn reactie was niet negatief bedoeld. Ik heb het aangepast want er zat een spelfout in vandaar de -1 denk ik. Ik vermoed ook al dat een CPU die zeer complex is niet 100% veilig kan zijn maar het tegendeel word wel eens tegen mij gezegd en dan wee tik het ook niet meer.

[Ayporos]

Als ook mijne niet.

In principe kun je er gewoon van uit gaan dat iemand die claimt dat 100% veiligheid mogelijk is gewoon uit z'n nek lult, of hij/zij het nou over CPU's of iets anders heeft maakt in dat geval niet uit.

Titanic claimden ze ook dat ze 'onzinkbaar' was, om even een beroemd voorbeeld te geven.

[Verwijderd]

Wat zou ik graag een review willen zien met benchmarks van professionele applicaties voor de patches en met de laatste patches. Heeft iemand een link?

[Loggedinasroot]

Phoronix heeft die volgens mij.

[RobinJ1995]

En hoeveel CPUs hebben ze ondertussen nog aan full retail price uitgebracht?! Hoezo is dit acceptabel dan?

[xorpd]

Alle cpu's bevatten fouten. Kun jij aantonen dat je schade hebt geleden door een fout in je cpu dan kun jij zeer waarschijnlijk aanspraak maken op de garantie.

[RobinJ1995]

Jij morgen te weten komt dat een bepaald merk van auto al jaren een fout heeft waardoor een inbreker hem zomaar kan stelen, en nu wordt alle software van die auto's bijgewerkt maar als neveneffect trek je nu 30% snel op en heb je 30% lagere efficiëntie van brandstofgebruik.

Dat bedrijf blijft vervolgens nieuwe auto's uitbrengen en aan volle prijs verkopen voor het komende jaar maar blijft de volledige specs adverteren (want dat zijn de fabrieksspecificaties, dat die update die je direct binnenkrijgt 30% van je performance weghaalt door hun fout is hun probleem niet).

Een jaar na de ontdekking van de fout komen ze plots eindelijk af met een nieuwe auto die dit keer wel zijn geadverteerde specs haalt.

Zou jij dit acceptabel vinden? Ten eerste zou je als eigenaar van 1 van de vroegere auto's waarschijnlijk een schadevergoeding willen. Maar dat ze dan gewoon vervolgens nog een jaar lang auto's blijven verkopen waarvan ze weten dat er deze fout zou toch gewoon de laatste druppel moeten zijn, of ligt dat nou aan mij?

Je kan wel zeggen dat foutjes kunnen gebeuren, absoluut. Hoewle het nog steeds niet echt acceptabel is als klant, is het nog te snappen. Dat ze dan vervolgens gewoon nog een jaar nieuwe auto's zouden blijven uitbrengen met die fout, echter, is gewoon schandalig. Want vanaf het moment dat ze te weten zijn gekomen dat deze fout bestond ging het niet meer om "een foutje waar we niks meer aan kunnen doen" maar gewoon om "meer geld nu. fixen we later wel een keertje in een toekomstig product. we hebben toch praktisch een monopolie."

[MacD]

Weet je wat? En dit zeg ik als oude computernerd die encryptie en beveiliging naast z'n hart draagt?

Shit happens.

NIETS in computerland is veilig. Live with it. Als het nu veilig word gedacht dan komt altijd wel iemand met een hack uit. Zo werkt het nou eenmaal.

En hardware design is fucking MOEILIJK. En duurt lang.

Ja, het is kut dat er een hack is bedacht die alle hardware kan pwnen. Maar dat kan je niet helemaal aan de makers aanrekenen! Die doen hun best. En dan komt er een geek aan die laat zien dat het helemaal te pwnen is.

Ja, dat was eigenlijk iets waar je op kon rekenen: ANYTHING CAN AND WILL BE HACKED.

Maar om dat te dichten? Dan ben je weer jaren verder tot het redesign in handen van de consument is.

Het is ruk en kut dat al onze hardware dus te kraken is. Dat de enige manier op korte termijn om het te mitigaten een software oplossing is die performance invloed heeft.

Maar wtf dacht je? Dat ze de hele wereld de volgende dag nieuwe veilige hardware konden geven?

Doe normaal en schaaf je verwachingen bij.

[xorpd]

Auto's en cpu's zijn niet echt te vergelijken, maar... Het is jouw cpu. Wil je de patch niet, deinstalleer hem dan. En verder is het inderdaad compleet acceptabel dat de oude cpu's nog verkocht worden terwijl de nieuwe ontworpen worden. Aan jou de keuze. Accepteren, wachten, overstappen naar de concurrent...

En wat betreft die schadevergoeding: je zult eerst schade moeten lijden. Performance-verlies valt daar niet onder.

[RobinJ1995]

Er is wel een verschil tussen oude CPUs blijven verkopen of nog nieuwe CPUs uitbrengen met dezelfde fout naar mijn mening

[Dennism]

Vraag is, wat is het alternatief. Iedere CPU fabrikant in de industrie is in meer of mindere mate getroffen door deze exploits. Intel, AMD, ARM, IBM (Power), Oracle (Sparc) en noem maar op, geen van allen zijn ze 100% exploit vrij. En nieuwe generaties ontwikkelen duurt een 1,5 tot 2 jaar minimaal. En alles wat daar tussen zit kun je niet zomaar afschrijven. Daarnaast, iedereen die na het vervallen van de embargo's een CPU (of PC) koopt kan het weten en zelf de afweging maken om wel of niet te kopen tegen X prijs of te wachten.

Andere vraag: Welke specs halen deze cpu's niet? Als ik kijk of ARK (Intel) of bijvoorbeeld de AMD site zie ik eigenlijk geen enkele specificatie die niet gehaald wordt.

Verder zou ik me niet blindstaren op schreeuw quotes met "30% performance verlies!!!", dat is vrijwel altijd gemeten met synthetische benchmarks die een worst case proberen na te bootsen. Sowieso vind ik synthetische tests waardeloos om dit probleem op waarde te schatten. Real world performance is mijn inziens veel belangrijker. ik heb zowel prive als zakelijk redelijk veel getest en ik zou zelf zeggen dat eigenlijk geen enkele realworld consumenten workload echt verlies heeft, gemiddeld in mijn tests kwam ik op 0-1% verlies bij zaken als gaming, office werk, browsing, multimedia.

Servermatig valt het ook erg mee in veel gevallen, de meeste van mijn gemonitoorde workloads zo'n 0-5% verlies, waarbij het gemiddelde veel dichter bij de 0 licht dan bij de 5%. Maar hier kunnen wel wat IO intensieve workloads tussen zitten waarbij je meer verlies hebt, het maximale dat ik gemeten heb was iets van 17%, nog altijd een stuk minder verlies dan synthetische benchmarks je willen doen laten geloven.

[RobinJ1995]

Je hebt een valid point, hoewel ik persoonlijk vindt dat ze op dat moment even hadden moeten stoppen met nieuwe dingen uit te spugen en als eerste prioriteit dat probleem hadden moeten oplossen voor ze met nieuwe dingen op de markt kwamen.

As for hoe groot de performance impact is, dat zal er waarschijnlijk heel erg vanaf hangen wat je setup is. Maar als ik ga gamen reboot ik toch altijd even mijn laptop om Page Table Isolation uit te zetten omdat het prestatieverlies in games die vooral CPU bound zijn wel heel erg merkbaar is (vooral grote input lag in CS:GO bijvoorbeeld).

[pharmacist]

Scalable platform: dat klinkt als het na-apen van AMD's Infinity Fabric.

[xorpd]

Is het niet overigens. Betekent alleen dat er Xeons zijn voor 'elk' budget. Bronze, Silver, Gold and Platinum.

[Flaat]

Scalable platform was al uit voor AMD Epyc, dit is gewoon de uitbreiding ervan. Daarnaast betekent het iets geheel anders, simpelweg dat ze op hetzelfde platform schalen van chips van 300 tot 10k euro.

[_Pussycat_]

Klopt, iedereen brengt zijn oude pc nu weg vanwege die bugs.
[/s]