Intel gaat onveilige TSX-functie uitschakelen op oudere cpu's

Intel heeft besloten om Transactional Synchronisation Extentions in processorchips van Skylake-, Kaby Lake-, Coffee Lake- en Whiskey Lake-cpu's uit te schakelen. Intel zet de functie uit vanwege fouten in geheugenordening en omdat deze misbruikt kan worden door hackers.

TSX wordt binnenkort uitgezet in een micro-update voor de cpu's, ontdekte Phoronix toevallig bij het lezen van nieuwe kernelpatches. Het uitschakelen van TSX zal leiden tot slechtere prestaties in oudere chips in bepaalde taken. TSX voegt hardware transactional memory-ondersteuning toe aan de cpu's, waardoor zij volgens cijfers van Intel tot 40 procent beter presteren in bepaalde taken. TSX zat sinds 2013 in Intel-cpu's.

In 2016 werd ontdekt dat TSX misbruikt kon worden voor een side-channel timing attack, waarbij hackers kernel address space layout randomization, of KASLR, konden breken om toegang te krijgen tot een systeem. Dat is een van de redenen dat de functie nu niet meer wordt ondersteund.

Een belangrijkere reden, volgens Phoronix, is dat TSX een fout in de geheugenordening kan veroorzaken, dus de volgorde van het benaderen van geheugen. Daarover publiceerde Intel eerder deze maand een white paper in pdf. Dat probleem is al sinds 2018 bekend en de functie werd daarom al uitgezet in SGX en SMM. Met de micro-update kan TSX nu niet meer benaderd worden en daarnaast komt er nadrukkelijk geen workaround in de Linux-kernel.

Reacties (105)

begrijp ik nou goed dat mijn cpu's (verschillende iCores 6th gen) dadelijk minder gaan presteren. Zonder dat mij wat wordt gevraagd? En de enige manier om dat te voorkomen is geen nieuwe kernelpatches te installeren?
Ongetwijfeld is er een goede reden om iets te doen aan dat TSX, blijkbaar veiligheid. Maar het zijn mijn cpu's en ik zou toch zeggen dat ik er een stem in heb wat ermee gebeurt.
En het lijkt erop dat nu min of meer bij toeval is ontdekt dat dit te gebeuren staat. Ik zou toch op z'n minst actieve communicatie hierover van Intel verwachten.

edit: ik zie dat er een whitepaper van Intel is, dus er is wel enige communicatie vanuit Intel.

[Reactie gewijzigd door inhico op 30 juni 2021 07:47]

Tsja, de kans dat jij hier tegenaan loopt is echt vrij klein.

TSX is een instructieset die het mogelijk maakt om op meerdere logische processors (gewoon echt processors in losse voetjes, een NUMA architectuur) (ook wel "cores") speciaal aangepaste software te draaien. Die in plaats van 'netjes' onderling geheugen aan te vragen middels locks, de software 'zomaar' draait, om snel daarna te horen of er een geheugen gebruik conflict was. Met het idee dat als deze conflicten in de praktijk zeer weinig optreden, dat dan achteraf de rommel opruimen sneller is dan alles netjes van tevoren doen.

Maar je draait waarschijnlijk geen server hardware met meerdere fysieke processors (er zijn losse AMD processors met NUMA intern, maar die hebben niet deze Intel TSX). En je draait vast ook geen (wetenschappelijke/render) software die speciaal is aangepast om uit de losse pols te draaien en dan middels TSX transactie terugrol daar op te reageren.

Daarnaast zitten er dus ook gewoon bugs in TSX waardoor je niet zeker kan zijn dat deze manier van geheugen beheer altijd het juiste antwoord oplevert. Wat voor bovengenoemde wetenschappelijke software meestal ook wel een dingetje is.

Ga je dit bijvoorbeeld op de je laptop tegen komen? Nee. Waarschijnlijk niet. 1 op de 40 laptops in Pricewatch hebben TSX.

[Reactie gewijzigd door Henk Poley op 30 juni 2021 11:07]

Dit soort duiding zou eigenlijk bij het nieuwsbericht moeten staan. Terecht +3.

Het is alleen wel fout . Ik ga het aanpassen heb het aangepast.

Logische processors zijn toch wel "cores", en niet processors in losse voetjes.

Alsnog denk ik dat er weinig software is die TSX gebruikt, aangezien het wel wat software ontwerp vergt om zo'n aparte manier van fout herstel achteraf te doen.

[Reactie gewijzigd door Henk Poley op 30 juni 2021 10:31]

Kan gebeuren.

Wat ik vooral bedoel te zeggen is dat het nieuws een stuk leesbaarder is voor de gemiddelde tweaker wanneer er wat duiding wordt geprobeerd te geven.

Ik denk dat er best veel tweakers zijn die veel van processoren weten, maar precies welke instructieset in welk scenario relevant is gaat wel ver. Je ziet zonder deze duiding toch een hoop vragen of naïeve opmerkingen opduiken in de reacties, die voorkomen kunnen worden. Dat bied echt meerwaarde.

Dat het nu opgepakt wordt uit de community is ook sterk natuurlijk.

Maar je draait waarschijnlijk geen server hardware met meerdere fysieke processors (er zijn losse AMD processors met NUMA intern, maar die hebben niet deze Intel TSX). En je draait vast ook geen (wetenschappelijke/render) software die speciaal is aangepast om uit de losse pols te draaien en dan middels TSX transactie terugrol daar op te reageren.

De enige desktopapplicatie die ik in het wild tegengekomen ben die TSX gebruikt is de PS3-emulator RPCS3, waarbij die instructies toevallig goed bleken te werken voor specifiek die workload.

Zoals ik het lees, wordt de functie al niet meer gebruikt (door OS, sinds oktober 2018), maar is nog wel benaderbaar (bv. door malware).

Daarom wordt het nu "firmware" matig uitgezet, zodat deze functie door software niet meer (lastiger?) te gebruiken is.

(Ik weet niet genoeg van OS, of er alsnog een software workaround mogelijk is. Het Linux stuk duidt er wel op, met "do not enable kernel workarounds".)

Dat is een beetje kort door de bocht. Windows (en Linux?) gebruiken het niet meer. Programma's die op die OS's draaien kunnen het nog prima gebruiken. En als jij programma's hebt die hier baat bij hebben ga je dus (flinke) performance verslechtering zien.

De "do not enable kernel workarounds" betreft volgens mij het feit dat het nu niet meer uitmaakt of de Linux kernel driver het nog ondersteund: het wordt in de firmware uitgezet. Dan werkt het dus ook niet meer met aanpassingen aan de driver.

Ik vind het echter wel altijd bijzonder dat dit soort dingen kunnen worden opgelost met een "firmware update". Net als de out-of-band controllers van Intel waar kritieke lekken in zitten. Logica zegt me dat als je fouten maakt op dit niveau in je hardware er ook wel slimme hackers zijn die de firmware update ongedaan kunnen maken. Tenzij Intel security maatregelen in hun producten heeft die fysiek een draadje laten wegbranden of ergens een flesje zuur overheen knikkeren...

Die firmware zelf kan een beveiliging bevatten dan er alleen een upgrade mogelijk is en geen downgrade.
Dat mechanisme zou ook lek kunnen zijn natuurlijk.
Aan de andere kant: als een aanvaller firmware-updates kan sturen is je systeem al gecompromitteerd tot het meest fundamentele niveau.

Als ik me goed herinner (van heel lang geleden, begin jaren 90), vroeger had je inderdaad firmware gedeeltes die door een kortstondige hogere spanning onomkeerbaar gewijzigd konden worden. De overgang werd dan onbruikbaar.
Ik weet niet hoe dat tegenwoordig is.

Middels wat zekeringen idd. Wordt nog wel toegepast, al weet ik niet of Intel dit doet.

De Switch heeft dit als beveiliging. Bij grote updates brand er een fuse door, waardoor je in theorie niet meer kan downgraden (naar een oude versie met eventuele exploits om illegaal spellen te spelen). Oude (niet aangepaste) firmwares zien dan dat er minder fuses over zijn dan verwacht en weigeren dienst.

Je moet in zo'n geval dus een custom firmware schrijven die de fuse check omzeilt, of de oude code die het tsx onderdeel gebruikt injecteren in een nieuwe firmware. Als de firmware goed encrypted is kan dit dus moeilijk zijn.

Maar zoals gezegd, ik weet niet of Intel dit systeem gebruikt.

Je hebt dit nu nog wel in hardware security modules die worden gebruikt voor key storage. Grote bedrijven als Microsoft, Amazon, etc. en bedrijven met een hoog security profiel gebruiken deze.

Meestal betreft het dan wel alleen tamper protection: als er aan de behuizing wordt gesleuteld valt er bijvoorbeeld een aggresief zuur op de geheugenchip zodat de key niet meer uit te lezen is. Beetje knullig als een IT-er met het verkeerde commando je volledige IT-infra (permanent) onbruikbaar maatk

https://en.wikipedia.org/wiki/Hardware_security_module

Nvm

[Reactie gewijzigd door Jack77 op 30 juni 2021 12:36]

Daarom wordt het nu "firmware" matig uitgezet ...

Ha ha, dat doet me weer hieraan denken:
https://www.spatiegebruik.nl/popup.php?id=1441

Je bent uiteraard vrij om op oudere software en firmware te blijven werken. Dan blijf je je instructies behouden. Maar ik denk dat je ver zal moeten zoeken voor software die TSX ook gebruikt vandaag de dag.

In de bron die hier vermeld wordt gaat het over firmware en kernel aanpassingen op Linux. Je kan uiteraard zelf een aangepaste build maken die TSX wel blijven toestaan.

Echter hebben Intel en de Linux kernel developers blijkbaar besloten dat het voor de algemene gebruiker belangrijker is om dit veiligheidsgat te dichten dan de instructies te blijven ondersteunen.

Bovendien is dit niet de eerste keer dat zoiets gebeurd - Linux en Windows hebben allebei dergelijke updates gedaan ten tijd van Spectre en Meltdown. Die hadden een veel grotere impact op prestaties van veel toepassingen.

Voor zover ik kan vinden wordt TSX voornamelijk voor serverdoeleinden gebruikt. Het is in 2018 op Haswell processors al uitgeschakeld en kan door de OS niet meer gebruikt worden. De programma’s die er wel gebruik van maken worden eigenlijk niet door de gemiddelde gebruiker gebruikt, dus zullen de meeste mensen geen performance drop zien.

aan de andere kant,

wie ben jij?

Als jij een privé persoon bent met een privé pc op een privé netwerk zonder internet-toegang, ben je geen kwetsbaarheid voor mij (en hoef je dus ook niet te updaten), ben je net even wél op het internet en wordt jij gehackt door deze kwetsbaarheid is de vraag als snel: wie is er schuldig voor de schade die mede door jouw pc in een botnet wordt veroorzaakt.
Als jij performance belangrijker vind dan mijn veiligheid dan wil dat je ook meebetaald aan mijn schadevergoeding.
Als jij een webhoster bent die zijn 'aantal klanten per machine' hierdoor flink ziet dalen en je dan maar kiest om de patches niet door te voeren, is het wat mij betreft nog veel erger en zie ik je als strafbaar aan het mede veroorzaken van of het in gevaar brengen voor een datalek en zou je gewoon de bak in moeten, zelfs als dat datalek toevallig niet plaatsvindt (doordat jij zoveel geluk had dat een goedwillige hacker eerst aan de bel trok).

In tegenstelling tot wat veel mensen willen geloven of waar ze vanuit willen gaan, is een rechtsstaat in eerste instantie de plicht om aan de belangen van je medemens te denken en secundair om te genieten van de voordelen die ervan komen omdat anderen ook aan jouw rechten moeten denken.

TSX zat sinds 2013 in chips gebaseerd op de Haswell-microarchitectuur sinds de Skylake-generatie.

Dit snap ik niet, ligt wellicht aan mijn kennis. Maar is het nou vanaf Haswell processoren ingebouwd, of pas vanaf Skylake? Dit ivm de i7-4470 die ik nog steeds draai..

Gewoon even checken op de ark-site van Intel.
Bijvoorbeeld mijn oudje: I5-4460 zegt: 4th Generation Intel® Core™ i5 Processors, Products formerly Haswell. Dus ik dacht...shoot. Maar verderop in de lijst van " Advanced Technologies" straat Intel® Transactional Synchronization Extensions: No.

Allemaal op te zoeken op De ARK van Intel

En voor de I5-4460: Intel Ark I5-4460

[edit]
PS: voor je I7: ARK I7-4770 staat er ook "NO".

[Reactie gewijzigd door ArnieNFW op 30 juni 2021 08:34]

Dank!

Haswell is ook de naam van de (micro)architectuur van de processoren. Skylake is in die zin "lid" van de Haswell "familie" aan processoren. Haswell processoren zijn de Intel 4th gen zo uit mijn hoofd, Skylake is de Intel 6th gen en is dus het laatste familie lid in de Haswell familie, gezien Intel tegenwoordig met een tic-tac-toe principe werkt in plaats van tik-tok.

Apple heeft een boete gekregen omdat het de prestaties verminderde en de gebruikers niet informeerde. Ik ben benieuwd hoe dit gaat uitpakken voor Intel.

Keyword hier is niet informeerde, iets wat intel dus wel doet. Ze geven zelfs aan waarom ze het doen.

Maar dan nog, mogen ze dat wel doen zonder toestemming van de gebruiker/eigenaar?
Stel je voor, Ford geeft aan dat door een fout in het slot de auto makkelijk te stelen is, daarom beperken ze de snelheid van de auto tot 70km p/u (zonder jouw toestemming) om autodieven af te weren.

Ik denk toch echt dat Ford een groot probleem heeft.

Deze update moet je natuurlijk actief installeren, en dan is het niet meer zonder jouw toestemming. Dat niemand ooit leest en gewoon maar update is niet zo zeer de schuld van Intel lijkt mij.

Nu heb ik al even (lees sinds 2700k) geen intel meer maar vroeger moest dat zelfs met een bios update gebeuren.

[Reactie gewijzigd door DarkBlaze op 30 juni 2021 10:31]

CPU Microcode updates worden tegenwoordig ook met Linux en Windows meegeleverd, dus grote kans dat je deze update via die weg automatisch krijgt. In die situatie wordt de Microcode bij het opstarten van het OS ingeladen, dus met wat moeite kan je dit waarschijnlijk weer terugdraaien.

ten 1e: wat een gek voorbeeld! wat heeft de max snelheid van een auto immers met inbraakpreventie te maken?

ten 2e: hangt het niet allemaal samen: A: met het risico van de maatregel, B: met de comuncatie van de maatregel. C: met de onderbouwing van de maatregel.

Jouw rechten als 'eigenaar' zijn immers niet alles omvattend, jij als eigenaar kunt niet tegen de garage zeggen rot op met die autogordel ik wil zonder de weg op. je kunt ook niet zeggen, maak maar een uitlaat die letterlijk vuur spuuwt.

Door de (al dan niet ongeschreven) regels van garantie/serviceverlening/veiligheid etc is intel verplicht geworden om ook na de verkoop te zorgen dat zijn chips veilig zijn voor de gebruiker en voor de maatschappij in zijn geheel. MS heeft ook vaker patches moeten uitbrengen die windows trager maakte.

gezellig, wat voor extra performance zorgde indertijd wordt nu zo onveilig geacht dat ze het disablen en de cpu's nog verder cripplen

ik was al aan het denken om m'n 6600 te vervangen, maar dit komt er alweer bovenop

Ik ben nog erg tevreden over mijn I5-6600. Snelheid is voor mijn gebruik nog zat.

Maar mogelijk moet ik ook gaan vervangen omdat mijn moederbord geen TPM2.0 heeft en MS heeft besloten dat deze CPU zal worden ondersteund door Win11.

Echter hoe gaat Intel dit uitschakelen middels een microcode update want dan zal bij de meeste niet worden uitgeschakeld. Dat vereist een bios-update en dat heeft MSI al lang niet gedaan en dan moet ik het nog willen updaten.

Ik heb dezelfde uitdaging met mijn i7-6800, hij voldoet feitelijk nog prima voor alles wat ik doe maar met het vooruitzicht Windows 11.

Helaas zijn de hardware prijzen dusdanig absurd op dit moment dat het gewoon volledig ondoenbaar is.
De prijzen liggen nog steeds op ruim 2 maal van wat het zou moeten zijn.

Microcode updates kunnen niet enkel via een bios update, zo komen ze ook via Windows Update mee ( voorbeeld: https://support.microsoft...c0-1711-fb0e-b1dab1d1406c ), of bijvoorbeeld bij Linux Updates, mocht je Linux draaien.

microcode updates kunnen al best een tijdje ook op OS (kernel) niveau worden gedaan, sinds uefi is dat niet meer uitsluitend aan de bios.

Ok wist ik niet.

Er is vast wel ergens een mooie Ryzen cpu voor opbouw een nieuw systeem.

Het is dan weer verrekte jammer dat AMD de Ryzen 5000 serie zo duur heeft gemaakt. Dat maakt ze ineens niet zo interessant meer.

Dat ook een beetje, al had ik een prijsverhoging van AMD wel verwacht.

Mijn partner wou een upgrade naar 5000 toen dat uitkwam, maar de toenmalige verkrijgbaarheid en feit dat een 3700x goedkoper was dan een 5600x, zorgde ervoor dat de upgrade in the end een 3700x werd.

De performance van de 5000 is erg goed van wat ik gelezen heb.

Is het zeker. Maar je zit met een instap Intel (11400/11500) op het niveau van een 3700 en heel dicht tegen een 5600x aan. Je moet echt de duurdere varianten van AMD hebben om AMD een goede keuze te laten zijn.

AMD had een betaalbare 5600 moeten hebben. Dat was perfect geweest.

[Reactie gewijzigd door fapkonijntje op 30 juni 2021 08:55]

maar hoe zit het met het stroomverbruik van die 11x00 chips van intel, ik dacht juist dat dát nog het enige (maar wel essentiele) voordeel van ryzen x 3xxx was tov de hele intel line-up.

Dat stroomverbruik is vooral een probleem bij de hoger geclockte versies. De 11700 serie is bijvoorbeeld een drama en alles daarboven moet je compleet negeren bij Intel. Daar is AMD koning.

Intel doet het wel oké met de 11600KF en lager, hun architectuur is best goed namelijk, alleen schaalt dramatisch naar hogere clocks. Ook ligt het natuurlijk aan wat je met de CPU's wilt doen.

Wat we nu als voordeel hebben is dat je geheugen op de B560 kunt overclocken. Je kunt dus 3600mhz ram op cas 16 of zelfs lager draaien op Gear 1 op een 11400F. Dat betekent een flinke zet in sommige workloads.

Wat vooral uitmaakt is dat de 11400f nu 170 euro of minder is, terwijl de 3600 langzamer én duurder is, soms zelfs meer dan 30% langzamer in spellen, zeker op wat hogere resoluties. Een 11400 evenaart een 3900X in spellen. Ook een dingetje.

Maar, dit is voor 'gaming'. Er zijn andere gebruiksdoelen waarbij de verschillen kleiner of andersom zijn, bekijk dus wel de nodige reviews op basis van wat je met je machientje gaat doen. Toch staat de 11400F ook daar z'n mannetje, maar minder. Een 11500 zal marginaal beter presteren en best interessant kunnen zijn met integrated GPU. Een 11600K/KF/F is wel de laatste interessante uit de reeks, daarna is de winst waardeloos.

Het probleem is niet zozeer dat Intel het goed doet, maar vooral dat AMD vooral duurdere varianten te koop heeft en deze generatie geen normale 5600 heeft. Afgelopen generatie was de 3600 een perfecte keuze, maar nu zit je gelijk aan een 5600X met dik prijskaartje. Die is gelijk 300 euro terwijl het verschil met een 11400F wel heel klein is soms.

edit: dat modereren hier blijft een fascinerende ervaring, dit staat op +2 terwijl het toch wel redelijk offtopic is.

[Reactie gewijzigd door fapkonijntje op 30 juni 2021 11:33]

AMD is ook niet foutloos.

Je gaat je bijna afvragen wat Intel allemaal gedaan heeft om maar extra performance te krijgen. Was tot nu toe nog tevreden met mijn 7700k, maar die mag mogelijk nu toch nog sneller vervangen worden.

Iemand enig idee op wat voor een taken dit echt invloed gaat hebben c.q. welke programma's geraakt worden?

Naar mijn weten niks van consumentenspul. Immers, COTS software* is zodanig gecompileerd dat er geen TSX gebruikt wordt door die apps (aangezien er zat "normale" gebruikers zijn die TSX niet eens in de hardware hebben zitten). OSen hebben het ook al enige jaren uitgeschakeld staan (in Linux kan je het in je kernel inbakken maar dan moet je deze wel zelf compilen (en wie heeft daar tijd voor )).
Dus TLDR: je gaat het niet missen als de kans dat je het ingeschakeld en in gebruik hebt wel héél klein is.

*Commercial-off-the-shelf, zeg maar alle software die je bij de normale computerboer vindt

“Ouder” is wel wat relatief. Het gaat hier niet om stokoude beestjes. Dit zijn chips die je een paar jaar (2-3) terug prima had kunnen kopen en waar je normaal gesproken nog wel een paar jaar mee had gedaan. (whiskey lake is bvb. eind 2018 uitgekomen) Of heb ik dat verkeerd?

Intel heeft weer eens een heel andere insteek op ‘planned obsolescence’…

[Reactie gewijzigd door Keypunchie op 30 juni 2021 07:45]

Mijn notebook heeft een 9750h, coffee lake dus.

En volgens notebookcheck kwam die CPU in april 2019 uit, 2 jaar dus.

Het is dat mijn desktop vooral het zware werk uitvoert en dat deze een AMD heeft, mijn notebook heeft een Intel en het is nogal "flut" (scheldwoorden terzijde) wat hier nu gebeurt.

Ben benieuwd naar wat de performance hit zal wezen, er zullen vast wel websites en YouTube channels zijn die dat gaan testen.

…
Intel heeft weer eens een heel andere insteek op ‘planned obsolescence’…

Of het nu wel of niet https://nl.wikipedia.org/wiki/Geplande_veroudering wil ik even in het midden laten,

wat ik wel verwacht van Intel is dat ze compensatie gaan geven of dat bedrijven/consumenten maar ook overheden massaal aan de bel gaan trekken dat dit natuurlijk de reinste onzin is zonder vorm compensatie.
Je creëert een precedent waarmee chip-fabrikanten tzt functies onder het motto veiligheid kunnen uitschakelen.

En intel is anno 2021 een modale speler,
als Qualcomm/Samsung/Apple dezelfde strategie zouden kiezen of Google voor android besluiten gaat maken.

Hoe kun je deze microupdate tegenhouden? Gaat Intel deze zelf verspreiden, of moet je hierdoor handmatig je Windows gaan updaten zodat alle Intel Updates bij de deur kunnen worden tegengehouden?
Mijn laptop met i5-8265u is prima zoals deze is. Ik zit niet te wachten op minder performance, of meer fangeluid en een kortere accuduur doordat de cpu harder moet werken om hetzelfde gedaan te krijgen...

" The average person is unlikely to notice significant changes in performance."
Volgens mij via het BIOS dus niet automatisch via update maar ik ben eigenlijk ook benieuwd

Wanneer het via je BIOS-boer gaat zit je wel goed… de meeste hardware fabrikanten brengen hooguit 1 tot 1,5 jaar na initiële release van mono/notebook nog BIOS-updates uit… ☺️

En is er ook een manier om hier niet voor te kiezen?

wtf....zelfs coffee lake (mijn nog niet ouder dan 3,5 jaar oude 8700k) is de sjaak.
Die micro-code (forgive my ignorance): is dat nu bios code of gaan ze dit 'ergens' fixen in windows10?

Voor zover ik weet moet je een bios update draaien om deze microcodes uitgevoerd te krijgen. Geen idee of een OS dit zelf mag doen.

Veel moderne laptops en desktops doen de update uit zichzelf, en ja ook die van 3-4 jaar geleden.

In de race naar de snelste cpu zijn best wel wat fouten gemaakt, merken we nu. Dit is niet de eerste keer dat een Intel cpu wordt afgeknepen.
Ik vraag me af hoe dat bij AMD is gegaan in diezelfde periode.

Amd chips zitten ook vast en zeker lekken in maar het design is veel nieuwer. Maar er zijn er al gebonden en er gaan er vast nog meer op duiken in de toekomst.
Een deel van de intel leaks zijn echter een grap omdat je fysieke toegang nodig heb tot de pc om ze te misbruiken. Als je dat heb kan je ook gewoon data kopiëren. Dat is makkelijker.

De enige leaks die ik gevaarlijk acht zijn leaks waar geen gebruiker interactie nodig is en op afstand toegepast kunnen worden. De rest hou ik zelf wel tegen met veilig gebruik van de pc. Denk aan open poorten en remote access (bij mij onklaar gemaakt dus) of een site die teveel toegang heeft.