Re: [情報] 果然削弱性能！Intel i7+Win10打漏洞補丁

[YuQilin (神獸)]

現在的測試根本還沒有達到真正修補漏洞後應該會有的損失，
打作業系統補丁修補的是Meltdown漏洞，
在有支援PCID的CPU上這修補損失的性能目前看起來不大，
一般應用損失大概2%~5%。

但是另一個Spectre漏洞，需要更新BIOS來修補，
如下圖
https://i.imgur.com/FERyUco.jpg

在powershell中輸入Get-SpeculationControlSettings可以檢查系統目前修補的狀態
圖片裡第一個藍字CVE-2017-5715 [Branch Target Injection] 就是Spectre漏洞，
下面三行紅字分別代表
硬體層級緩解：無
作業系統緩解：無
作業系統緩解功能啟用：否

第二個藍字CVE-2017-5754 [Rogue Data Cache Load] 也就是Meltdown漏洞，
下面三行代表
系統的CPU存在漏洞需要KVAS補丁：是
系統有打KVAS補丁：否
系統的KVAS有啟用：否

第三個藍字是建議事項
建議更新韌體或BIOS以抵禦Spectre漏洞攻擊
安裝最新的Windows更新以取得作業系統層級的漏洞緩解
按照下面的網址指示啟用作業系統的緩解

然後下面白字是總結，其中最注目的就是KVAShadowPcidEnabled
也就是打了對應Meltdown的KVAS補丁後，是否有支援和啟用PCID，
如果這一項是「否」，那麼你的系統就會有非常大的效能損失。



不過這些都還只是前菜，真正嚴重的是對應Spectre的BIOS更新，
Asus昨天釋出了部分主機板修補Spectre的最新BIOS，
經鄉民測試，BIOS補丁會非常劇烈的降低效能，
如下圖 i7-8700 / ASUS PRIME Z370-A BIOS update (0606) / Realbench 2.56
https://i.redd.it/vbymibcgj9801.png

更新完BIOS後有確認上述第一個藍字硬體層級緩解為：有。
圖裡面Windows patch+BIOS update
效能較未打補丁未更新BIOS的系統下降9%~21%，
影響遠遠比微軟的補丁更嚴重。

之前各家報導效能影響不大的測試，只是在最新的CPU上+微軟補丁的結果，
不包含舊的CPU，也都還沒測試BIOS更新，所以報導並不完全。
guru3D的編輯已經發現這件事情做了更正，
之後各家應該會陸續更新詳細的測試結果。

來源：https://redd.it/7obokl

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 61.219.36.66
※ 文章網址: https://www.ptt.cc/bbs/PC_Shopping/M.1515310871.A.B51.html
推 ww578912tw  : Spectre這摸嚴重喔！ 以為meltdown就蠻慘的了
推 Shauter     : S當然更慘啊 因為S是各家不可避的方法
推 a2935373    : Spectre的BTI是通通有獎吧?
→ Shauter     : 是啊 因為這方法大家都用
→ YuQilin     : 亂序執行是現代CPU的基石
→ YuQilin     : 只有下降21%我覺得已經是萬幸了
→ a2935373    : 因為扯到的東西太基本 我想這應該不會就這樣收工
→ a2935373    : 可能最後還是回歸禁用高精度時鐘指令之類的辦法?
→ SPDY        : 3代前(從Ivy)似乎都不支援PCID 我2台3110M筆電呀..
→ a2935373    : 又不可能回到上個世紀不用亂序執行的辦法 囧
→ a2935373    : 暫時好像沒看到AMD打BTI Patch的BIOS?
→ YuQilin     : 暫時沒有 AMD由於架構不同 據說受到BTI的影響較小
→ YuQilin     : 如果真的需要BIOS修補的話 影響多少還需測試才能知
→ a2935373    : 等著看戲好了 好像從來沒看過這麼底層的大洞
推 KotoriCute  : 我記得之前論文說Spectre 要從軟體和OS下去補吧
→ KotoriCute  : 我猜這個更新只是緊急的應變措施
→ commandoEX  : AMD下的沒有這個指令?
推 KotoriCute  : Spectre 這個比較麻煩，每家補救方法都不一樣
→ KotoriCute  : 而且很難補
推 a2935373    : BTI要補太麻煩了...非常迂迴的手法
→ commandoEX  : 原來要先打圖上最上面三行的指令才能用=  =
→ YuQilin     : BTI目前沒有作業系統的軟體補丁 根據微軟的建議事項
→ YuQilin     : 這個漏洞（至少在Intel上）需要韌體或硬體修補
→ YuQilin     : 而軟體緩解需要每個軟體各自對應
→ YuQilin     : 例如Firefox和Chrome的更新 目前都是緊急措施
→ YuQilin     : 例如調整API的時鐘精度等等
→ YuQilin     : Mozilla有說他們在實驗新的緩解方法
→ YuQilin     : 期望可以做到不降低瀏覽器的效能又可以緩解漏洞
推 a2935373    : 瀏覽器我覺得比較好處理點 最慘就是禁用某些附加
→ a2935373    : 雲端大廠這波應該才是重災區...
→ a2935373    : 雲端和資料中心這幾年效能需求都快速成長 突然來個
→ a2935373    : 效能低落問題會很大
推 ivan761016  : I社要大撒幣，以後一定一堆網站放消毒文出來，I社金
→ ivan761016  : 錢攻勢不是喊假的，AMD就被搞過
→ chrisdar    :  微碼更新版本 : 1/9公開
→ chrisdar    :  Haswell     H/S 306C3:22 40661:17
→ chrisdar    :  Haswell     Y/U 40651:21
→ chrisdar    :  Broadwell   Y/U 306D4:28
→ chrisdar    :  Broadwell   H/S 40671:1B
→ chrisdar    :  Skylake     Y/U 406E3:C2
→ chrisdar    :  Skylake     H/S 506E3:C2
→ chrisdar    :  Kaby Lake   Y/U 806E9:7C
→ chrisdar    :  Kaby Lake   H/S 906E9:7C
→ chrisdar    :  Coffee Lake H/S 906EA:7C 906EB:7C
→ chrisdar    :  Coffee Lake U   806EA:7C
推 chrisdar    : https://i.imgur.com/DiXjqYY.png 這樣就是沒有~
→ dslite      : Sandybridge被放生了嗎
推 SRNOB       : 這個東西當初不應該被找出來 全世界無形經濟損失...
推 chrisdar    : 提醒:發比速測試文之前請先確定微碼版本喔  ^_^
→ greg7575    : 才20%，繼續買起來
→ proletariat : 下一次投奔A社了 喵的
→ KCKCLIN     : 幫7系列I家用戶QQ
推 hernest01   : 怕的是這幾年早就有人透過這些漏洞在竊取資料了
→ hernest01   : 透過這兩個漏洞是不會有存取紀錄的
→ jay0811     : 該死，CPU MicroCode要從1E更到22了，我的舊板子Z87
→ jay0811     : 會出新的BIOS來解決i7-4790K的問題嗎？
推 chrisdar    : 不是有人更新MCU後跑更慢嗎?
→ chrisdar    : 沒事  我看錯  那篇更新的只有ME部分
推 ps124125288 : 這麼嚴重的效能下降…就算是i7-8700k也要弱化不少…
推 Shauter     : 2~5代會不會板廠願意放更新還是問題
→ SPDY        : 記得System32內的mcupdate_GenuineIntel.dll檔案
→ SPDY        : 就是由Windows自帶的Microcode 會隨著系統更新
→ SPDY        : 也就是說 就算BIOS沒更新 也遲早還是會更新的呢...
→ jay0811     : 我很怕Z87會被放生，囧
→ jay0811     : 各家板廠太多BIOS要release了
推 davidbright : QQ
推 Kreen       : 推，只好買新的了= =
推 Shauter     :               I9
推 chrisdar    : 你Z87:1E 我B85:19 樓下幫我QQ
推 will3509111 : UEFI的bios不是可以自己打包嗎？
推 ss70012     : 4770k+z87路過，希望能更新
推 chrisdar    : 別鬧了~改壞了開不了機怎麼辦~ 我自己有SPI燒錄器
→ chrisdar    : 倒是沒差
推 dragon6     : 效能如果差的多我也不想補了，反正這個要實作不容易
→ dragon6     : 瀏覽器修補掉，加上防毒阻擋程式，沒什麼機會作亂。
推 greg7575    : asus 會寫到崩潰吧。全改bios
推 b325019     : 你怎麼會產生防毒可以擋掉的錯覺
推 C13H16ClNO  : 只怕裝了客服會被電話弄到崩潰
推 ericinttu   : 那應該會是繞過大師寫的防毒吧
→ jay0811     : 不建議用SPI更新喔，小心把BIOS裡面的reserved 區清
→ jay0811     : 掉
推 chrisdar    : A都~是說自我更新改壞了還有機會用SPI燒錄器燒回來
→ chrisdar    : 其他人沒器材就沒辦法玩自己改BIOS更新MCU這招~
→ chrisdar    : 當然啦 有些東西會消失 例如i217/8/9的Mac addr
→ jay0811     : CPU Microcode是一個Intel 提供的binary file，只要
→ jay0811     : 包進來，再重新build，產生BIOS就好，沒有想像中的
→ jay0811     : 麻煩
推 chrisdar    : 板卡廠: RD/QA 加班中 7pupu~
推 Windcws9Z   : 板卡廠表示幹你AM...疑？！
→ JoyRex      : 覺得Intel的HEDT完全不用賣了
推 falcon11    : 之前不是說AMD也有Spectre?
推 Shauter     : 你用越非底層的機制防堵 懲罰時間就是越長.......
→ YuQilin     : 啊 對了 上面說到瀏覽器的修補 不只影響附加元件
→ YuQilin     : Mozilla前幾日證實 他們從去年就一直在研究這個漏洞
→ YuQilin     : 根據他們和Google的研究
→ YuQilin     : 已經確定Spectre漏洞不需經由使用者在本地執行程式
→ ksng1092    : "不應該被找出來"XD 果然解決提出問題的人最快
→ YuQilin     : 碼 只要瀏覽網頁經由網頁載入和執行javascript
→ YuQilin     : 就可以撈到同程序內 其他網站處理的資料
→ YuQilin     : 非常非常嚴重 所以這也是為什麼Google建議使用者在
→ YuQilin     : 1月23日的Chrome v64的更新緩解推出前 先行啟用v63
→ YuQilin     : 的 chrome://flags/#enable-site-per-process
→ YuQilin     : 暫時開啟「Strict site isolation」實驗性功能
→ YuQilin     : 徹底隔離每個不同網站的不同處理程序
→ YuQilin     : 以避免非同源網站能撈到其他網站的資料
→ YuQilin     : 但是開啟這個功能將會增加10%~20%的記憶體使用量
推 Shigeru777  : 這麼嚴重喔...趕快開一下
→ charlie20083: 剛剛跑去ASUS看B85M-G的網頁 1/2真的有UEFI更新...
→ seiya2000   : XP的chrome己經無法更新了，有解嗎？
→ xxtomnyxx   : P55 應該被放生了吧.....
→ commandoEX  : P55也不是UEFI BIOS啊
推 weimr       : 好不容易被amd擠出來的牙膏 全縮回去惹
推 hcwang1126  : Asus偷跑？
推 hcwang1126  : 1/9是表定時間 這禮拜鬧這麼大 NDA被無視了吧…
→ charlie20083: https://i.imgur.com/GqUy5t3.png 更新之後長這樣
→ charlie20083: 可是我不知道為什麼這邊顯示23而不是Chris說的22...
推 a2935373    : 趁機會禁用java讓大家乖乖用標準HTML語法啊(？)
推 chrisdar    : 大於等於22就好啦 無條件進一版不好嗎?
推 charlie20083: 豪！                                      隨便啦
→ chrisdar    : 表列是去年底給的資料,
→ chrisdar    : 我是怕22/23不是最終解~ 還要再刷一次BIOS hen累阿
推 a2935373    : 注定要再刷的吧 最終這種解法大家會崩潰的
→ JoyRex      : Intel不用講了,AMD應該都沒什麼問題吧?
→ a2935373    : BTI還是會中 目前沒看到相關BI9S修正
→ a2935373    : 影響多大不知道 ARM那邊的問題好像還沒看到要怎解
→ kill90206   : 所以山地腳和象牙腳確定放生了?
→ kill90206   : 喔 還不是最終解
推 a2935373    : BIOS要看板廠願不願意做
推 Yijhen0525  : 這次的災情大概到了行星摧毀的等級
→ charlie20083: PH67-UD3-B3 不期不待
→ charlie20083: 然後我另一台小電腦的MSI H81I還沒有更新
→ larailing   : 更新BIOS我看有人黑掉我根本不敢碰
推 Yijhen0525  : BIOS更新太危險，一個不小心就是整台送修
推 nike319546  : 沒補會怎樣啊
推 a2935373    : 光上網就可能被看光光
推 qqq3q       : 更新os都有人不敢了 更別說更新bios 可以更換cpu嗎?
推 a2935373    : 照目前的狀況是地圖砲 沒救
推 shensnet    : 更換BIOS不大可能每個電腦使用者都會用。假設使用電
→ shensnet    : 腦的男女比例一半一半，就算每個男生都會，然後女
→ shensnet    : 生有一半會，也還有四分之一的使用者不會更新。
→ commandoEX  : 不會更新的等電腦自然淘汰啊...
推 qqq3q       : 她們有□具人 不用煩這個啊!
推 chrisdar    : 老電腦別補洞了啦  買新的啦
→ proletariat : 可是現在買新的 記憶體好貴唷 不然E3目前還能撐一下
推 ctes940008  : Intel罰錢先
推 wahaha99    : 所以AMD也要BIOS update?
→ wahaha99    : Spectre不是說AMD也會中?
→ greg7575    : 更新bios 爆掉是常識(X
推 jior        : spectre有兩個變形，其中一個是大家都中
→ jior        : intel是3個變形都中
→ jior        : 目前看到是這樣
推 qqq3q       :             由此可見 intel cpu支援度比較高(攤手)
推 a2935373    : 支援度比較高XDDD
→ jay0811     : 啥，B85都有BIOS修正了，我的Z87怎麼沒有! 可惡的
→ jay0811     : 石頭
推 Shauter     : 你怎麼知道你的不會修......
→ jay0811     : 好吧，耐著性子再等幾天看看
推 alyh        : 所以Windows補丁更新後 還要自己去找BIOS的更新囉?
推 estupid     : B85上一版BIOS是2015 突然2018/1/2來個更新
推 a123453906  : 看來B85賣很好哦(X
→ alyh        : B85 ._.)/
→ alyh        : 可是我不敢自己更新BIOS Q_Q
推 ab4daa      : 不敢自己更+1  抖
推 twosheep0603: 之前買Ryzen B350更新至少4次BIOS早就麻木了(苦笑)
推 Shauter     : 痾 我還以為BIOS更新很正常 扣除套裝特製板
→ Shauter     : 每台PC基本上更新過四、五次
→ ww578912tw  : Bios幾乎各家都有出直接懶人升級用的程式
→ ww578912tw  : 我用G心的升級 目前都很ok
推 Litfal      : Z77表示:
推 Lukesky     : H77無奈
推 aa1477888   : 這次漏洞可以讓電腦產業倒退10年吧XD
推 kill90206   : Z68無言
推 tsairay     : 未必喔..危機就是轉機
→ ChangWufei  : 市場疲軟 促進消費啊 wwwww
→ ChangWufei  : 對廠商：效能下降你可以多買幾個 對散戶：買新的
→ comipa      : Intel:最後還不是要買我的帳
→ KCKCLIN     : Z68應該被放棄了XD
→ WeAntiTVBS  : Z68都快七年了，也不算完整的UEFI
推 seiya2000   : 電腦是Xeon L5420+GA-965，需要更新BIOS嗎？
推 a2935373    : 你也沒得更新
→ JoyRex      : 麻煩的是套裝電腦吧?像宏碁的BIOS根本難找
推 widec       : H97 也沒有更新
推 ctes940008  : 歐盟還不快出來喊話
→ twflanker   : https://imgur.com/a/drdCT Ryzen的長這樣...
推 lingling0000: 雲端空間要漲價了嗎??
→ commandoEX  : 雲端空間應該還好吧，雲端系統才會差比較多
推 TaiwanFight : 有抓到是誰把這訊息爆出來的嗎  真的是拖累科技的人
→ TaiwanFight : 沒爆出來用爽爽吃爽爽的話根本沒差吧  簡單的幸福
→ JoyRex      : 不爆出來更慘吧?存款歸0核彈亂飛之類的
噓 oil01       : 不爆出來？有人財產性命損失算誰的？
推 cavitylapper: 慘 我還真不會更新BIOS 這個不能自動更新嗎
推 IMGOODYES   : 存款歸零也許有可能，核彈亂飛就別想了
推 wahaha99    : 從ryzen來看 這樣AMD也要上fw update不是?
推 Shauter     : 現在BIOS應該都有WIN平台底下更新的
→ skyclam     : 新的microcode早就給了，等九號一起推上web了，只
→ skyclam     : 很intel上週一直在橋要提早出…看來壓力很大
→ ilanese     : 更新建議先等一下，別衝動。
→ ilanese     : 有些更新可能會造成系統出狀況。
→ SPDY        : 被主機板廠放生也不用絕望 微軟一直有在默默幫更新
→ SPDY        : http://support.microsoft.com/en-us/help/3064209
→ SPDY        : 不刷BIOS 也能更新微碼 只是完全不知何時才推送...
→ commandoEX  : 如果是嚴重安全性更新一兩天內就會冒出來了吧
推 erwinchuo   : X79表示:
推 ilanese     : AntiVirus板有人反應安裝更新之後，CPU是AMD雙核心
→ ilanese     : ，結果進不去Windows。
推 ericinttu   : 安裝什麼更新?
→ ilanese     : 也有可能是防毒軟體之類的問題？
→ ilanese     : https://goo.gl/FChwH7
→ ilanese     : 上面連結是01論壇。
推 ccc73123    : 一般使用者BIOS就不用更新了 反正也不大可能被攻擊
→ ilanese     : 一些舊的主機板或筆電想更新，目前也沒得更新。
→ ilanese     : 真要買新電腦的人，我覺得可以先觀望一下。
→ ChangWufei  : 現在就怕未來出廠的板子一律都用更新後的BIOS
推 WWWSENTYOU  : 抱怨華碩更新害我找好久，說明書又不寫清楚