Schlagwort: Intel

  • Zocken und Linux – Stand 2021 – Teil 1

    Distributionen

    Darüber welche Linux Distribution die ideale Basis für Spieler ist, wird trefflich gestritten. Mittlerweile gibt es einige Distributionen, die sich auf das Thema spezialisiert haben, dennoch sind auch klassische Varianten dabei. Die Steam Hard- und Software Umfrage weist Stand 14.Juni 2021 auch lediglich Klassiker aus. Zurzeit liegt der Anteil der Linux Anwender unter den Nutzern des Steam Clients mit insgesamt 0,86 % wieder einmal mit unter 1 % und damit noch unter dem Anteil der Mac OS Anwender.

    Die Umfrage führt lediglich 4 Distributionen auf:

    • Ubuntu 20.04.2 LTS 64 bit 0.19% 0.00%
    • Arch Linux 64 bit 0.10% 0.00%
    • Manjaro Linux 64 bit 0.10% 0.00%
    • Linux Mint 20.1 64 bit 0.05% 0.00%

    Das klingt erst einmal nach enttäuschend wenigen Nutzern, hält man sich jedoch vor Augen, dass Valve bereits im Jahr 2016 mit 125 Millionen Nutzern einen größeren Marktanteil als Sonys PSN (143 Mio) und XboxLive (90 Mio) 2020 auswies, bedeutet das, dass allein Valve immerhin über eine Million Linux Benutzer registriert.

    Quellen:

    Steam: https://store.steampowered.com/oldnews/21534

    Sony: https://www.sie.com/en/corporate/release/2020/200107.html

    Microsoft: https://twitter.com/tomwarren/status/1255614689553285120

    Einige Betriebssysteme wenden sich direkt an die Gaming Community:

    Garuda Linux

    Die auf Arch basierende Rolling-Release Distribution fokussiert sich laut eigener Webseite auf Performance, was sich aufgrund einiger weiterer Features wie z.B. ein User-Interface zur Verwaltung von Treibern und Kerneln oder einer kuratierten Spielverwaltung an Spieler wendet. Das OS bietet eine sehr breite Auswahl an Desktop-Umgebungen: KDE Plasma, Xfce, GNOME, Cinnamon, LXQt, MATE, Deepin, UKUI, Wayfire, BSPWM, & i3WM stehen zur Verfügung. Der Neon-Look dürfte allerdings sicher nicht jeden ansprechen!

    Salient OS

    Nach über 2 Jahren mit SolusOS bin ich mit dem Wohnzimmer auf SalientOS umgestiegen, nachdem ich bei der Installation von Garuda Gnome Probleme hatte und keine Nerven für weitere Recherche hatte. Salient war zwar in der Installation weniger sperrig (Calamares Installer), hat mir aber erst mal auf Anhieb optisch überhaupt nicht gefallen, mit der gewählten KDE Desktop-Umgebung ist das ja jedoch kein Problem. Daneben gibt es nur noch XFCE als alternative Desktop-Umgebung. Salient basiert wie Garuda auf Arch und wirkt auf mich noch etwas unreif, die Übersetzung auf Deutsch ist noch nicht vollständig. Das Betriebssystem kommt mit vielen Features für Gamer.

    Drauger OS

    Basierend auf Ubuntu 20.04 LTS steht dieses OS dazu, eine Plattform für Gamer bieten zu wollen. Es postioniert sich (wie Steam OS) ganz klar nicht für den sonstigen alltäglichen Gebrauch. Es wird nicht mit Anwendungen für den täglichen Gebrauch wie z.B. Office-Suite, Video-Editoren, Audio-Tools etc. ausgeliefert. Um dieses Ziel zu erreichen, setzt das Betriebssystem auf einen Performance-optmierten Kernel namens xanmod.

    SteamOS

    Valves Spieler-Linux wird unregelmäßig aktualisiert und basiert noch auf Debian 8.x “Jessie” für das es seit 2020 keine Aktualisierungen mehr durch Debian gibt. Steam-Machines gibt es aktuell keine mehr nachdem man die erste Generation guten Gewissens als Flop bezeichnen kann. Der fehlende Erfolg ist wahrscheinlich auch ein Stück weit dem Umstand zu verdanken, dass Valve damit zu früh an den Markt gegangen ist und zu einem Zeitpunkt an dem Proton und die Unterstützung für Windows-Spiele noch nicht verfügbar und damit nicht konkurrenzfähig war. Ich selbst besitze ein Asus Gerät, welches auch als Steam Machine angeboten wurde und meine erste Amtshandlung war Windows durch SteamOS zu ersetzen, allerdings habe ich damals schnell festgestellt, dass ich diesen Computer nicht im Sinne einer Spielkonsole verwenden wollte, sondern unter anderem auch als Streaming Client am Fernseher. Für diesen Zweck schien mir das OS nicht als der ideale Begleiter. Aufgrund der veralteten Basis kann ich dieses OS nur Enthusiasten empfehlen.

    Supergamer

    Die früher auf Vector Linux basierende Distribution setzt zwar mittlerweile auf Ubuntu LTS aber ist mit der Basis 16.04 leider langsam nicht mehr up to date. Ohne den Fokus Gaming nutze ich seit einigen Jahren Elementary OS, dem es ähnlich geht (Version 6 „Odin“ ist mittlerweile kurz vor der Fertigstellung). Da stört mich das nicht aber für eine Empfehlung für Gamer genügt das nur, wenn die Performance nicht erste Priorität hat oder das entsprechende Knowhow da ist, um diese mit eigenen Maßnahmen zu verbessern.

    GamerOS

    Hierbei handelt sich es quasi um die Arch Version von SteamOS, welche auf direkt für das Booten in des Steam Big Picture Mode gedacht ist. Das OS ist um einiges moderner und darauf optimiert möglichst viele Controller zu unterstützen und lässt sich nur als alleiniges OS auf einem Rechner betreiben ist somit weder für ein Dual- noch ein Mulitboot-System geeignet.

    Lakka OS

    Die leichtgewichtige Linux-Distribution, verwandelt laut eigener Aussage einen kleinen Computer in eine vollwertige Retrogaming-Konsole und ist somit auch eine Option für die eigenständige Spielautomaten-Umbau Szene. Dem OS genügt auch verhältnismäßig schwache Hardware wie beispielsweise die eines Raspberry Pi. Wie es mit der Unterstützung älterer Hardware aussieht, kann ich aus eigener Erfahrung nicht bewerten.

    batocera.linux

    Die Distro für Liebhaber von Retro-Spielen, es ist damit möglich Atari, Super Nintendo, SEGA, Dreamcast, einige GameBoy Advance-Spiele zu spielen, allerdings muss man dazu diese Spiele auch besitzen. Das Betriebssystem lässt sich von einem USB-Stick starten. Außerdem kommt es auch mit Kodi Media Center um auch als Streaming-Client dienen zu können.

    Distributionen, die sich nicht speziell an Gamer wenden

    Dass Ubuntu in einer LTS Version bei der Steam Umfrage ganz oben gelistet wird ist wohl der Verbreitung und dem Umstand geschuldet, dass man dafür nicht viele Vorkenntnisse mitbringen muss und dass bei vielen Anwendern das Spielen im Verhältnis zur Stabilität nicht im Vordergrund steht. Gerade bei neuerer Hardware bieten sich aktuellere Distributionen an, so habe ich bezüglich der Spielekompatibilität und Performance beispielsweise gute Erfahrungen mit Solus OS gemacht. Wer dennoch auf Ubuntu setzen möchte, der kann sich ja mal das Ubuntu Game Pack ansehen und / oder einen Custom Kernel einsetzen (wofür dann aber keine LTS Version von Ubuntu als Basis benötigt wird).

    Von Fedora gibt es den Games-Spin mit dem sich die aufgrund ihrer Aktualität durchaus für Spieler geeignete Distribution erweitern lässt.

    Treiber, Mesa

    Wie man der Proton Datenbank entnehmen kann, hängt der Erfolg beim Spielen von Triple A Titeln, welche nur für Windows veröffentlicht wurden von vielen Faktoren ab. Neben der eingesetzten Hardware (welche ja auch bei nativen Linux-Titeln ausschlaggebend für Performance und Qualität ist), wird hier viel mit Kernel-Versionen und Treibern experimentiert. Generell ist eine möglichst aktuelle Version der Mesa 3D Grafikbibliothek hilfreich. Die nachträgliche Installation des proprietären Nvidia Treibers ist etwas tricky, der freie Nouveau Treiber sollte vorher vollständig entfernt werden. Daher bietet es sich schon bei der Installation des Betriebssystems an, gleich auf diesen Treiber zu setzen, mit dem erheblich mehr möglich ist. Bei AMD nennt sich der proprietäre Treiber AMDGPU Pro dieser baut auf den Open-Source AMDGPU-Treiber auf. Bei Nvidia ist der Unterschied zwischen freiem und proprietärem Treiber sehr groß, meiner Erfahrung nach fällt der Unterschied bei AMD nicht so stark aus. Noch vorbildlicher ist hier Intel unterwegs, es gibt keine Closed-Source-Treiber für deren Grafikchips. Da es trotz diverser Ankündigungen noch keine dezidierte Grafiklösungen von Intel zu kaufen gibt, sprechen wir hier aber eher vom unteren Leistungssegment.

    Kernel Distributionen

    Benutzerdefinierte Kernel sind nur für Bastler zu empfehlen, die das letzte Quentchen Leistung aus Ihrer Kiste holen wollen und kein stabiles System benötigen! Neben diesen Kerneln kann man sein System auch mit neueren Mainline-Kerneln optimieren, was vielleicht etwas weniger riskant ist!

    XanMod Kernel

    Diesen Kernel für aktuelle x86_64 Versionen von Ubuntu und Debian gibt es in 5 Varianten, die Echtzeitversion wird für kritische Laufzeitanwendungen wie Linux-Gaming-eSports, Streaming, Live-Produktionen und Enthusiasten mit ultra-niedriger Latenz empfohlen.

    Zen

    Ist ein, wenn nicht der Community Kernel für Arch basierende Distributionen, soweit ich mitbekommen habe, war Zen das erste Projekt dieser Art an dem sich die anderen orientieren.

    Liquorix

    Wenn ich es richtig verstanden habe, ist das quasi Zen für Debian & Ubuntu Systeme.

    Spiele für Windows, Steam Play, Wine, Lutris & Co.

    Steam

    Bereits seit 2010 bietet Valve nun den Steam Client nativ für Linux an. Ich hatte ihn mit Wine schon einige Zeit früher auf Linux betrieben. Die Spiele Angebote im Shop lassen sich auf Linux eingrenzen, die Auswahl „SteamOS + Linux“ ist nicht ganz korrekt, da es sich ja bei dem Debian basierten eigenen OS ebenfalls um eine Linux Distribution handelt.

    Der Steam Client bringt eine bequeme Lösung für die Nutzung von Spielen, die nur für Windows angeboten werden. Diese nennt sich Steam Play, die zugrundeliegende Windows-Kompatibilitätsschicht nennt sich Proton und ist eine Fork von Wine, da beide Projekte voneinander profitieren eigentlich ein schönes Beispiel für die Vorteile von Open-Source-Software.

    Auf der Community-Website, kann man selbst prüfen, welche Erfahrungen andere Anwender mit der Kompatibilität eines bestimmten Titels mit Proton gemacht haben. Die Anwender können dort angeben, welche Erfolge sie mit Proton bei einem Spiel hatten, anhand einer Bewertungsskala von „Borked“ bis „Platinum“ wird dann der Status eines Spiels abgeleitet. Das scheint auch bei Wine abgeschaut worden zu sein, die haben ebenfalls eine solche Datenbank, über die Anwender Rückmeldung geben können, aus denen ein Status abgeleitet wird. Die Proton-Seite verwendet die Steam Login API, will aber keinen Bezug zu Valve haben. Dabei sei auch erwähnt, dass Proton auf GitHub veröffentlicht wird und lediglich die Steam API welche angesprochen wird proprietär ist. Die Ergebnisse sind jedoch zum Teil beachtlich, nicht nur ältere Tripple A Titel wie Fallout 4 lassen sich so ohne Abstriche spielen, auch Cyberpunk 2077 lässt sich so mit Linux genießen. Generell gibt es jedoch häufig Abhängigkeiten wie beispielsweise bei Cyberpunk 2077 die Beschränkung auf AMD Grafikkarten. Fallout 4 habe ich nur auf einem PC mit Nvidia Karte und nur mit optimierten Startoptionen vollständig zum Funktionieren gebracht, so fehlten zuerst Teile des Tons. Hinweise auf funktionierende Kombinationen und Startoptionen erhält man in der oben erwähnten Proton DB.

    Die Startoptionen finden man für in den Einstellung eines Spiels im Steam Client, sofern man Steam Play aktiviert hat.

    Auch der Stand der Adaption des Titels bei Proton ist neben der Unterstützung der verwendeten Hardware durch Kernel und Treiber für den Erfolg relevant.

    Es geht immer noch ein bisschen mehr: Wenn man bezüglich Proton auf aktuellerem Stand als mit der Einstellung „Experimental“ im Steam Client sein möchte, so gibt es noch CProton um die neuesten benutzerspezifischen Versionen zu verwenden!

    Weiter geht es demnächst mit Teil 2.

  • Clear Linux OS auch für den Desktop

    Clear Linux OS
    Screenshot: ft

    Hier im Blog wurde Intel bereits des Öfteren hart kritisiert. Sei es wegen der Management Engine oder wegen der fatalen Sicherheitslücken Meltdown & Spectre.

    Innovative Distribution

    Auf der anderen Seite tut Intel auch viel für Linux. So wird in Intels OpenSource Technology Center bereits seit 2015 die innovative Linux-Distribution Clear Linux OS entwickelt. 2016 hatte ich dazu einen Artikel in der Zeitschrift LinuxUser veröffentlicht.

    Anfangs eher sperrig

    War das anfangs eher sperrige Clear Linux, nicht zu verwechseln mit ClearOS, in erster Linie für Container und die Cloud bestimmt, so öffnet Intel sein Projekt immer mehr auch für Desktop-Anwender. Das spiegelt sich im Installer wider, der von einem für Durschschnittsanwender nicht sehr intuitiven Textinstaller kürzlich in Version 2.0 zu einem grafischen Installer mutierte, der gut gegliedert durch die Installation führt.

    GNOME oder Plasma

    Ein weiteres Merkmal für mehr Ausrichtung auf den Desktop ist, dass Clear Linux anfangs ohne grafische Oberfläche daherkam, zwischenzeitlich Xfce einsetzte und nun bei GNOME angekommen ist. KDEs Plasma ist inoffiziell ebenfalls bereits nutzbar. Zudem steht seit Kurzem ein Live-Image für den Desktop zum unverbindlichen Testen zur Verfügung.

    Flott unterwegs

    Die Distribution ist, wie zu erwarten, auf Intel-CPUs optimiert und lässt dort bei Tests mit der Phoronix Test Suite regelmäßig alle anderen Distributionen hinter sich, was die Ausführungsgeschwindigkeit angeht. Aber Clear Linux hat weit mehr zu bieten als das.

    Zustandslos

    Intel verwirklicht mit Clear Linux ein zustandsloses System, der Fachbegriff hierzu lautet stateless. Zustandslose Systeme sind in der Regel Systeme, die ohne die Verzeichnisse /etc und /var starten. Es werden keine Zustände dauerhaft gespeichert, die Systeme starten immer in demselben definierten Zustand. Da viele Anwendungen zumindest eine minimale Konfiguration erwarten, erzeugt Systemd diese Dateien in /etc oder /var, bevor die jeweiligen Anwendungen starten. Bei Clear Linux kann der Anwender selbst über den Grad der Zustandslosigkeit entscheiden.

    Stateless Konzept bei Clear linux OS Quelle: Clear Linux

    Jedes Mal neu

    Für derartige Systeme entspricht jeder Neustart einem Zurücksetzen auf die Standardeinstellungen, vergleichbar mit dem Starten eines Live-Systems. Alle Konfigurationen werden im Fall von Clear Linux zur Laufzeit aus dem Pfad /usr/share/defaults kopiert. Das setzt voraus, dass alle von der Distribution installierten Daten unterhalb von /usr liegen. Die meisten Distributionen haben diesen sogenannten Usrmerge bereits vollzogen, Debian etwa zieht mit Debian 10 als eine der letzten Distributionen nach.

    Gebündelt

    Software wird entweder als Flatpak oder als hauseigenes Anwendungsbündel installiert. Ein eigener Software-Shop bietet rund 3.000 Anwendungen und Bündel an. Mit dem neuen Werkzeug Mixer lässt sich die Distribution komplett nach Anwenderwünschen in einem Container zusammenstellen und als Image bauen.

    Atomare Updates

    Die Software-Aktualisierung bei Clear Linux entspricht dem, was man heutzutage als atomares Update von Distributionen wie Fedora Silverblue kennt. Dabei entspricht jede Aktualisierung einer völlig neuen Betriebssystemversion im Vergleich zu einer paketbasierten Distribution, in der Pakete einzeln aktualisiert werden. #

    Bandbreite und Plattenplatz werden durch Delta-Updates minimiert, es werden nur geänderte Teile übertragen. Dabei wird als kleinste Einheit ein Bündel aktualisiert, nicht eine Anwendung oder eine Bibliothek.

    Automatisch aktuell

    Als Paketmanager kommt das hauseigene Tool swupd zum Einsatz. Als Anwender braucht man sich um Updates nicht selbst zu kümmern, diese laufen automatisach ab. Will man das bei herkömmlichen Paketmanagern eher nicht, ist es bei Clear Linux akzeptabel, da Updates unter Clear Linux jederzeit zurückgefahren werden können, indem auf einen als funktionstüchtig bekannten vorherigen Systemzustand zurückgerollt wird.

    Problemlos Testen

    Clear Linux OS ist innovativ, in weiten Teilen auf den jeweiligen Einsatzzweck in Container oder Cloud und auf dem Desktop anpassbar und vor allem mit einem starken Fokus auf Sicherheit ausgestattet. Durch die jetzt verfügbare Live-CD kann der Linux-Enthusiast ohne viel Aufwand das Zusammenwirken innovativer Entwicklungen unter Linux erkunden.

  • ZombieLoad: neue Lücken bei Intel CPUs

    ZombieLoad
    Logo: Natascha Eibl Lizenz: CCO

    Intel hat weitere Sicherheitslücken in fast allen Core-i- und Xeon-CPUs seit 2011 mit Ausnahme einiger aktueller Modelle bekanntgegeben. Diesmal ist nur Intel betroffen, AMD oder ARM bleiben außen vor. Die Lücken wurden von Forschern der TU Graz, der KU Leuven und dem Worcester Polytechnic Institute entdeckt, von denen einige bereits an der Entdeckung von Meltdown & Spectre im Januar 2018 beteiligt waren.

    ZombieLoad

    Bei Intel werden die Lücken als »Microarchitectural Data Sampling« (MDS) geführt. Wie bei solch eklatanten Lücken seit einigen Jahren üblich, wird ihnen ein Codename zugedacht. So erhielten sie von den Entdeckern den martialischen Namen ZombieLoad. Nicht betroffen sind Core i-8000U und Core i-9000, letzterer ab Stepping 13, sowie Xeon-SP Cascade Lake. Für alle anderen Prozessoren hat Intel bereits neuen Microcode zur Verfügung gestellt. Linux, Apple und Microsoft haben Patches veröffentlicht.

    Mit Spectre und Meltdown verwandt

    Es handelt sich bei den Lücken um nahe Verwandte von Meltdown und Spectre, wobei aber die Maßnahmen dagegen hier nicht greifen. Die Verwandschaft besteht darin, dass auch ZombieLoad zu den Seitenkanalattacken zählt, die die spekulative Ausführung moderner Prozessoren nutzen. Ein Video der Cyberus Technology GmbH demonstriert einen Angriff mit Protokollierung eines Tor-Browserverlaufs unter der Linux-Anonymisierungs-Distribution Tails und zeigt damit die Brisanz dieser Lücken auf.

    Spekulative Ausführung

    ZombieLoad benutzt einen ähnlichen Ansatz wie Meltdown und liest Daten aus, die der Prozessor im Voraus berechnet, aber alle außer den im Endeffekt zur Anwendung kommenden Arbeitsschritten wieder verwirft. Während der spekulativen Ausführung laufen mehrere Prozesse gleichzeitig auf einem physischen Prozessorkern. Die Forscher haben drei Angriffsvektoren entdeckt, die verschiedene Puffer auszulesen und so an Daten, Passwörter und Schlüssel gelangen können.

    Für Linux hat Greg Kroah-Hartman bereits gestern Kernel-Updates verkündet. Die Patches für Kernel 5.1.2 sowie 5.0, 4.19, 4.14 und 4.9 seien erst der Anfang, so GKH, weitere Anpassungen seien zu erwarten.

    As I said before just over a year ago, Intel once again owes a bunch of
    people a lot of drinks for fixing their hardware bugs in our
    software.

    GKH

    Heimanwender nicht im Visier

    Die neu entdeckten Angriffsvektoren sollten Heimanwendern keine schlaflosen Nächte bereiten. Die Angriffsziele dieser neuen Verwundbarkeiten liegen, wie schon Meltdown und Spectre, eher bei Servern, der Cloud und bei virtuellen Maschinen. Eine Maßnahme gegen solche Angriffe kann das Abschalten von Hyperthreading sein. Google hat dies für Chrome OS bereits vollzogen. Apple legt es seinen Kunden nahe.

  • Intel bereitet diskrete Grafikkarten vor

    Bild: Graphikarte mit Intel i740 | Quelle: Wikimedia | Lizenz: GFDL

    Vor einigen Tagen wurde bekannt, dass Intel für seinen Linux-Grafiktreiber i915 einen Satz von 42 Patches eingereicht hat. Anhand des Codes war schnell klar, dass es sich um anfängliche Infrastruktur für diskrete Grafikkarten handelt, die Intel ab 2020 auf den Markt bringen will.

    Eine erste Bestätigung von bereits länger kursierenden Gerüchten, dass Intel nachrüstbare Grafikkarten plane, gab es im Sommer 2018 auf der SIGGRAPH2018 Konferenz. Zum Jahresende folgten dann weitere Einzelheiten. Für die »Intel Xe Graphics Family« sollen entsprechende Karten für Gaming als auch für Rechenzentren in Planung sein.

    Um dieses Ziel zu erreichen hat Intel im letzten Jahr den AMD-Vizepräsidenten und ehemaligen Apple-Grafik-Chef Raja Koduri als Vizepräsidenten und Chief Architect seiner Grafikabteilung angeheuert. Jetzt bestätigte Intel auf Twitter auch die Vermutungen zwecks der Verwendung der jetzt eingereichten Patches.

    Diese dienen, wie vermutet, zur Vorbereitung des Konzepts von separaten Speicherregionen. Da die bisherigen integrierten GPUs des Herstellers dieses Konzept nicht benötigen, lag die Vermutung nahe, das Patch-Set diene der Vorbereitung des Umfelds des Treibers für diskrete Grafikkarten.

    Die Patches stellen unter anderem Unterstützung für die auf diskreten Karten verbauten RAM-Chips dar. So kann der Treiber auch Speicher auf diskreten Karten allozieren und ermöglicht es dem Speicherverwaltungscode des Graphics Extension Managers (GEM), Speicher für verschiedene lokale und externe Speicherbereiche zuzuweisen.

    Aller guten Dinge sind drei

    Bereits zwei Mal zuvor hatte Intel versucht, diskrete Grafikkarten im Markt zu platzieren. Bereits 1998, vor 20 Jahren, hat Intel einen diskreten Grafikchip auf den Markt gebracht. Dieser hörte auf den Namen Intel 740, kurz i740, trug den Codenamen Auburn und erlebte seinen zweiten Geburtstag nicht. Ein zweiter Versuch namens Larrabee scheiterte 2010. Aus dieser Entwicklung erreichte lediglich der Koprozessor Intel Xeon Phi den Markt.

  • Meltdown & Spectre 2019

    Spectre & Meltdown
    Bild: Meltdown & Spectre | by Natascha Eibl | License: CC0

    Vor über einem Jahr mussten Prozessorhersteller wie AMD und ARM, aber vor allem Intel eingestehen, dass das Rennen um immer schnellere Prozessoren in den letzten 20 Jahren an den Abgrund geführt hatte. Wo stehen wir heute?

    Pipeline immer gefüllt

    Eine der fortgeschrittenen Techniken moderner CPUs, die Sprungvorhersage ist verwundbar und erlaubt, wenn auch nur mit viel Aufwand, das Auslesen von Daten aus dem virtuellen Speicher. Bei der auf Englisch branch prediction geheißenen Funktion geht es darum, möglichst immer alle Stufen der Pipeline eines Microprozessors sinnvoll auszulasten.

    Verspekuliert

    Die dabei angewendete spekulative Ausführung erlaubt zwar eine hohe Effizienz, ist bei den verschiedenen Varianten von Spectre aber das Einfallstor für mögliche Angriffe. Wird die Spekulation der CPU verworfen und das Ergebnis einer anderen Stufe der Pipeline gewählt, ergibt das minimale Änderungen etwa im Cache, die über eine Seitenkanalattacke ausgelesen und genutzt werden können, um Seiten im virtuellen Speicher zu lesen und zu kopieren.

    Nur im Silizium zu beheben

    Dass es bis heute keinen bekannten Fall eines Angriffs per Spectre gegeben hat, ist bei der Beurteilung der Schwere des Fehlers unmaßgeblich. Tatsache ist, die Fehler sind endgültig nur im Silizium zu beheben. Die ergriffenen Maßnahmen, sei es im Microcode oder in den Betriebssystemen, führte zu teils hohen Leistungseinbußen. somit werden diese Maßnahmen von vielen Administratoren gar nicht angewendet.

    Spekulative Ausführung muss weg

    Ein Team von Google-Sicherheitsexperten hat jetzt ein Papier unter dem Titel Spectre is here to stay vorgelegt, in dem sie erklären, Spectre werde uns so lange begleiten, bis einschneidende Änderungen am CPU-Design umgesetzt werden. Die Kernaussagen sind, dass auch künftig weitere Spectre-Varianten auftauchen werden und das sich das nicht ändert, bis die spekulative Ausführung aus den CPU-Architekturen entfernt wird.

    Das Papier kommt zu dem Schluss, dass das aktuelle CPU- und Architekturdesign mit drei ungelösten Problemen konfrontiert ist: weitere Schwachstellen im Seitenkanal zu finden, sie zu verstehen und sie auf effiziente und umfassende Weise zu mildern. Das Papier endet mit einer Erklärung, in der die Sicherheit für die Leistung von CPUs beleuchtet und festgestellt wird, dass Seitenkanal-Angriffsvektoren so lange bestehen bleiben, wie die CPU-Architektur unverändert bleibt.

    Schritt zurück?

    Die offensichtlichste Lösung ist die Beseitigung der spekulativen Ausführung, wie es im Papier heißt. Spekulative Ausführung ist jedoch eine wichtige Technik zur Leistungsoptimierung, die von den meisten x86-Prozessoren verwendet wird, weshalb CPU-Hersteller Schwachstellen lieber auf andere Weise minimieren würden, anstatt diesen radikalen Schritt zurück zu gehen, der mit schwer bis gar nicht zu umgehenden Leistungsminderungen einhergehen würde.

  • PortSmash: Erneut Sicherheitslücke bei Intel

    PortSmash
    Bild: Hacker | Quelle: The Presier Project | Lizenz: CC BY 2.0

     

    Forscher an Universitäten in Finnland und Kuba haben unter der Leitung von Billy Brumley eine neue Sicherheitslücke entdeckt, die auf den Namen PortSmash getauft wurde. Die neue Lücke ist, wie auch schon Meltdown und Spectre zu Jahresbeginn, eine Seitenkanalattacke.

    PortSmash erlaubt es einem versierten Angreifer, verschlüsselte Daten wie etwa kryptografische Schlüssel oder andere privilegierte Informationen von internen CPU-Prozessen auszulesen. Die Lücke wurde bisher für CPUs der Baureihen Skylake und Kaby Lake bestätigt. PortSmash ist zudem das erste Ergebnis einer auf fünf Jahre ausgelegten Forschungsreihe in Sachen Seitenkanalattacken, die vom Europäischen Forschungsrat finanziell ausgestattet ist.

    Seitenkanalattacke

    Eine Seitenkanalattacke stellt eine Technik dar, die verwendet wird, um verschlüsselte Daten aus dem Speicher oder der CPU eines Computers auszulesen. Von den verschiedenen Formen der Seitenkanalattacke bedient sich PortSmash der Timing Attack.

    Dazu werden minimale Diskrepanzen bei den Laufzeiten eines Algorithmus, des Energieverbrauchs des Prozessors während der Berechnungen oder der elektromagnetischen Ausstrahlung beobachtet und analysiert, um zusätzliche Informationen zu erhalten, die helfen können, Verschlüsselungsalgorithmen zu brechen und die verarbeiteten Daten der CPU wiederherzustellen.

    Hyper-Threading ermöglicht Angriff

    Anders als Meltdown und Spectre nutzt PortSmash nicht das Speicher-Subsystem oder die Caching-Mechanismen der CPUs aus. Die Forscher fanden heraus, dass PortSmash CPUs betrifft, die die SMT-Architektur verwenden, die es ermöglicht, mehrere Threads in der Form von Multithreading gleichzeitig auf einem CPU-Kern auszuführen. Intel setzt  SMT als Hyper-Threading (HT) um.

    PoC auf GitHub

    Gelingt es einem Angreifer, einen präparierten Prozess im Rahmen von SMT neben einem legitimen Prozess laufen zu lassen, so kann er kleine Mengen an Daten des legitimen Prozesses auslesen, die dann bei der Rekonstruktion der verschlüsselten Daten hilfreich sein können. Ein Proof-of-Concept (PoC) des keinesfalls trivialen Angriffs ist von den Forschern auf GitHub eingestellt worden. Dabei werden OpenSSL-Schlüssel von einem TLS-Server entwendet. Ein ausführliches Papier soll in den nächsten Tagen folgen.

    Intel arbeitet an Patch

    Intel ist die Lücke vor rund einem Monat bekannt gemacht worden, bisher liegt noch kein Patch dagegen vor. Intel teilte gestern abwiegelnd mit, die Lücke habe nichts mit Spectre, Meltdown oder L1 Terminal Fault gemeinsam. Man werde weiter »mit Kunden, Partnern und Forschern zusammenarbeiten, um die identifizierten Schwachstellen zu verstehen und zu beheben«.

    Vermutlich auch AMD betroffen

    Die Forscher gehen davon aus, dass auch CPUs von AMD, die SMT verwenden, von PortSmash betroffen sind. Bereits letztes Jahr war mit TLBleed eine ähnliche Lücke entdeckt worden, die ebenfalls HT ausnutzt und die das OpenBSD-Projekt veranlasste, die Unterstützung für Intels HT-Technologie in ihren Kerneln zu deaktivieren.

     

  • Intel Microcode für Debian Stable aktualisiert

    Intel Microcode für Debian Stable aktualisiert

    Intel Microcode
    Screenshot: ft

     

    Für Debian GNU/Linux 9 »Stretch« steht ein aktualisierter Intel Microcode zum Schutz vor Angriffen durch die Sicherheitslücken Spectre 3a und 4 bereit. Er stellt Maßnahmen gegen Speculative Store Bypass (SSB) für weitere Intel CPUs bereit, die vom am 16. August veröffentlichten Microcode nicht abgedeckt wurden.

    Weitere CPUs abgedeckt

    Auf der Debian Mailingliste schreibt Moritz Mühlenhoff, im aktualisierten Microcode, der unter dem Paketnamen intel-microcode 3.20180807a.1~deb9u1 vertrieben wird und als DSA 4273-2 erfasst wurde, seien weitere ältere Prozessortypen, die von DSA-4273-1 im August nicht erfasst waren, abgedeckt.

    Bitte aktualisieren

    Das Debian-Projekt fordert alle Benutzer auf Debian 9 »Stretch« mit Intel-CPUs dazu auf, die Mikrocode-Firmware auf Version 3.20180807a.1~deb9u1 zu aktualisieren. Um die Gefahr, die von den beiden Spectre-Sicherheitslücken ausgeht, weiter zu verringern, müssen die Anwender auch das neueste Kernel-Update installieren.

    Die beiden Lücken, die als Spectre Variante 3a »Rogue System Register Read«, katalogisiert unter CVE-2018-3640 und Spectre Variante 4  »Speculative Store Bypass«, die als CVE-2018-3639 in die Liste der CVE einging, können Angreifern Zugang zu sensiblen Informationen auf anfälligen Systemen ermöglichen.

    Debian blieb seiner Linie treu

    Mit dem letzten Microcode-Update gab es einigen Ärger bei Debian, da Intel in die Lizenzbedingungen eine Klause eingebaut hatte,  der es untersagte, Benchmarks oder Vergleiche, die auf der Grundlage des eingespielten Microcodes entstanden sind, zu veröffentlichen. Debian-Kernel-Maintainer Henrique de Moraes Holschuh verweigerte die Auslieferung für Debian, während andere Distributionen den Microcode trotzdem freigaben. Open-Source-Urgestein Bruce Perens machte die Geschichte dann in seinem Blog publik, worauf sie ein großes Medienecho erfuhr. Intel ruderte daraufhin zurück und entfernte die Klausel wieder.

  • Intel wegen Meltdown und Spectre in der Kritik

    Intel in der Kritik
    Bild: Penguins |  Quelle: pxhere | Lizenz: CC0

     

    Der Linux-Kernel-Entwickler Greg Kroah-Hartman übte in dieser Woche in Vancouver in einem Vortrag auf dem Open Source Summit North America scharfe Kritik an Intels langsamer erster Reaktion auf die Spectre- und Meltdown-Bugs. Er sprach in diesem Zusammenhang unter anderem von fahrlässigem Verhalten.  Die Kernel-Entwickler hätten erst Ende Oktober vergangenen Jahres gerüchteweise von den Problemen erfahren, obwohl diese bereits im Juli gefunden und Intel bekannt gemacht wurden. Das berichtete das Magazin Eweek.

    Intel in der Kritik

    Kroah-Hartman sagte, dass, als Intel endlich beschloss, den Linux-Entwicklern zu eröffnen, worum es bei den Sicherheitslücken geht, dies in einer Art und Weise geschah, die jegliche Zusammenarbeit der Kernel-Entwickler mit den Distributionen per Embargo unterbunden habe. SUSE, Red Hat und Canonical seien informiert worden, ihnen sei aber untersagt worden, miteinander darüber zu reden. Oracle wurde gar nicht informiert, Debian erst sehr spät. Aus der Sicherheitsperspektive recht verheerend, so der Entwickler.

    Community außen vor

    Die Community sei insgesamt total außen vor geblieben. Die meisten Distributionen arbeiten mit vom Mainline-Kernel abgeleiteten Kerneln und seien somit »mit heruntergelassenen Hosen« erwischt worden. Intel sei die Zusammenarbeit mit großen Unternehmen gewohnt, wo andere Regeln gelten als in der Linux-Community. Da aber Intel zu einem der größten Beitragenden zum Kernel zählt und viele Kernel-Entwickler beschäftigt, klingt das insgesamt wenig glaubwürdig.

    Gestresste Kernel-Entwickler

    Kroah-Hartman sagte, typischerweise arbeiteten die verschiedenen Linux-Anbieter im Fall solch allgemeiner Sicherheitslücken zusammen. In diesem Fall waren sie jedoch gezwungen, jeder für sich zu arbeiten und kamen so zu unterschiedlichen Lösungen. Erst durch massiven Protest bei Intel sei das Embargo in der letzten Dezemberwoche 2017 aufgehoben worden. Das ruinierte die Weihnachtsferien für alle Beteiligten, denn Anfang Januar sollten die Lücken der Öffentlichkeit bekannt gemacht werden, was auch am 3. Januar geschah.

    Kroah-Hartman sagte, nach den ersten lautstarken Protesten der Entwickler habe sich die Zusammenarbeit bei den später folgenden Enthüllungen weiterer Lücken gebessert.

    Bessere Zusammenarbeit

    Ein interessanter Nebeneffekt der Meltdown- und Spectre-Schwachstellen besteht laut Kroah-Hartman darin, dass Linux- und Windows-Entwickler jetzt bei der Sicherheit zusammenarbeiten, da beide Betriebssysteme ähnliche Risiken aufgrund der CPU-Schwachstellen aufweisen. »Windows- und Linux-Kernel-Entwickler haben jetzt diesen wundervollen Rückkanal. Wir reden miteinander und wir reparieren Fehler füreinander«, sagte Kroah-Hartman. »Wir arbeiten gut zusammen. Das haben wir schon immer gewollt.« Ende gut – alles etwas besser.

  • Intel kündigt halbherzige Fixes für Whiskey Lake an

    Whiskey Lake
    Bild: Public Domain

    Intel hat vor wenigen Tagen die neue Prozessor-Reihe Whiskey Lake vorgestellt, ließ dabei aber völlig unerwähnt, dass die für Mainstream-Notebooks ausgelegten Whiskey-Lake-CPUs die erste Prozessor-Reihe für den Endverbraucherbereich sein wird, die im Silizium Maßnahmen gegen die eklatanten Sicherheitslücken in Intels CPUs  mitbringt.

    Stillschweigen

    Das Verschweigen einer eigentlich doch sehr berichtenswerten Maßnahme hat natürlich seinen Grund: Die Umsetzung für Whiskey Lake ist bestenfalls als halbherzig zu bezeichnen. Die gleichzeitig vorgestellte Amber-Lake-Reihe erhält keine Bereinigung im Silizium. Beide Plattformen stellen optimierte Varianten der Kaby-Lake-Microarchitektur dar. Intels Entschuldigung für das Verschweigen der Informationen war, man habe das Interesse der Öffentlichkeit hieran unterschätzt.

    Halbherziger Whiskey Lake

    Der Industrieanalyst Ashraf Eassa hat die Nachricht gestern als erster verbreitet, Tom’s Hardware holte dann von Intel die Bestätigung ein. Intel-Vertreter bestätigten daraufhin, dass Whiskey-Lake-Chips die ersten In-Silizium-Mitigationen auf den Verbrauchermarkt bringen.  Dabei erhalten die Whiskey-Lake-CPUs lediglich Mitigationen für Meltdown und L1TF, die eigentlich viel gefährlicheren Spectre-Varianten bleiben völlig außen vor.

    Cascade-X kann mehr

    Warum das der Fall ist, bleibt vorerst Intels Geheimnis. Das auch zumindest die Spectre-Variante 2 im Silizium zu beheben ist, belegen die Server-CPUs der Cascade-Lake-X-Baureihe, die noch 2018 erscheinen sollen. Intel sagt dazu, die Mitigationen gegen Spectre v2 sollen mit der Zeit auch auf die Consumer-Chips ausgeweitet werden. Genauere Informationen über die Natur der Änderungen im Silizium hat Intel bisher nicht preisgegeben. Ob die Intel CPUs der neunten Generation, die gerüchteweise im Oktober angekündigt werden sollen, auch Mitigationen auf Hardware-Ebene bieten werden, unde wenn ja, wie weit, ist bisher nicht bekannt.

    Abwarten oder zur Konkurrenz

    Da seit der ersten Veröffentlichung der katastrophalen Sicherheitslücken im Januar ständig neue Lücken aufgetaucht sind, wergibt es vermutlich wenig Sinn, sich bereits bei den jetzt angekündigten Prozessorreihen neu einzudecken. Das gilt natürlich nur dann, wenn Intel als CPU-Lieferant überhaupt noch in Frage kommt.

  • Intel lenkt ein bei Lizenz zu Microcode

    Intel lenkt ein
    Bild: „Intel“ von Christian Rasmussen Lizenz: CC By-SA 2.0
      In den letzten Tagen wurde einmal wieder Kritik an Intel laut, da die Veröffentlichung eines neuen Microcodes gegen die L1 Terminal Fault-Lücke sowie gegen Speculative Store Bypassing (SSB) an Lizenzbedingungen geknüpft war, die zumindest für Debian nicht akzeptabel waren.

    Debian verweigerte die Auslieferung

    Wie aus der Antwort auf einen Debian-Bugreport hervorging, hielt der Debian-Kernel-Maintainer Henrique de Moraes Holschuh den seit Wochen bereits paketierten Microcode mit der Bezeichnung intel-microcode 3.20180807.1 aufgrund der zum im Juli ausgelieferten Vorgänger intel-microcode 3.20180703.2. geänderten Lizenz zurück, ohne dass Holschuh jedoch zunächst auf den genauen Grund einging.

    Perens benennt Ross und Reiter

    Den lieferte dann Open-Source-Urgestein Bruce Perens in seinem Blog. Die Lizenzbestimmungen waren, wie Perens darlegt, um einen Zusatz ergänzt worden, der es untersagte, Benchmarks oder Vergleiche, die auf der Grundlage des eingespielten Microcodes entstanden sind, zu veröffentlichen.

    »You will not, and will not allow any third party to … publish or provide any Software benchmark or comparison test results.» – Intel Lizenzbedingung

    Maulkorb für die Kunden

    Dabei ging es Intel wohl darum, zu verhindern, dass die zu erwartenden Leistungseinbußen, die bei virtuellen Maschinen angeblich bis zu 50 Prozent betragen können und beim Desktop immer noch 5 – 10 Prozent ausmachen sollen, öffentlich belegt werden. Bereits bei den vorangegangenen Spectre-Lücken war Intel mehrfach, hauptsächlich von Unternehmen, verklagt worden, da die zugesagten Eigenschaften der Prozessoren aufgrund der Leistungseinbußen nicht erfüllt wurden. Da der Mikrocode für jede Anweisung der CPU gilt, scheint dies eine Nutzungseinschränkung durch die hinzugefügte Lizenzklausel für den gesamten Prozessor zu sein, folgert Perens.

    Nichts gelernt

    Damit hat Intel mal wieder gezeigt, dass die Verantwortlichen seit Januar, der ersten Veröffentlichung der Meltdown- und Spectre-Lücken, nichts dazugelernt haben. Anstatt Kritik zu unterdrücken, sollte das Unternehmen zu den Fehlern stehen und seine Kunden möglichst umfassend über deren Asuswirkungen informieren.

    Kommando zurück

    Mittlerweile hat Intel zurückgerudert und die zusätzliche Klausel wieder entfernt. Warum diese überhaupt aufgenommen wurde bleibt unklar. Es kann nicht gänzlich ausgeschlossen werden, dass es ein Versehen war und der Text für eine Beta-Version verwendet wurde. Jedoch passt der Vorfall genau in das bereits bekannte Schema, sodass es wahrscheinlicher ist, das es darum ging, den Kunden einen Knebel zu verpassen. Jedenfalls zeigt sich wieder einmal, dass öffentliche Kritik zum Umdenken führt.