В оффтопе вроде есть тема, но нет рейтинга писать там. Спрошу здесь.
1) Неизвестно, когда MSI выпустит обновление BIOS для моей материнки и выпустить ли она вообще. А может вообще ждать не стоит? Что дает вообще его обновление в плане безопасности/производительности, учитывая выпущенные фиксы от оси?
На --> оффоруме <--:
The Windows update should patch up the major flaw. As far as we know, BIOS updates won't do much to address the security flaw as it is kernel based. As of now, there are no plans to release a set of BIOS update that would directly address Meltdown and Spectre.
For this issue, sony to say that the solution will not be added to the standard BIOS as the MB chipset is a little old. Thanks!

2) Есть некоторые предложения, как обновить микрокод для процессора --> самостоятельно <--, вопрос - стоит ли это делать?

| Сообщение посчитали полезным:

1. Насколько я знаю, обновление BIOS связано по большей частью с поддержкой новых процессоров, ну и небольшие фиксы, не приносящие производительности. Иногда закрывают дыру, если она стала настолько публичной, что может сказаться на репутации самой компании, что случается очень редко.

2. Если все работает отлично и Вас это устраивает, лучше ничего не обновлять, а оставить так, как есть.

-----
One death is a tragedy, one million is a statistic.

| Сообщение посчитали полезным:

забей. и держи актуальную ось обновленной.

| Сообщение посчитали полезным:

Libido пишет:
Есть некоторые предложения, как обновить микрокод для процессора --> самостоятельно <--
Если linux, то микрокод (firmware) автоматом патчит проц из репозитория при загрузке ядра! И там ничего делать не нужно! А-ля:

В винде, начиная с 7ки оно,ВРОДЕ, так-же патчит, но это не точно.
Се актуально для древних осей - XP, 2k3. Микрокод, вручную, (AGESA для AMDы, к примеру) скачивается с сайта (для AMD был линк, но он не доступен уже лет десять,лол) и вшивается в BIOS утилитами от производителя (последняя версия BIOS всегда содержит актуальный, на тот моментъ, микрокод проца).
Впрочем, как написал Gideon Vi - зачем оно Вам нужно??

| Сообщение посчитали полезным:

Libido пишет: Что дает вообще его обновление в плане безопасности

Чуть больше чем ничего но с риском окирпичить пеку, знаю несколько человек у которых после автоматического обновления биоса утилитой вендора (HP), ноутбуки приказали долго жить.
Поэтому если нормально работает - не трогай.

| Сообщение посчитали полезным:

И имейте ввиду и это:

В итоге сложилась странная ситуация, в которой выпущенные экстренно патчи создали едва ли не больше проблем, чем сами уязвимости. К примеру, оказалось, что исправления для Windows конфликтуют со многими антивирусами и защитными решениями, что приводит к неполадкам в работе системы, BSOD и другим неприятным последствиям. Дело в том, что разработчики ряда антивирусов использовали для работы своих продуктов весьма спорные техники — их можно приравнять к эксплуатации проблем, с которыми и призваны бороться выпущенные патчи.

Список совместимых и несовместимых с патчами антивирусов, обновляемый ИБ-специалистами, можно найти здесь. Дело в том, что в итоге разработчики Microsoft решили проблему очень интересным образом: обязали производителей антивирусного ПО добавлять в реестр запись:

Key="HKEY_LOCAL_MACHINE" Subkey="SOFTWARE\Microsoft\Windows\CurrentVersion\QualityCompat" Value="cadca5fe-87d3-4b96-b7fb-a231484277cc" Type="REG_DWORD”

Если такой записи нет в реестре, Windows не будет устанавливать не только патчи для Meltdown и Spectre, но никакие обновления вообще.

Также исправления Microsoft оказали неожиданный эффект на процессоры AMD (в частности, серии Athlon 64 X2). Оказалось, что иногда после установки обновлений (а именно KB4056892) системы на базе CPU AMD просто перестают загружаться, может появляться «синий экран смерти» и так далее. В итоге Microsoft была вынуждена приостановить распространение патча.

Еще одна большая проблема, связанная с Meltdown и Spectre, заключается в том, что исправления практически для всех ОС негативным образом сказываются на производительности процессоров. Хотя большинство исследователей сходятся во мнении, что во время работы над обычными задачами рядовой пользователь не заметит никакой разницы, в некоторых случаях потеря производительности все же может быть более существенной. По разным данным и оценкам, после установки патчей процессоры могут терять 5-50% своей мощности.

Компании Intel и Microsoft почти неделю избегали комментариев по данному вопросу, но теперь все-таки признали существование проблемы. Официальное сообщение в блоге Microsoft, написанное исполнительным вице-президентом Windows and Devices Group Терри Мэйерсоном (Terry Myerson), гласит, что хуже всего придется пользователям старых ОС и процессоров.

Пользователи Windows 10 и новейших процессоров (2016 года, Skylake, Kabylake и новее) практически не ощутят никакой потери производительности, так как ухудшение исчисляется считанными миллисекундами.
Некоторые пользователи Windows 10 и более старых процессоров (2015 года, включая Haswell и более старые CPU) могут обнаружить в ряде тестов заметное ухудшение показателей и даже заметить потерю производительности системы.
Пользователи Windows 8 и Windows 7 (использующие процессоры 2015 года, включая Haswell и более старые модели) в свою очередь, столкнутся со значительной потерей производительности практически гарантировано.
В случае с Windows Server (на любых процессорах), особенно если речь идет о работе приложений, активно использующих IO, потеря производительности тоже будет весьма существенной.

Также данный вопрос затронул и глава Intel Брайан Кржанич (Brian Krzanich), выступая на конференции Consumer Electronics Show в Лас-Вегасе. Он подчеркнул, что потеря производительности существует, но она сильно зависит от загрузки процессора и конкретных задач, которые CPU выполняет. Кржанич заверил, что инженеры Intel делают все возможное, чтобы минимизировать эти «потери».

| Сообщение посчитали полезным:

Говорят падение незначительное, но на своём опыте, процессор i5-5200U, работал хорошо с простым HDD, 8 гигов оперативной памяти, после установки 192 патча для виндовс 10, скорость упала на одну треть, если раньше пдф открывалась сразу, то сейчас это 3-4 секунды, меню настроек виндовс открывается в два раза медленнее, видео плеер тоже тупит при открытии малого файла, веб браузер вобще молчу. Правда должен сказать, что установлен антивирус есет, но кроме антивиря и офиса, в системе больше ничего нет. Время тестирования три дня, ссори но система стала тормозной

Очень старая новость с 2013 года, которую сильно не обсуждали в интернете.

Тайваньский производитель JetWay случайно выложил на FTP-сайте ftp://ftp.jetway.com.tw/CODE/ исходный код AMI-BIOS, ключи подписи UEFI и много другой информации, которая явно не предназначалась для широкой публики.

Исходный код American Megatrends AMI BIOS UEFI

Дата последних изменений прошивок: февраль 2012 года. Внутри CODE.zip четыре архива:

Прошивка Cedar Trail: cm013-org1.zip
Прошивка Ivy Bridge: 018s.zip
Прошивка Luna Pier: 013s.zip
Прошивка Sandy Bridge: 016s.zip

Кроме всякого системного кода на ассемблере и си как Management Engine Interface и обработка USB в архиве две книги

Darmawan Salihun-BIOS Disassembly Ninjutsu Uncovered-A-List Publishing (2006)
Дармаван Салихан, "BIOS. Дизассемблирование, модификация, программирование" (+ CD-ROM)

--> Link <--

-----
RE In Progress [!] Coding Hazard [!] Stay Clear of this Cube

| Сообщение посчитали полезным: BlackCode, -=AkaBOSS=-, soft

побочная херь, которую пока замалчивают - после установки патчей (на венду) от meltdown/spectre потребление и температура системы на пустом месте возрастает в той же мере как падает производительность. т.е. до 30%

| Сообщение посчитали полезным:

Rus пишет:
побочная херь, которую пока замалчивают - после установки патчей (на венду) от meltdown/spectre потребление и температура системы на пустом месте возрастает в той же мере как падает производительность. т.е. до 30%
Это под всеми системами, не только под вендой. Более того, по известным тестам, наибольшее падение показывают системы под линуксом, но это, очевидно, связано с специфическими файл-ориентированными задачами, которые возникают перед этой системой. Наконец, никто это не замалчивает. Все только об этом и говорят, как только стало известно об уязвимости.
Тут каждый можно выбрать между производительностью и безопасностью. Я выбираю последнее. Благо, для моего Haswell теоретическое падение в несколько процентов на глаз незаметно.

| Сообщение посчитали полезным:

Старые игры, использующие D3D9, стали вести себя очень небодро. Скрипты отрабатывают косячно, затупы на 6-7 сек, особенно в катсценах.Фпс, в целом, дропается на 40%. И еще крэши периодические. После патча от мелтдауна сэндбокси обновился до бетаверсии под Win7, к слову, так как внеслись изменения в ядро ОС. Каждый мажорные апдейт индусов сносит к херам софты и половину приходится пропатчивать руками, чтобы нормально работала. Биос не имеет смысла обновлять. Как он может повлиять на состояние процессора ? Никак.

-----
TEST YOUR MIGHT

| Сообщение посчитали полезным:

В BIOS входит модуль загрузки микрокода в CPU, и сам обновлённый микрокод.
Обновление микрокода как раз и устраняет уязвимости аппаратно снижая падение производительности по сравнению с чисто программным фиксом в ядре.
Ваш Кэп.

| Сообщение посчитали полезным:

Как может код исправить аппаратный косяк ? Запретить посылать/исполнять потенциально вредоносную цепь инструкций ? Никак, например. Биос только опрашивает железо, а в микрокоде для цпу таки код для парсинга цпуид, а что делает мерзкая уефи со своими защищенными загрузчиками и кривыми бутменю - это уже другой вопрос. Перегревов/повышения температур резких никаких не будет на 775 сокете, как вариант. Для этого термопасту залман придумали. Если у кого-то глючит суперио чип или датчики, то это не к патчу вопрос Пирометр заимейте.

-----
TEST YOUR MIGHT

| Сообщение посчитали полезным:

unknownproject пишет:
в микрокоде для цпу таки код для парсинга цпуид
ЩИТО?
Intel в начале 2018 предоставил новые микрокоды для своих процессоров, которые призваны смягчить последствия от уязвимости.
Вот как выглядит система без заплаток:

Вот как выглядит система с фиксами от Microsoft, но без обновления микрокода/биоса:

Вот как выглядит система с фиксами от Microsoft, c обновлением микрокода/биоса:


| Сообщение посчитали полезным:

VOLKOFF пишет:
более старых процессоров (2015 года, включая Haswell и более старые CPU)

интересно, интел на хайпе решили поднять продажи новых камней, или после 2к16 и правда что-то радикально улучшили. Люди со свистом б/у зионы скупают, а тут такое.

unknownproject пишет:
Каждый мажорные апдейт индусов сносит к херам софты и половину приходится пропатчивать руками

что ж это за софты такие

| Сообщение посчитали полезным:

Все способы так или иначе программные. Аппаратных фиксов нет и в ближайший год-полтора маловероятны. Менять дефективные процессоры как это делал интел с fdiv никто не будет. Времена и масштаб не тот.

Если у вас старый проц (< Haswell) и старая венда приготовьтесь к дропу производительности после установки патчей мс.

Поддержка PCID/INVPCID требует слишком большого редизайна менеджера памяти в старых ос(win7), на который никто в мс не пойдет. Поэтому если у вас новый проц (haswell и выше) и почему то стоит Windows 7 это повод задуматься об апгрейде ОС.

Если ваш проц не поддерживает INVPCID инструкцию (< Haswell) тут ничего не поделаешь и смягчений дропа производительности не будет и на десятке.

Для снижения негативного эффекта на производительность от фикса spectre нужно обновление микрокода цп. Ваш производитель материнки должен зарелизить апдейт EFI прошивки с обновленным микрокодом. Если она у вас старая и вышла из цикла поддержки - вы разумеется ничего не получите. Таблица поддержки OEM -> https://support.microsoft.com/en-us/help/4073757/protect-your-windows-devices-against-spectre-meltdown

Если у вас линукс микрокод вы сможете получить либо сами, либо он придет штатным апдейтером (в той же убунте). Также в линукс вы можете выбрать использовать Kernel page-table isolation или нет. Патч от мс такой возможности насколько я знаю не предоставляет.

Общие способы не представляют ничего нового. Ваш браузер должен быть обновлен до последней версии (если у вас различная поебень типа яндекс браузер, амиго или мейлру, удалите их и поставьте нормальный хром/фаерфокс). На текущий момент в бетах хрома и фаервокс 57.04 реализован механизм который позволит затруднить выполнение уязвимостей. При соблюдении стандартных инструкций по не запуску неизвестного и непонятного гавна на машине, не посещение непонятных сайтов и не кликанью на всякие казино вулкан баннеры, это в принципе должно хватить даже без патчей венды. Вендовые клиенты почты, тут ничего посоветовать не могу кроме как запретить в них выполнение скриптов если возможно и опять же стандартно не открывать неизвестные вложения.

Также следует помнить, что Spectre вариант 1 это класс уязвимостей и он будет актуален еще годы, пока не обновится парк машин и софт не будет перекомпилирован. В следующем обновлении VS 2017 будет интегрирован workaround для Spectre (там компилятор будет использовать LFENCE как барьер спекулятивного выполнения в местах где задетектит в коде паттерн, включается через новый дополнительный ключ компиляции), патч обещают и для VS 2015 Update 3.

| Сообщение посчитали полезным: Libido, Gideon Vi, WildGoblin

Alchemistry пишет:
Также в линукс вы можете выбрать использовать Kernel page-table isolation или нет. Патч от мс такой возможности насколько я знаю не предоставляет.
Через реестр тоже отключается.

| Сообщение посчитали полезным:

Libido пишет:
Неизвестно, когда MSI выпустит обновление BIOS для моей материнки и выпустить ли она вообще. А может вообще ждать не стоит?

Мне ответили с оф. поддержки МСИ в европе, они сказали, что идут от новых моделей к старым, т.е. для всех моделей 7 ого поколения чипов, обновление биоса планируется на начало февраля, все остальные на конец февраля.

-----
RE In Progress [!] Coding Hazard [!] Stay Clear of this Cube

| Сообщение посчитали полезным: BlackCode, plutos

mak

Это вполне ожидаемо. А знаете что на самом деле это значит ?

- Ввод технологии быстрой трассировки(визора), те разделение потока инструкций, без этих кэшей, гпв и свм. Если бы изначально это было заложено в архитектуру, то виксы вымерли бы как динозавры, никакая OP атака не была бы возможна, эта тоже кстати.

Причём падение профайла в 30% - это работа апп под софт визором

Добавлено спустя 9 минут
Кстате теперь если отключить данный компонент защиты, то теоретически апп сможет работать под визором неотличимо. Вся проблема была в профайле. Теперь же этот фикс даёт возможность запуска всех апп без потерь профайла, это был не достающий компонент

Из за того что профайл садится аналогично динамической эмуляции это шикарная площадка для нового типа малвари, точнее для руткитов, которые будут использовать технику dye. Таких обширных возможностей раньше небыло.

-----
vx

| Сообщение посчитали полезным:

difexacaw пишет: Если бы изначально это было заложено в архитектуру

Зачем сразу делать хорошо? Герцы и количество ядер не до бесконечности можно масштабировать или реально думаешь, что инженеры с программистами из штаба интел не понимают проблем и не видят возможные способы решения, просто это никому нах*й не надо, не говоря уже о том, что не так просто задизайнить в камень хотелки с фантазиями.

| Сообщение посчитали полезным:

shellstorm

Я не знаю, о чём они думают что то разрабатывая. Но очевидны косячные решения, не продуманные. Думаю там делако не глупые ребята и понимают как всё устроено, может быть требования - сроки жмут хз. Но это ничего не меняет. Механизмы абсолютно не продуманны, а фиксятся налету. Ранее какой то рудимент ввели - SGX, теперь не знают как баги суперскалярности зафиксить, это всё становится таким геморным для разрабов ос..

-----
vx

| Сообщение посчитали полезным: