作者YuQilin (神兽)
看板PC_Shopping
标题Re: [情报] 果然削弱性能！Intel i7+Win10打漏洞补丁
时间Sun Jan 7 15:41:08 2018
现在的测试根本还没有达到真正修补漏洞後应该会有的损失，
打作业系统补丁修补的是Meltdown漏洞，
在有支援PCID的CPU上这修补损失的性能目前看起来不大，
一般应用损失大概2%~5%。
但是另一个Spectre漏洞，需要更新BIOS来修补，
如下图
https://i.imgur.com/FERyUco.jpg
在powershell中输入Get-SpeculationControlSettings可以检查系统目前修补的状态
图片里第一个蓝字CVE-2017-5715 [Branch Target Injection] 就是Spectre漏洞，
下面三行红字分别代表
硬体层级缓解：无
作业系统缓解：无
作业系统缓解功能启用：否
第二个蓝字CVE-2017-5754 [Rogue Data Cache Load] 也就是Meltdown漏洞，
下面三行代表
系统的CPU存在漏洞需要KVAS补丁：是
系统有打KVAS补丁：否
系统的KVAS有启用：否
第三个蓝字是建议事项
建议更新韧体或BIOS以抵御Spectre漏洞攻击
安装最新的Windows更新以取得作业系统层级的漏洞缓解
按照下面的网址指示启用作业系统的缓解
然後下面白字是总结，其中最注目的就是KVAShadowPcidEnabled
也就是打了对应Meltdown的KVAS补丁後，是否有支援和启用PCID，
如果这一项是「否」，那麽你的系统就会有非常大的效能损失。
不过这些都还只是前菜，真正严重的是对应Spectre的BIOS更新，
Asus昨天释出了部分主机板修补Spectre的最新BIOS，
经乡民测试，BIOS补丁会非常剧烈的降低效能，
如下图 i7-8700 / ASUS PRIME Z370-A BIOS update (0606) / Realbench 2.56
https://i.redd.it/vbymibcgj9801.png
更新完BIOS後有确认上述第一个蓝字硬体层级缓解为：有。
图里面Windows patch+BIOS update
效能较未打补丁未更新BIOS的系统下降9%~21%，
影响远远比微软的补丁更严重。
之前各家报导效能影响不大的测试，只是在最新的CPU上+微软补丁的结果，
不包含旧的CPU，也都还没测试BIOS更新，所以报导并不完全。
guru3D的编辑已经发现这件事情做了更正，
之後各家应该会陆续更新详细的测试结果。
来源：
https://redd.it/7obokl
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 61.219.36.66
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/PC_Shopping/M.1515310871.A.B51.html
1F：推 ww578912tw : Spectre这摸严重喔！ 以为meltdown就蛮惨的了 01/07 15:45
2F：推 Shauter : S当然更惨啊 因为S是各家不可避的方法 01/07 15:47
3F：推 a2935373 : Spectre的BTI是通通有奖吧? 01/07 15:48
4F：→ Shauter : 是啊 因为这方法大家都用 01/07 15:48
5F：→ YuQilin : 乱序执行是现代CPU的基石 01/07 15:48
6F：→ YuQilin : 只有下降21%我觉得已经是万幸了 01/07 15:48
7F：→ a2935373 : 因为扯到的东西太基本 我想这应该不会就这样收工 01/07 15:49
8F：→ a2935373 : 可能最後还是回归禁用高精度时钟指令之类的办法? 01/07 15:49
9F：→ SPDY : 3代前(从Ivy)似乎都不支援PCID 我2台3110M笔电呀.. 01/07 15:50
10F：→ a2935373 : 又不可能回到上个世纪不用乱序执行的办法 囧 01/07 15:50
11F：→ a2935373 : 暂时好像没看到AMD打BTI Patch的BIOS? 01/07 15:54
12F：→ YuQilin : 暂时没有 AMD由於架构不同 据说受到BTI的影响较小 01/07 15:57
13F：→ YuQilin : 如果真的需要BIOS修补的话 影响多少还需测试才能知 01/07 15:57
14F：→ a2935373 : 等着看戏好了 好像从来没看过这麽底层的大洞 01/07 16:00
15F：推 KotoriCute : 我记得之前论文说Spectre 要从软体和OS下去补吧 01/07 16:03
16F：→ KotoriCute : 我猜这个更新只是紧急的应变措施 01/07 16:04
17F：→ commandoEX : AMD下的没有这个指令? 01/07 16:05
18F：推 KotoriCute : Spectre 这个比较麻烦，每家补救方法都不一样 01/07 16:07
19F：→ KotoriCute : 而且很难补 01/07 16:07
20F：推 a2935373 : BTI要补太麻烦了...非常迂回的手法 01/07 16:09
21F：→ commandoEX : 原来要先打图上最上面三行的指令才能用= = 01/07 16:09
22F：→ YuQilin : BTI目前没有作业系统的软体补丁 根据微软的建议事项 01/07 16:11
23F：→ YuQilin : 这个漏洞（至少在Intel上）需要韧体或硬体修补 01/07 16:11
24F：→ YuQilin : 而软体缓解需要每个软体各自对应 01/07 16:11
25F：→ YuQilin : 例如Firefox和Chrome的更新 目前都是紧急措施 01/07 16:11
26F：→ YuQilin : 例如调整API的时钟精度等等 01/07 16:11
27F：→ YuQilin : Mozilla有说他们在实验新的缓解方法 01/07 16:11
28F：→ YuQilin : 期望可以做到不降低浏览器的效能又可以缓解漏洞 01/07 16:11
29F：推 a2935373 : 浏览器我觉得比较好处理点 最惨就是禁用某些附加 01/07 16:13
30F：→ a2935373 : 云端大厂这波应该才是重灾区... 01/07 16:14
31F：→ a2935373 : 云端和资料中心这几年效能需求都快速成长 突然来个 01/07 16:14
32F：→ a2935373 : 效能低落问题会很大 01/07 16:15
33F：推 ivan761016 : I社要大撒币，以後一定一堆网站放消毒文出来，I社金 01/07 16:25
34F：→ ivan761016 : 钱攻势不是喊假的，AMD就被搞过 01/07 16:25
35F：→ chrisdar : 微码更新版本 : 1/9公开 01/07 16:26
36F：→ chrisdar : Haswell H/S 306C3:22 40661:17 01/07 16:26
37F：→ chrisdar : Haswell Y/U 40651:21 01/07 16:26
38F：→ chrisdar : Broadwell Y/U 306D4:28 01/07 16:26
39F：→ chrisdar : Broadwell H/S 40671:1B 01/07 16:26
40F：→ chrisdar : Skylake Y/U 406E3:C2 01/07 16:26
41F：→ chrisdar : Skylake H/S 506E3:C2 01/07 16:26
42F：→ chrisdar : Kaby Lake Y/U 806E9:7C 01/07 16:26
43F：→ chrisdar : Kaby Lake H/S 906E9:7C 01/07 16:26
44F：→ chrisdar : Coffee Lake H/S 906EA:7C 906EB:7C 01/07 16:26
45F：→ chrisdar : Coffee Lake U 806EA:7C 01/07 16:26
47F：→ dslite : Sandybridge被放生了吗 01/07 16:41
48F：推 SRNOB : 这个东西当初不应该被找出来 全世界无形经济损失... 01/07 16:45
49F：推 chrisdar : 提醒:发比速测试文之前请先确定微码版本喔 ^_^ 01/07 16:48
50F：→ greg7575 : 才20%，继续买起来 01/07 16:48
51F：→ proletariat : 下一次投奔A社了 喵的 01/07 16:49
52F：→ KCKCLIN : 帮7系列I家用户QQ 01/07 16:50
53F：推 hernest01 : 怕的是这几年早就有人透过这些漏洞在窃取资料了 01/07 16:50
54F：→ hernest01 : 透过这两个漏洞是不会有存取纪录的 01/07 16:50
55F：→ jay0811 : 该死，CPU MicroCode要从1E更到22了，我的旧板子Z87 01/07 16:54
56F：→ jay0811 : 会出新的BIOS来解决i7-4790K的问题吗？ 01/07 16:54
57F：推 chrisdar : 不是有人更新MCU後跑更慢吗? 01/07 16:56
58F：→ chrisdar : 没事 我看错 那篇更新的只有ME部分 01/07 16:56
59F：推 ps124125288 : 这麽严重的效能下降…就算是i7-8700k也要弱化不少… 01/07 17:06
60F：推 Shauter : 2~5代会不会板厂愿意放更新还是问题 01/07 17:06
61F：→ SPDY : 记得System32内的mcupdate_GenuineIntel.dll档案 01/07 17:08
62F：→ SPDY : 就是由Windows自带的Microcode 会随着系统更新 01/07 17:08
63F：→ SPDY : 也就是说 就算BIOS没更新 也迟早还是会更新的呢... 01/07 17:08
64F：→ jay0811 : 我很怕Z87会被放生，囧 01/07 17:11
65F：→ jay0811 : 各家板厂太多BIOS要release了 01/07 17:13
66F：推 davidbright : QQ 01/07 17:18
67F：推 Kreen : 推，只好买新的了= = 01/07 17:22
68F：推 Shauter : I9 01/07 17:24
69F：推 chrisdar : 你Z87:1E 我B85:19 楼下帮我QQ 01/07 17:31
70F：推 will3509111 : UEFI的bios不是可以自己打包吗？ 01/07 17:31
71F：推 ss70012 : 4770k+z87路过，希望能更新 01/07 17:34
72F：推 chrisdar : 别闹了~改坏了开不了机怎麽办~ 我自己有SPI烧录器 01/07 17:36
73F：→ chrisdar : 倒是没差 01/07 17:36
74F：推 dragon6 : 效能如果差的多我也不想补了，反正这个要实作不容易 01/07 17:39
75F：→ dragon6 : 浏览器修补掉，加上防毒阻挡程式，没什麽机会作乱。 01/07 17:39
76F：推 greg7575 : asus 会写到崩溃吧。全改bios 01/07 17:42
77F：推 b325019 : 你怎麽会产生防毒可以挡掉的错觉 01/07 17:44
78F：推 C13H16ClNO : 只怕装了客服会被电话弄到崩溃 01/07 17:47
79F：推 ericinttu : 那应该会是绕过大师写的防毒吧 01/07 17:48
80F：→ jay0811 : 不建议用SPI更新喔，小心把BIOS里面的reserved 区清 01/07 17:49
81F：→ jay0811 : 掉 01/07 17:49
82F：推 chrisdar : A都~是说自我更新改坏了还有机会用SPI烧录器烧回来 01/07 17:51
83F：→ chrisdar : 其他人没器材就没办法玩自己改BIOS更新MCU这招~ 01/07 17:51
84F：→ chrisdar : 当然啦 有些东西会消失 例如i217/8/9的Mac addr 01/07 17:53
85F：→ jay0811 : CPU Microcode是一个Intel 提供的binary file，只要 01/07 17:54
86F：→ jay0811 : 包进来，再重新build，产生BIOS就好，没有想像中的 01/07 17:54
87F：→ jay0811 : 麻烦 01/07 17:54
88F：推 chrisdar : 板卡厂: RD/QA 加班中 7pupu~ 01/07 17:55
89F：推 Windcws9Z : 板卡厂表示干你AM...疑？！ 01/07 18:07
90F：→ JoyRex : 觉得Intel的HEDT完全不用卖了 01/07 18:12
91F：推 falcon11 : 之前不是说AMD也有Spectre? 01/07 18:18
92F：推 Shauter : 你用越非底层的机制防堵 惩罚时间就是越长....... 01/07 18:18
93F：→ YuQilin : 啊 对了 上面说到浏览器的修补 不只影响附加元件 01/07 18:21
94F：→ YuQilin : Mozilla前几日证实 他们从去年就一直在研究这个漏洞 01/07 18:21
95F：→ YuQilin : 根据他们和Google的研究 01/07 18:21
96F：→ YuQilin : 已经确定Spectre漏洞不需经由使用者在本地执行程式 01/07 18:22
97F：→ ksng1092 : "不应该被找出来"XD 果然解决提出问题的人最快 01/07 18:22
98F：→ YuQilin : 码 只要浏览网页经由网页载入和执行javascript 01/07 18:22
99F：→ YuQilin : 就可以捞到同程序内 其他网站处理的资料 01/07 18:22
100F：→ YuQilin : 非常非常严重 所以这也是为什麽Google建议使用者在 01/07 18:22
101F：→ YuQilin : 1月23日的Chrome v64的更新缓解推出前 先行启用v63 01/07 18:22
102F：→ YuQilin : 的 chrome://flags/#enable-site-per-process 01/07 18:23
103F：→ YuQilin : 暂时开启「Strict site isolation」实验性功能 01/07 18:23
104F：→ YuQilin : 彻底隔离每个不同网站的不同处理程序 01/07 18:23
105F：→ YuQilin : 以避免非同源网站能捞到其他网站的资料 01/07 18:23
106F：→ YuQilin : 但是开启这个功能将会增加10%~20%的记忆体使用量 01/07 18:23
107F：推 Shigeru777 : 这麽严重喔...赶快开一下 01/07 18:29
108F：→ charlie20083: 刚刚跑去ASUS看B85M-G的网页 1/2真的有UEFI更新... 01/07 18:35
109F：→ seiya2000 : XP的chrome己经无法更新了，有解吗？ 01/07 18:40
110F：→ xxtomnyxx : P55 应该被放生了吧..... 01/07 18:40
111F：→ commandoEX : P55也不是UEFI BIOS啊 01/07 18:46
112F：推 weimr : 好不容易被amd挤出来的牙膏 全缩回去惹 01/07 18:47
113F：推 hcwang1126 : Asus偷跑？ 01/07 18:52
114F：推 hcwang1126 : 1/9是表定时间 这礼拜闹这麽大 NDA被无视了吧… 01/07 18:54
116F：→ charlie20083: 可是我不知道为什麽这边显示23而不是Chris说的22... 01/07 19:03
117F：推 a2935373 : 趁机会禁用java让大家乖乖用标准HTML语法啊(？) 01/07 19:04
118F：推 chrisdar : 大於等於22就好啦 无条件进一版不好吗? 01/07 19:05
119F：推 charlie20083: 豪！ 随便啦 01/07 19:06
120F：→ chrisdar : 表列是去年底给的资料, 01/07 19:06
121F：→ chrisdar : 我是怕22/23不是最终解~ 还要再刷一次BIOS hen累阿 01/07 19:07
122F：推 a2935373 : 注定要再刷的吧 最终这种解法大家会崩溃的 01/07 19:08
123F：→ JoyRex : Intel不用讲了,AMD应该都没什麽问题吧? 01/07 19:09
124F：→ a2935373 : BTI还是会中 目前没看到相关BI9S修正 01/07 19:10
125F：→ a2935373 : 影响多大不知道 ARM那边的问题好像还没看到要怎解 01/07 19:11
126F：→ kill90206 : 所以山地脚和象牙脚确定放生了? 01/07 19:17
127F：→ kill90206 : 喔 还不是最终解 01/07 19:17
128F：推 a2935373 : BIOS要看板厂愿不愿意做 01/07 19:21
129F：推 Yijhen0525 : 这次的灾情大概到了行星摧毁的等级 01/07 19:26
130F：→ charlie20083: PH67-UD3-B3 不期不待 01/07 19:26
131F：→ charlie20083: 然後我另一台小电脑的MSI H81I还没有更新 01/07 19:29
132F：→ larailing : 更新BIOS我看有人黑掉我根本不敢碰 01/07 19:30
133F：推 Yijhen0525 : BIOS更新太危险，一个不小心就是整台送修 01/07 19:31
134F：推 nike319546 : 没补会怎样啊 01/07 19:31
135F：推 a2935373 : 光上网就可能被看光光 01/07 19:33
136F：推 qqq3q : 更新os都有人不敢了 更别说更新bios 可以更换cpu吗? 01/07 19:52
137F：推 a2935373 : 照目前的状况是地图炮 没救 01/07 19:54
138F：推 shensnet : 更换BIOS不大可能每个电脑使用者都会用。假设使用电 01/07 19:56
139F：→ shensnet : 脑的男女比例一半一半，就算每个男生都会，然後女 01/07 19:56
140F：→ shensnet : 生有一半会，也还有四分之一的使用者不会更新。 01/07 19:56
141F：→ commandoEX : 不会更新的等电脑自然淘汰啊... 01/07 19:58
142F：推 qqq3q : 她们有□具人 不用烦这个啊! 01/07 20:00
143F：推 chrisdar : 老电脑别补洞了啦 买新的啦 01/07 20:02
144F：→ proletariat : 可是现在买新的 记忆体好贵唷 不然E3目前还能撑一下 01/07 20:10
145F：推 ctes940008 : Intel罚钱先 01/07 20:11
146F：推 wahaha99 : 所以AMD也要BIOS update? 01/07 20:12
147F：→ wahaha99 : Spectre不是说AMD也会中? 01/07 20:12
148F：→ greg7575 : 更新bios 爆掉是常识(X 01/07 20:12
149F：推 jior : spectre有两个变形，其中一个是大家都中 01/07 20:15
150F：→ jior : intel是3个变形都中 01/07 20:16
151F：→ jior : 目前看到是这样 01/07 20:16
152F：推 qqq3q : 由此可见 intel cpu支援度比较高(摊手) 01/07 20:17
153F：推 a2935373 : 支援度比较高XDDD 01/07 20:29
154F：→ jay0811 : 啥，B85都有BIOS修正了，我的Z87怎麽没有! 可恶的 01/07 20:32
155F：→ jay0811 : 石头 01/07 20:32
156F：推 Shauter : 你怎麽知道你的不会修...... 01/07 20:42
157F：→ jay0811 : 好吧，耐着性子再等几天看看 01/07 20:46
158F：推 alyh : 所以Windows补丁更新後 还要自己去找BIOS的更新罗? 01/07 20:46
159F：推 estupid : B85上一版BIOS是2015 突然2018/1/2来个更新 01/07 20:51
160F：推 a123453906 : 看来B85卖很好哦(X 01/07 20:52
161F：→ alyh : B85 ._.)/ 01/07 20:53
162F：→ alyh : 可是我不敢自己更新BIOS Q_Q 01/07 20:53
163F：推 ab4daa : 不敢自己更+1 抖 01/07 20:57
164F：推 twosheep0603: 之前买Ryzen B350更新至少4次BIOS早就麻木了(苦笑) 01/07 21:08
165F：推 Shauter : 痾 我还以为BIOS更新很正常 扣除套装特制板 01/07 21:09
166F：→ Shauter : 每台PC基本上更新过四、五次 01/07 21:09
167F：→ ww578912tw : Bios几乎各家都有出直接懒人升级用的程式 01/07 21:12
168F：→ ww578912tw : 我用G心的升级 目前都很ok 01/07 21:13
169F：推 Litfal : Z77表示: 01/07 21:16
170F：推 Lukesky : H77无奈 01/07 21:19
171F：推 aa1477888 : 这次漏洞可以让电脑产业倒退10年吧XD 01/07 21:26
172F：推 kill90206 : Z68无言 01/07 21:27
173F：推 tsairay : 未必喔..危机就是转机 01/07 21:28
174F：→ ChangWufei : 市场疲软 促进消费啊 wwwww 01/07 21:30
175F：→ ChangWufei : 对厂商：效能下降你可以多买几个 对散户：买新的 01/07 21:32
176F：→ comipa : Intel:最後还不是要买我的帐 01/07 21:38
177F：→ KCKCLIN : Z68应该被放弃了XD 01/07 21:40
178F：→ WeAntiTVBS : Z68都快七年了，也不算完整的UEFI 01/07 21:42
179F：推 seiya2000 : 电脑是Xeon L5420+GA-965，需要更新BIOS吗？ 01/07 21:49
180F：推 a2935373 : 你也没得更新 01/07 22:09
181F：→ JoyRex : 麻烦的是套装电脑吧?像宏碁的BIOS根本难找 01/07 22:21
182F：推 widec : H97 也没有更新 01/07 22:31
183F：推 ctes940008 : 欧盟还不快出来喊话 01/07 22:34
185F：推 lingling0000: 云端空间要涨价了吗?? 01/07 23:00
186F：→ commandoEX : 云端空间应该还好吧，云端系统才会差比较多 01/07 23:23
187F：推 TaiwanFight : 有抓到是谁把这讯息爆出来的吗 真的是拖累科技的人 01/07 23:32
188F：→ TaiwanFight : 没爆出来用爽爽吃爽爽的话根本没差吧 简单的幸福 01/07 23:33
189F：→ JoyRex : 不爆出来更惨吧?存款归0核弹乱飞之类的 01/07 23:37
190F：嘘 oil01 : 不爆出来？有人财产性命损失算谁的？ 01/07 23:50
191F：推 cavitylapper: 惨 我还真不会更新BIOS 这个不能自动更新吗 01/07 23:51
192F：推 IMGOODYES : 存款归零也许有可能，核弹乱飞就别想了 01/07 23:51
193F：推 wahaha99 : 从ryzen来看 这样AMD也要上fw update不是? 01/07 23:54
194F：推 Shauter : 现在BIOS应该都有WIN平台底下更新的 01/07 23:57
195F：→ skyclam : 新的microcode早就给了，等九号一起推上web了，只 01/08 00:00
196F：→ skyclam : 很intel上周一直在桥要提早出…看来压力很大 01/08 00:00
197F：→ ilanese : 更新建议先等一下，别冲动。 01/08 00:01
198F：→ ilanese : 有些更新可能会造成系统出状况。 01/08 00:02
199F：→ SPDY : 被主机板厂放生也不用绝望 微软一直有在默默帮更新 01/08 00:06
201F：→ SPDY : 不刷BIOS 也能更新微码 只是完全不知何时才推送... 01/08 00:15
202F：→ commandoEX : 如果是严重安全性更新一两天内就会冒出来了吧 01/08 00:21
203F：推 erwinchuo : X79表示: 01/08 00:40
204F：推 ilanese : AntiVirus板有人反应安装更新之後，CPU是AMD双核心 01/08 01:20
205F：→ ilanese : ，结果进不去Windows。 01/08 01:20
206F：推 ericinttu : 安装什麽更新? 01/08 01:27
207F：→ ilanese : 也有可能是防毒软体之类的问题？ 01/08 01:33
209F：→ ilanese : 上面连结是01论坛。 01/08 01:34
210F：推 ccc73123 : 一般使用者BIOS就不用更新了 反正也不大可能被攻击 01/08 02:15
211F：→ ilanese : 一些旧的主机板或笔电想更新，目前也没得更新。 01/08 02:30
212F：→ ilanese : 真要买新电脑的人，我觉得可以先观望一下。 01/08 02:31
213F：→ ChangWufei : 现在就怕未来出厂的板子一律都用更新後的BIOS 01/08 02:34
214F：推 WWWSENTYOU : 抱怨华硕更新害我找好久，说明书又不写清楚 01/08 02:36