Microcode für Intel und AMD

[BeWo]

Hallo,

Im non-free Bereich gibt es die Pakete intel-microcode und amd64-microcode.
Nach ein wenig Recherche im Internet habe ich herausgefunden, daß dadurch bekannte Fehler in Prozessoren behoben werden.

Meine Frage an Euch ist, ob Ihr diese "Updates" verwendet oder nicht.

Bernhard

[Saxman]

Das microcode Update für Intel setze ich schon seit ein Paar Jahren ein. Dass es mittlerweile eines für amd in den repositorys gibt, hast du mir allerdings gerade gezwitschert. Ich hatte zwar immer wieder mal geschaut, aber bis vor kurzem gab es das ja noch gar nicht in Debian. Jetzt setze ich beide ein.

[Cae]

Nachdem ich in einem anderen Post [1] auf die Existenz der Microcode-Pakete amd64-microcode (ab Wheezy) und intel-microcode aufmerksam geworden bin, koennte ich die Frage des TE wiederholen. Bisher verwende ich den Microcode wohl nicht, und ich frage mich, was fuer Nachteile ich dadurch habe. Die in der Paketbeschreibung angegebene Seite [2] rennt gerade in's Timeout, sodass ich auch nicht schlau werde, worin das Ding ueberhaupt besteht und ob eventuelle Bugfixes meine CPU betreffen.

Soweit ich das sehe, gibt's in der CPU neben spezifischen Einheiten auch Bereiche, die zunaechst generisch sind und erst durch den Microcode zu speziellen Funktionen programmiert werden. Kann man das so sagen?

Gruss Cae

[1] viewtopic.php?f=13&t=141181&start=30#p925735
[2] http://www.amd64.org/support/microcode.html

[Saxman]

Durch das microcode update werden Fehler in der CPU behoben. Welche das im einzelnen betreffend deine CPU sind, kannst du im Readme nachlesen und im Revision Guide [1] für deine CPU nachschlagen.

;******************************************************************************
; The associated microcode container file fixes the errata as documented in
; Revision Guide for AMD Family 10h Processors, order #41322,
; Revision Guide for AMD Family 12h Processors, order #44739,
; Revision Guide for AMD Family 14h Models 00h-0Fh Processors, order #47534,
; for different revisions of AMD processors as follows:
;
; CPUIDFn[0000_0001]_EAX; ID; Errata fixed;
;
; 0x00100F22; 0x01000083; 244, 260, 280, 302, 308, 315, 342;
; 0x00100F23; 0x01000083; 244, 260, 280, 302, 308, 315, 342;
; 0x00100F2A; 0x01000084; 244, 260, 280, 302, 308, 315, 342;
; 0x00100F42; 0x010000DB; 342, 440, 573;
; 0x00100F43; 0x010000C8; 407, 440;
; 0x00100F52; 0x010000DB; 342, 440, 573;
; 0x00100F53; 0x010000C8; 407, 440;
; 0x00100F62; 0x010000C7; 407, 440;
; 0x00100F63; 0x010000C8; 407, 440;
; 0x00100F80; 0x010000DA; 419, 440, 573;
; 0x00100F81; 0x010000D9; #406, #407, #440, #573, #669;
; 0x00100F91; 0x010000D9; #406, #407, #440, #573, #669;
; 0x00100FA0; 0x010000DC; 438, 440, 573;
; 0x00300F10; 0x03000027; #564, #573, #662, #686;
; 0x00500F10; 0x05000028; #461, #564, #594, #595;
; 0x00500F20; 0x0500010D; #461, #564, #594, #639, #662, #686;
;
;******************************************************************************

Die fett hervorgehobenen betreffen z.B meine CPU, links steht der ursprüngliche, in der Mitte der neue patchlevel und rechts die gefixten Probleme. Welchen patchlevel deine cpu aktuell hat, findest du mit:

Code: Alles auswählen

$ grep -i microcode /proc/cpuinfo                                                                                                                                                 
microcode       : 0x10000db
microcode       : 0x10000db
microcode       : 0x10000db
microcode       : 0x10000db

Probleme durch das update konnte ich bisher keine feststellen.
Ich hoffe das hilft dir weiter.

[1] http://developer.amd.com/resources/docu ... s-manuals/

[schorsch_76]

Das heist die CPU wird gepatcht und danach ist die Firmware nicht mehr nötig? Oder verstehe ich hier was falsch?

Gruß
schorsch

[Saxman]

Das heist die CPU wird gepatcht und danach ist die Firmware nicht mehr nötig? Oder verstehe ich hier was falsch?

Die Änderung ist flüchtig. D.h wenn der Rechner z.B neu gestartet oder aus dem Standby geweckt wird, muss der Patch erneut angewendet werden.

[Cae]

So, ich hab' das mal an meiner CPU durchgespielt:

Code: Alles auswählen

$ grep model\ name /proc/cpuinfo | head -1
model name	: AMD Phenom(tm) II X4 965 Processor

Die Liste unter usr/share/doc/amd64-microcode/microcode_amd.bin.README geht davon aus, dass man einen Prozessorbefehl namens CPUID verwendet, mit dem Datensatz 0000_0001h, wobei im EAX-Register ein Wert rausfallen soll. cpuid macht wohl genau das, ich bekomme

Code: Alles auswählen

$ cpuid
 eax in    eax      ebx      ecx      edx
00000000 xxxxxxxx xxxxxxxx xxxxxxxx xxxxxxxx
00000001 00100f43 xxxxxxxx xxxxxxxx xxxxxxxx
00000002 xxxxxxxx xxxxxxxx xxxxxxxx xxxxxxxx
...

In der Liste dafuer steht

Code: Alles auswählen

$ grep -i 00100f43 usr/share/doc/amd64-microcode/microcode_amd.bin.README
; 0x00100F43;             0x010000C8; 407, 440;

Also hat die CPU (oder deren Standard-Microcode) die Bugs 407 und 440 (AMD nennt sie Errata). Das kann man in [1] nachschlagen, sogar relativ detailiert. 407 scheint eine seltene race condition zu sein, welche interne Datenuebertragung abbrechen und dadurch das Betriebssystem freezen lassen koennen soll. 440 scheint fehlerhafterweise bestimmte Bits zu eines Systemspeichers zu nullen, waehrend eine VM aktiv laeuft und ein SMI (System Management Interrupt) auftritt. Der Speicherbereich wird verwendet, um die gerade aktiven Daten der CPU waehrend eines SMI' zwischenzuparken.
Tja, und nu? Ich probier' das mal spaeter aus, momentan gucke ich mir das README etc. aus dem entpackten Paket an.

Gruss Cae

[1] "Revision Guide for AMD Family 10h Processors" http://support.amd.com/us/Processor_Tec ... Rev_Gd.pdf

[dufty]

Meine Frage an Euch ist, ob Ihr diese "Updates" verwendet oder nicht.

Nein, "non-free" sagt alles, oder
(was mich bei micro-code auch nicht sehr wundert)

Bei einer Dokumentation wie

## This textfile was generated manually from public documentation
## (Processor Specification updates).
<snip>
Intel64 0x000106c2 # Atom z5xx/N270 32bit / Atom 200/300 64bit
Intel64 0x000106ca # Atom n500/n400/d500/d400 64bit
Intel64 0x000106d1 # ?
Intel64 0x000106e4 # ?
<snip>

hätte ich auch nicht soviel Vertrauen, wenn nicht mal die Zuordnung "Register <=> Processor" genau bekannt ist.
(Und das bei Intel, dem angeblich so großen "Linux-Freund" ...)

[HansD]

Die Änderung ist flüchtig. D.h wenn der Rechner z.B neu gestartet oder aus dem Standby geweckt wird, muss der Patch erneut angewendet werden.

Kommt mir so vor, als wäre das falsch oder mißverständlich. Ich hab' gerade in der Treiberverwaltung unter Linux Mint diesen Microcode aktiviert. Zum Abschluß wurde mir mitgeteilt, dass ich das System neu starten solle, damit die Änderungen wirksam werden. Wenn die Änderungen flüchtig wären, würde das ja kaum klappen. Es sei denn, Mint lädt diesen Microcode nach dem Neustart via Konfigurationseinstellungen immer wieder neu.

[Teddybear]

Die Änderung ist flüchtig. D.h wenn der Rechner z.B neu gestartet oder aus dem Standby geweckt wird, muss der Patch erneut angewendet werden.

Kommt mir so vor, als wäre das falsch oder mißverständlich. Ich hab' gerade in der Treiberverwaltung unter Linux Mint diesen Microcode aktiviert. Zum Abschluß wurde mir mitgeteilt, dass ich das System neu starten solle, damit die Änderungen wirksam werden. Wenn die Änderungen flüchtig wären, würde das ja kaum klappen. Es sei denn, Mint lädt diesen Microcode nach dem Neustart via Konfigurationseinstellungen immer wieder neu.

Der Microcode wird während des Bootprozesses in die CPU geladen.

[BenutzerGa4gooPh]

Die Firmware der oft kritisierten Management Engine (ME) in vielen PCs, Notebooks und Servern mit Intel-Prozessoren seit 2010 benötigt Updates, um Angriffe zu verhindern.
...
Betroffen sind Rechner mit einem der 2010 erstmals eingeführten Core-i-Prozessoren und zumindest rudimentären ME-Fernwartungsfunktionen (dazu unten mehr); außerdem sind die vom Core i abgeleiteten Xeons, Pentiums und Celerons betroffen.

https://www.heise.de/security/meldung/S ... 00880.html

Kriegt man/frau irgendwie raus, ob das auch per intel-microcode gepatcht wird? Für aeltere Geraete gibt es selten BIOS-Updates.

(Für Windows ist ein Würgaround im Artikel verlinkt. Linux ist vlt. gar nicht betroffen?)

Bei vielen Consumer Laptops sind wohl nur lokale Angriffe moeglich, bei Servern, Desktops und Business Lappis nicht:

In einem Security Advisory empfiehlt Intel dringend Firmware-Updates für viele Desktop-PCs, Notebooks und Server mit Intel-Prozessoren der vergangenen 7 Jahre (seit 2010). Hintergrund ist eine Schwäche in der Firmware der schon häufig kritisierten Management Engine (ME), die in fast allen Intel-Chipsätzen und SoC-Prozessoren steckt.
...
Betroffen sind wohl die meisten der teureren Business-Notebooks der großen Markenhersteller mit älterer ME-Firmware.
...
Bei der abgespeckten Fernwartung namens "Small Business Advantage" (SBA) lässt sich die Schwachstelle laut Intel glücklicherweise nur von lokalen Angreifern nutzen, die physischen Zugriff auf ein betroffenes System haben.

[owl102]

Kriegt man/frau irgendwie raus, ob das auch per intel-microcode gepatcht wird?

Das wird definitiv nicht per minicode gepatcht.

Für aeltere Geraete gibt es selten BIOS-Updates.

Dann hilft es hoffentlich, AMT im BIOS abzuschalten. Gibt es diese Option auch nicht, hat man Pech gehabt.

BTW: Man kann auch unter Linux herausfinden, ob man betroffen ist oder nicht: https://www.cyberciti.biz/faq/how-to-ch ... der-linux/

[BenutzerGa4gooPh]

Das wird definitiv nicht per minicode gepatcht
...
Dann hilft es hoffentlich, AMT im BIOS abzuschalten.
..

AMT/BIOS: Diese Option muss ich nachvollziehen, ist neu für mich, mal sehen, ob ich was finde. Danke für den Hinweis!

[BenutzerGa4gooPh]

BTW: Man kann auch unter Linux herausfinden, ob man betroffen ist oder nicht: https://www.cyberciti.biz/faq/how-to-ch ... der-linux/

Wird getan. Danke! owl102, bist schon ein Guter!

[Par@noid]

Debian warnt vor "Alptraum-Bug" in Intel-CPUs

http://www.pro-linux.de/news/1/24873/de ... -cpus.html

MfG Par@noid

[BenutzerGa4gooPh]

@Mods oder @Paranoid:
Vlt. ist ein Extra-Thread dafür sinnvoll, dass es Betroffene mitkriegen?