Retpoline: Windows 10 integriert Spectre-Version-2-Patches

Obwohl Spectre Version 2 bereits länger bekannt ist, hat Microsoft aus Leistungsgründen bisher keine Mitigation dafür auf Windows-10-Clients freigeben. Mit dem aktuellen Patch und einem angepassten Retpoline soll sich das ändern - allerdings nur für Geräte mit Version 1809.

Artikel veröffentlicht am 5. März 2019, 11:16 Uhr, Oliver Nickel

Windows 10 wird gegen Spectre besser geschützt. (Bild: Pixabay.com/Montage: Golem.de/CC0 1.0)

Seit Anfang März 2019 wird Windows 10 mit angepassten Retpoline-Patches im Paket KB4482887 ausgestattet und diese aktiviert. Diese sollen die CPU-Side-Channel-Angriffe mit Spectre Version 2 verhindern. Bisher hatte Microsoft die erste Version seines eigens entwickelten Patches zwar bereits ausgeliefert, aber zumindest auf Windows-Clients nicht aktiviert. "Das resultierte in einem größeren Leistungsverlust, als wir uns bei einigen Prozessoren und Arbeitslasten gewünscht hätten", schreibt Microsoft im Blog-Post. Die Lösung ist es, das von Google erstellte Retpoline für die eigenen Zwecke anzupassen.

Der Rollout von Retpoline sei recht kompliziert, schreibt Microsoft. Aus diesem Grund werden nur Geräte mit installierter Version 1809 oder neuer mit dem Patch ausgestattet werden. Das soll in den "kommenden Monaten" erfolgen. Die Entwickler Andrea Allievie und Chris Kleynhans geben zudem an, die Retpoline-Mitigation sei zwar schneller als vorher, werde aber trotzdem noch Leistungseinbußen gegenüber unsicheren Geräten bringen. Das liege daran, dass CPUs durch den Mikrocode in ihrer spekulativen Ausführung eingeschränkt würden - ein wichtiger Bestandteil moderner Prozessoren von AMD, Intel oder mit ARM-Architektur.

Dass Microsoft erst jetzt eine bereits seit mehr als einem Jahr alte Sicherheitslücke angeht, liegt an der Komplexität von Windows. Das Betriebssystem muss mit möglichst vielen Programmen und möglichst viel Hardware kompatibel sein. Außerdem laufen viele Treiber von Drittherstellen im Kernel-Modus, der durch Retpoline vor Side-Channel-Angriffen besser geschützt werden soll. Solche Treiber sind zudem mit vielen Versionen von Windows 10 kompatibel.

All das trifft zum Teil aber auch auf Linux-Betriebssysteme zu, welche Retpoline bereits länger integrieren. Angekündigt hatte Microsoft den Retpoline-Patch bereits im Herbst 2018.

Ein Golem.de-Leser hat nachgemessen, wie stark die Leistungseinbußen des Retpoline-Updates sind. Die gemessenen Maschinen scheinen 15 Prozent langsamer zu arbeiten. Sollte das stimmen, müsste Microsoft noch einmal nachbessern.