Spectre/Meltdown fix abschalten?

[frechBengel]

Hallo zusammen,

Ich habe vorhin einen Blog-Artikel (Link unten) gefunden, in dem erklärt wird, wie man einige Kernel-Sicherheits-Fixes auschalten kann, um keine Performance-Verluste zu haben. Man muß offenbar zwischen Sicherheit und Performance abwägen. Für ein Server-System, das viele Nutzer kennt, hat man sicherlich andere Anforderungen an die Sicherheit des Systems als an das einfache Arbeitsnotebook. Bei letzterem würde ich vermuten, dass man den ein oder anderen Sicherheits-Fix deaktivieren und dafür die gesteigerte Performance mitnehmen kann. Was meint ihr dazu? Welche Fixes kann man auf einem Arbeitsnootebook getrost deaktivieren?

Link zum Artikel: https://www.phoronix.com/scan.php?page= ... ectre-Melt

Lieben Gruß
frechBengel

[towo]

Welche Fixes kann man auf einem Arbeitsnootebook getrost deaktivieren?

An sich, alle.

[frechBengel]

Danke towo,

was ich übrigens bereits abschalte ist iptotal. Nach 1-2 Tagen Laufzeit des notebook (ich mache immer nur pm-suspend, neustart ca alle 30 Tage) ist dieser Statistikprozeß der mit der meisten akkumulierten Rechenzeit in top. Mehr noch als systemd. Daher gehört nach dem Neustart des Systems das »ststemctrl stop iptotal« inzwischen dazu.

Noch andere Meinungen zum Abschalten des Security Fixes?

[eggy]

@frechBengel: warum sollte das überhaupt installiert sein?

[frechBengel]

@eggy War bei mir out of the box mit dabei. Als ich diesen Prozeß in top sah und dass der viel Rechenzeit nimmt (also in der Gößrenordnung 1-2% die ganze Zeit, was sich halt sammelt) habe ich Google gefragt, was das eigentlich ist und fand das völlig überflüssig. Dann habe ich einfach ausgeschaltet.

[novalix]

War bei mir out of the box mit dabei.

Seltsam.

Code: Alles auswählen

apt-cache rdepends iptotal
iptotal
Reverse Depends:

[frechBengel]

Danke novalix

Ich habe keine Ahnung wann und wie das bei mir installiert wurde. Ich dachte, dass das paket iptotal irgendwie von was abhängig ist und mich nicht getraut, es einfach zu deinstallieren. Das habe ich gerade getan. synaptic hat über keinerlei Abhängigkeiten gemeckert.

[pferdefreund]

kann man doch prima in der Konsole mit apt-get -s remove paket probieren. Da wird nur simuliert und man sieht, was alles entsorgt werden würde.

[heisenberg]

Hier sind ein paar Kerneleinstellungen dazu:

https://wiki.ubuntu.com/SecurityTeam/Kn ... onControls
https://access.redhat.com/articles/3311301
https://www.kernel.org/doc/html/latest/ ... eters.html