Intel-Prozessor-Mikrocode-Paket für Linux

Über

Das Intel-Prozessor-Mikrocode-Update-Paket (MCU) bietet einen Mechanismus zur Veröffentlichung von Updates für Sicherheitshinweise und funktionale Probleme, einschließlich Errata. Darüber hinaus sind MCUs dafür verantwortlich, die SGX-Enklave zu starten (auf Prozessoren, die die SGX-Funktion unterstützen), komplexe Verhaltensweisen (wie Assists) zu implementieren und mehr. Die bevorzugte Methode zum Anwenden von MCUs ist die Verwendung des System-BIOS. Für eine Teilmenge der Intel-Prozessoren kann die MCU zur Laufzeit auch über das Betriebssystem aktualisiert werden. Das hier bereitgestellte Intel-Microcode-Paket enthält Updates für diejenigen Prozessoren, die das Laden von MCUs durch das Betriebssystem unterstützen.

Warum den Mikrocode aktualisieren?

Die Aktualisierung Ihres Mikrocodes kann dazu beitragen, bestimmte potenzielle Sicherheitslücken in CPUs zu entschärfen und ebenso funktionale Probleme zu beheben, die beispielsweise zu unvorhersehbarem Systemverhalten wie Hängern, Abstürzen, unerwarteten Neustarts, Datenfehlern usw. führen können. Weitere Informationen zum Anwenden von MCUs auf einen Intel-Prozessor finden Sie unter Microcode Update Guidance.

Laden von Mikrocode-Updates

Dieses Paket wird Linux-Distributoren zur Aufnahme in ihre Betriebssystem-Releases bereitgestellt. Intel empfiehlt, die neuesten MCUs über den Update-Mechanismus des Betriebssystem-Anbieters zu beziehen. Ein guter Ausgangspunkt ist OS and Software Vendor. Erfahrene Benutzer können ihren Mikrocode direkt außerhalb des Betriebssystem-Anbieter-Mechanismus aktualisieren. Diese Methode ist jedoch komplex und kann bei fehlerhafter Ausführung zu Fehlern führen. Solche Fehler können unter anderem das Einfrieren des Systems, Startunfähigkeit, Leistungseinbußen, das Laden unterschiedlicher Updates durch logische Prozessoren und einige Updates, die nicht wirksam werden, umfassen. Daher sollte diese Methode nur von erfahrenen Benutzern versucht werden.

MCUs werden am besten über das BIOS geladen. Bestimmte MCUs dürfen nur über das BIOS angewendet werden. Solche MCUs sind in diesem Paket nie enthalten, da sie für die Verteilung über das Betriebssystem nicht geeignet sind. Ein OEM kann Mikrocode-Update-Pakete erhalten, die eine Obermenge dessen darstellen, was in diesem Paket zur Aufnahme in ein BIOS enthalten ist.

Betriebssystem-Anbieter können sich dafür entscheiden, eine MCU bereitzustellen, die der Kernel für das frühe Laden (Early Loading) verwenden kann. Beispielsweise kann Linux eine MCU sehr früh in der Kernel-Startsequenz anwenden. In Situationen, in denen kein BIOS-Update verfügbar ist, ist das frühe Laden die nächstbeste Alternative zur Aktualisierung des Prozessor-Mikrocodes. Mikrocode-Zustände werden bei einem Strom-Reset zurückgesetzt, daher muss die MCU bei jedem Startvorgang geladen werden.

Empfehlung

Es wird empfohlen, die initrd-Methode zum Laden einer MCU zu verwenden, da diese Methode die MCU zum frühestmöglichen Zeitpunkt für die größtmögliche Abdeckung lädt. Systeme, die keine Ausfallzeiten tolerieren können, können die Late-Load-Methode verwenden, um ein laufendes System ohne Neustart zu aktualisieren.

Über Prozessorsignatur, Familie, Modell, Stepping und Plattform-ID

Die Prozessorsignatur ist eine Nummer, die das Modell und die Version eines Intel-Prozessors identifiziert. Sie kann mithilfe der CPUID-Anweisung, über den Befehl lscpu oder aus dem Inhalt von /proc/cpuinfo ermittelt werden. Sie wird normalerweise als 3 Felder dargestellt: Familie, Modell und Stepping.

Wenn ein Prozessor beispielsweise von der CPUID-Anweisung einen Wert von "0x000906eb" zurückgibt:

Der entsprechende Linux-Dateiname lautet "06-9e-0b", wobei:

• Erweiterte Familie + Familie = 0x06
• Erweitertes Modell + Modellnummer = 0x9e
• Stepping-ID = 0xb

Ein Prozessor kann für mehrere Plattformtypen implementiert sein. Intel-Prozessoren haben ein 3-Bit-Plattform-ID-Feld in MSR(17H), das den Plattformtyp für bis zu 8 Typen angibt. Eine MCU-Datei für ein bestimmtes Prozessormodell kann mehrere Plattformen unterstützen. Die von einer MCU unterstützten Plattform-IDs sind eine 8-Bit-Maske, wobei jedes gesetzte Bit einen Plattformtyp angibt, den die MCU unterstützt. Die Plattform-ID eines Prozessors kann in Linux mit rdmsr aus msr-tools gelesen werden.

Anweisungen zur Mikrocode-Aktualisierung

Das Verzeichnis intel-ucode enthält binäre MCU-Dateien, die im Format family-model-stepping benannt sind. Dieses Dateiformat wird von den meisten modernen Linux-Distributionen unterstützt. Es befindet sich in der Regel im Verzeichnis /lib/firmware und kann über die Mikrocode-Reload-Schnittstelle gemäß den folgenden Anweisungen für Late-Load-Updates aktualisiert werden.

Early-Load-Update

Um die initrd für das frühe Laden zu aktualisieren, wenden Sie sich an Ihre Linux-Distribution, um zu erfahren, wie MCU-Dateien für das frühe Laden verpackt werden. Einige Distributionen verwenden update-initramfs oder dracut. Verwenden Sie die vom Betriebssystem-Anbieter empfohlene Methode, um sicherzustellen, dass die MCU-Datei für das frühe Laden aktualisiert ist, bevor Sie das Late-Load-Verfahren unten versuchen.

Late-Load-Update

Um das intel-ucode-Paket auf dem System zu aktualisieren:

1. Stellen Sie sicher, dass /sys/devices/system/cpu/microcode/reload existiert.
2. Laden Sie die neueste Mikrocode-Firmware herunter
   $ git clone https://github.com/intel/Intel-Linux-Processor-Microcode-Data-Files.git oder
   $ wget https://github.com/intel/Intel-Linux-Processor-Microcode-Data-Files/archive/main.zip
3. Kopieren Sie das Verzeichnis intel-ucode nach /lib/firmware und überschreiben Sie die Dateien in /lib/firmware/intel-ucode/
4. Schreiben Sie die Reload-Schnittstelle auf 1, um die Mikrocode-Dateien neu zu laden, z. B.
   $ echo 1 > /sys/devices/system/cpu/microcode/reload
   Mikrocode-Updates werden automatisch angewendet, ohne das System neu zu starten.
5. Aktualisieren Sie eine vorhandene initramfs, damit sie beim nächsten Mal über den Kernel geladen wird:
   $ sudo update-initramfs -u
$ sudo reboot
6. Überprüfen Sie, ob der Mikrocode beim Booten aktualisiert oder durch den Echo-Befehl neu geladen wurde:
   $ dmesg | grep microcode oder
   

Wenn Sie die Methode des Betriebssystem-Anbieters zum Anwenden einer MCU verwenden, wurden die obigen Schritte möglicherweise während des Update-Prozesses automatisch durchgeführt.

Das Verzeichnis intel-ucode-with-caveats enthält MCUs, die eine besondere Behandlung erfordern. Die BDX-ML-MCU wird in diesem Verzeichnis bereitgestellt, da sie spezielle Commits im Linux-Kernel erfordert; andernfalls könnte eine Aktualisierung zu unerwartetem Systemverhalten führen. Betriebssystem-Anbieter müssen sicherstellen, dass die Late-Loader-Patches (bereitgestellt in linux-kernel-patches) in der Distribution enthalten sind, bevor sie die BDX-ML-MCU für das Late-Loading verpacken.

Das Verzeichnis linux-kernel-patches enthält Kernel-Patches, die verschiedene Probleme im Zusammenhang mit dem Anwenden von MCUs beheben.

Hinweise

• Sie können nur auf eine höhere MCU-Version aktualisieren (ein Downgrade ist mit den bereitgestellten Anweisungen nicht möglich)
• Um Family-Model-Stepping zu berechnen, verwenden Sie den Linux-Befehl:
  $ printf "%x\n" <number_to_convert_to_hex>
• Es gibt mehrere Möglichkeiten, die MCU-Versionsnummer VOR dem Update zu überprüfen. Nachdem Sie dieses Intel-Microcode-Update-Repository geklont haben, führen Sie Folgendes aus:
  • $ iucode_tool -l intel-ucode | grep -wF sig (Das Paket iucode_tool ist erforderlich)
  • $ od -t x4 <Family-Model-Stepping> liest die ersten 16 Bytes des binären Mikrocode-Headers, der in <Family-Model-Stepping> angegeben ist. Der dritte Block ist die Mikrocode-Version. Zum Beispiel: $ od -t x4 06-55-04
0000000 00000001 *02000065* 09052019 00050654

Lizenz

Details finden Sie in der Datei license.

Sicherheitsrichtlinie

Details finden Sie in der Datei security.md.

Versionshinweise

Details finden Sie in der Datei releasenote.md.

Haftungsausschlüsse

Die Funktionen und Vorteile der Intel-Technologien hängen von der Systemkonfiguration ab und können aktivierte Hardware, Software oder die Aktivierung von Diensten erfordern. Die Leistung variiert je nach Systemkonfiguration. Fragen Sie Ihren Systemhersteller oder Händler oder erfahren Sie mehr unter www.intel.com.

Kein Produkt und keine Komponente kann absolut sicher sein.

Alle hier bereitgestellten Informationen können ohne vorherige Ankündigung geändert werden. Wenden Sie sich an Ihren Intel-Vertreter, um die neuesten Intel-Produktspezifikationen und Roadmaps zu erhalten.

Die beschriebenen Produkte und Dienstleistungen können Defekte oder als Errata bekannte Fehler enthalten, die Abweichungen von den veröffentlichten Spezifikationen verursachen können. Aktuelle charakterisierte Errata sind auf Anfrage erhältlich.

Intel stellt diese Materialien ohne ausdrückliche oder stillschweigende Gewährleistung bereit.

© Intel Corporation. Intel, das Intel-Logo und andere Intel-Marken sind Marken der Intel Corporation oder ihrer Tochtergesellschaften.

*Andere Namen und Marken können Eigentum anderer sein.