Windows 11. Funkcje bezpieczeństwa a działanie gier i aplikacji

Czy VBS i HVCI w premierowej wersji Windowsa 11 zabijają wydajność?

W tym tygodniu, jeszcze przed premierą najnowszego systemu operacyjnego Microsoftu, redakcja portalu PC Gamer wykonała szereg testów wydajności w grach na Windowsie 11 z włączoną funkcją VBS. Wyniki okazały się mocno niepokojące, bo różnice w niektórych produkcjach potrafiły sięgać nawet niemal 30%. Nic zatem dziwnego, jeśli problem ten przykuł uwagę wielu innych redakcji, w tym naszej.

Według najnowszych testów opartych już na finalnej wersji Windowsa 11 wpływ na wydajność gier ma nie tylko usługa Virtualization-Based Security. Dotyczy to również HVCI (ang. Hypervisor-Enforced Code Integrity). Jest to integralność kodu chronionego hipernadzorcą i wraz z VBS ochraniają procesy systemowe. Tworzą dodatkową warstwę bariery przed złośliwym oprogramowaniem czy niepodpisanymi lub wątpliwymi sterownikami, które mogą przedostać się do pamięci systemowej (bezpiecznego obszaru oddzielonego od systemu operacyjnego).

Koncern Microsoft stara się dostosować do rekomendacji Departamentu Obrony USA. Obie te opcje wpływają jednak na wydajność nie tylko w grach, ale także w aplikacjach. Jak mocno? Na to pytanie odpowiedziały redakcje Tom’s Hardware i PC World.

Windows 11 z VBS i HVCI a procesory Intel i AMD

Popularny portal Tom’s Hardware o sprzęcie komputerowym postanowił sprawdzić wpływ zarówno VBS, jak i HVCI na wydajność. Ale – w odróżnieniu od PC Gamer – testy wykonał na premierowej wersji Windowsa 11. Zostały one przeprowadzone na czterech różnych procesorach, które obsługują MBEC (ang. Mode Based Execution Control) ograniczające negatywny wpływ HVCI na działanie gier. Oznacza to, że na starszych CPU mogą być większe spadki wydajności (poniżej Intel Kaby Lake i AMD Ryzen 3000).

Testy wpływu VBS i HVCI na wydajność gier na CPU Intel i AMD

Tom’s Hardware sprawdziło w akcji następujące jednostki CPU:

AMD Ryzen 7 3800X
AMD Ryzen 7 5800X
Intel Core i7-10700K
Intel Core i7-11700K

wydajność far cry 5 w windows 11 vbs on vs off na cpu ryzen — Źródło: Tom's Hardware

project cars wydajność w windows 11 vbs on vs off na cpu ryzen — Źródło: Tom's Hardware

rdr 2 wydajność w windows 11 vbs on vs off na cpu ryzen — Źródło: Tom's Hardware

shadow of the tomb raider wydajność w windows 11 vbs on vs off na cpu ryzen — Źródło: Tom's Hardware

We wszystkich przypadkach użyto flagowej karty graficznej firmy NVIDIA – GeForce RTX 3090 (sterowniki 472.12) i systemu operacyjnego Windows 11 Pro 23000.194 (wersja recenzencka). VBS średnio obniżyło wydajność w grach o 4-5% na każdym z procesorów, a więc znacznie mniej niż według testów PC Gamera, gdzie różnice potrafiły sięgać prawie 30%. Podobnie sytuacja ukształtowała się w przypadku HVCI, czyli 3-4% na procesorach AMD i ponad 5,5% na obu Intel Core.

far cry 5 wydajność w windows 11 vbs on vs off na cpu intel 11 generacji — Źródło: Tom's Hardware

far cry 5 wydajność w windows 11 vbs on vs off na cpu intel 10 generacji — Źródło: Tom's Hardware

gta 5 wydajność w windows 11 vbs on vs off na cpu intel 11 generacji — Źródło: Tom's Hardware

gta 5 wydajność w windows 11 vbs on vs off na cpu intel 10 generacji — Źródło: Tom's Hardware

shadow of the tomb raider wydajność w windows 11 vbs on vs off na cpu intel 11 generacji — Źródło: Tom's Hardware

shadow of the tomb raider wydajność w windows 11 vbs on vs off na cpu intel 10 generacji — Źródło: Tom's Hardware

Testy jednak były wykonane w innej rozdzielczości. Tym razem w 1080p (1920 x 1080 pikseli), ale akurat w niższej wydajność jest bardziej zależna od procesora. Wniosek? Kilkuprocentowa różnica nie odstrasza tak jak wyniki uzyskane przez redakcję PC Gamer. Są to wartości, które jest łatwiej zaakceptować.

Redakcja PC World dla odmiany użyła laptopa z systemem Windows 11 Home 22000.194, procesorem Intel Core i7-8750H i kartą graficzną GeForce RTX 2060 Max-Q. Również nie potwierdziła tak drastycznego spadku wydajności odnotowanego przez portal PC Gamer. Różnice w wynikach są porównywalne do tych zaprezentowanych przez Tom’s Hardware i wynoszą maksymalnie kilka procent (największa, 6-procentowa w CS:GO).

Testy wpływu VBS i HVCI na wydajność w aplikacjach

W benchmarkach i programach pokroju 7-Zip różnice zwykle też nie są dość znaczące. Największą odnotowano w benchmarku Corona, gdzie w teście ray tracingu doszło do aż 14% spadku wydajności na Intel Core i7-10700K. Ogólnie starsze CPU „niebieskich” gorzej znosi wpływ funkcji bezpieczeństwa w Windows 11 niż nowsze. Podobnie wygląda w przypadku Ryzenów, ale różnice między 5800X a 3800X są bardziej marginalne.

wydajność cpu intel core w vr mark na windows 11 — Źródło: Tom's Hardware

wydajność intel core w renderingu na windows 11 — Źródło: Tom's Hardware

wydajność intel core w benchmarku corona na windows 11 — Źródło: Tom's Hardware

wydajność intel core w cinebench na windows 11 — Źródło: Tom's Hardware

intel core kompresja w 7 zip na windows 11 — Źródło: Tom's Hardware

wydajność amd ryzen w vr mark na windows 11 — Źródło: Tom's Hardware

wydajność amd ryzen w renderingu na windows 11 — Źródło: Tom's Hardware

wydajność amd ryzen w benchmarku corona na windows 11 — Źródło: Tom's Hardware

wydajność amd ryzen w cinebench na windows 11 — Źródło: Tom's Hardware

amd ryzen w 7 zip kompresja na windows 11 — Źródło: Tom's Hardware

Testy PC World także potwierdziły różnice rzędu kilku, najgorzej kilkunastu procent. Większe były zauważalne na starszych jednostkach laptopowych, co zresztą pokrywa się z dokumentacją Microsoftu dotyczącą wsparcia CPU.

Przeczytaj nasz test wydajności: Windows 11 VBS on vs Windows 11 VBS off

Jak wyłączyć VBS i HVCI w Windowsie 11?

Jeśli zapoznałeś się z moim newsem na temat VBS w Windowsie 11, wiesz już, jak sprawdzić, czy jest aktywne na Twoim komputerze. Jak wyłączyć VBS i HVCI w systemie?

Wystarczy, że użyjesz lupy na pasku zadań i wpiszesz Zabezpieczenia urządzenia, a następnie klikniesz na Szczegóły usługi izolacja rdzenia. Pod Integralność pamięci przełącz na Wyłączone, by dezaktywować tę opcję. Zmiana wymaga restartu komputera.

Jeśli ten sposób nie wpływa na działanie VBS, spróbuj wyłączyć tę funkcję w Edytorze rejestru (użyj lupy i wpisz te słowa). Potem po kolei rozwijaj:

HKEY_LOCAL_MACHINE > System > CurrentControlSet > Control > DeviceGuard > EnableVirtualizationBasedSecurity

Wartość EnableVirtualizationBasedSecurity powinna być ustawiona na 0. Jeśli tak jest, to wtedy VBS powinno być nieaktywne. Jeśli w DeviceGuard brakuje wartości EnableVirtualizationBasedSecurity, dodaj ją. Kliknij prawy przycisk myszy, a następnie wybierz Nowy i Wartość DWORD (32-bitowa). Ustaw 1 i aktywujesz zabezpieczenia oparte na wirtualizacji (2 wprowadzi w działanie), a 0 – tę odpowiedź już znasz. Ta zmiana również wymaga restartu komputera.

W razie czego upewnij się, używając opisanego przeze mnie sposobu w poprzednim materiale o Windowsie 11 VBS. Kliknij na lupę, wpisz Informacje o systemie i sprawdź, czy w dolnej części zakładki Podsumowanie systemu przy Zabezpieczenia oparte na wirtualizacji widnieje wartość niewłączona.

Jak wyłączyć funkcje oparte na wirtualizacji w UEFI/BIOS?

Nieobecność opisanych opcji w Integralności pamięci oraz w rejestrze w DeviceGuard może oznaczać, że funkcje oparte na wirtualizacji zostały dezaktywowane w UEFI/BIOS. Poszukaj tam opcji związanych z Virtual Technology (VT) w przypadku Intela, a w przypadku AMD – trybu SVM i AMD-V.

Funkcje te mogą skrywać się w zaawansowanych ustawieniach (np. w CPU Configuration) albo nawet w zakładce OC procesora w np. CPU Features. Różnice są zależne od płyty głównej. Ustaw je na Disabled, by wyłączyć.

Czy gracze mogą obawiać funkcji bezpieczeństwa w Windowsie 11?

To, jak takie funkcje bezpieczeństwa jak VBS i HVCI wpływają na wydajność gier i aplikacji, każdy widzi w przedstawionych wynikach testów. Jeśli zaktualizujesz Windowsa 10 do „jedenastki”, to nie musisz się niczym przejmować. Są one domyślnie wyłączone.

Jednak problem może wystąpić, gdy zdecydujesz się na zakup nowego sprzętu (laptopa czy gotowego zestawu komputerowego) z Windowsem 11 albo postawisz system operacyjny na czysto. Microsoft zaleca swoim partnerom OEM, by funkcje bezpieczeństwa były domyślnie aktywowane. Warto w tym miejscu wspomnieć, że w dokumentacji na oficjalnej stronie Microsoftu widnieje zapis: niektóre urządzenia są szczególnie wrażliwe na wydajność (np. gamingowe PC) mogą mieć domyślnie wyłączone HVCI.

Oznacza to, że nie wszystkie urządzenia z systemem Windows 11 będą miały włączone funkcje bezpieczeństwa. Aktywacja ominie zapewne przede wszystkim sprzęt przeznaczony dla graczy. Na przykład MSI potwierdziło serwisowi Tom’s Hardware, że nie zamierza uruchamiać VBS w swoich systemach.

Co zrobić, gdy jednak okaże się, że zakupiony PC z Windowsem 11 będzie miał włączone funkcje bezpieczeństwa? Nie zachęcam do ich wyłączenia. To powinna być indywidualna decyzja każdego z Was. Zapewniają one dodatkową ochronę przed różnego rodzaju atakami i zagrożeniami. Nie bez powodu Microsoft rekomenduje swoim partnerom biznesowym, by je włączyć. Warto jednak mieć świadomość, z czym one się wiążą i jaki mogą mieć wpływ na wydajność.

Źródło: Tom’s Hardware, PC World, AMD, Microsoft

Zapoznaj się z innymi materiałami o Windowsie 11: