Windows 11 сама включила Memory Integrity: это может стоить до 10% FPS
После выхода свежего Patch Tuesday многие пользователи Windows 11, обновившиеся с Windows 10, могут обнаружить включённой функцию Memory Integrity. Ноябрьское обновление безопасности KB5132061 продолжает изменения из опционального превью от 28 октября (KB5127936), которое позволяет Windows автоматически активировать Memory Integrity — также известную как Hypervisor-Protected Code Integrity (HVCI) — на совместимых устройствах в процессе обновления. Microsoft объявила о планах ещё в сентябре, и изменение распространяется на Windows 11 версий 25H2 и 26H2 в рамках постепенного внедрения. Если пользователь или системный администратор ранее отключил эту функцию, она останется в прежнем состоянии.
Memory Integrity использует Virtualization-Based Security (VBS): проверка драйверов идёт в среде под управлением гипервизора, что мешает неавторизованным драйверам проникнуть в систему даже при компрометации ядра. Windows сначала проверяет готовность оборудования, драйверов и производительность, а затем активирует VBS на устройствах, где она отсутствует. Судя по всему, для работы Memory Integrity требуется процессор Intel 8-го поколения или AMD Zen 2 и новее.
Плата за это — производительность. Тестирование Tom's Hardware в 2023 году с Core i9-13900K и RTX 4090 показало среднее снижение FPS в играх примерно на 5%, а в отдельных случаях — до 10%. Microsoft ранее, в 2022 году (статья была впоследствии удалена), рекомендовала геймерам отключать Memory Integrity ради производительности, что выглядит странно на фоне обещания сделать Windows лучшей платформой для игр. При этом некоторые игры требуют включённой Memory Integrity: например, защита Riot Vanguard в режиме On-Demand требует и HVCI, и VBS.
Переключатель Memory Integrity находится в разделе «Безопасность Windows» → «Безопасность устройства» → «Подробные сведения об изолированном ядре». Пользователям, заметившим подёргивания или снижение FPS после обновления, стоит проверить его состояние в первую очередь. Отдельно стоит отметить, что KB5132061 содержит известную проблему: на некоторых компьютерах установка завершается ошибками 0x80070306, 0x800f0989 или 0x800f0993. Microsoft сообщает, что исправление применяется автоматически к затронутым устройствам через Windows Update.