Линус Торвалдс жестоко разкритикува новите пачове на Intel
Intel предложи включване на серия пачове в Linux ядрото за блокиране на втория вид на уязвимостта Spectre (CVE-2017-5715). Intel предлага новите допълнения като опция на допълненията retpoline. Но решението на Intel спрямо retpoline мощно забавя бързодействието на компютрите с по-стари процесори, а производителят даде обещание, че в бъдещите процесори това закъснение ще е минимално.
Пачовете на Intel трансформират микрокода на процесора и и прибавят новата функционалност IBRS (Indirect Branch Restricted Speculation) , даваща опция за позволение или възбрана на спекулативното осъществяване на инструкциите. В новия пач, IBRS се употребява за адаптивно включване/изключване на спекулативното извършаване на косвени преходи по време на обработка на спиранията, систематичните извиквания и при превключване подтекста на процесите във виртуалните машини.
Линус Торвалдс изключително доста се афектира от предлагането пачът на Intel да бъде включен в Linux ядрото и го назова „ цялостен и безспорен отпадък “ (complete and utter garbage). Торвалдс акцентира, че употребяваният метод е доста по-лош и от най-мръсния хак . Появата на IBRS демонстрира, че Intel въобще не търси грамотно решение на казуса със спекулативното осъществяване на косвените преходи. Торвалдс зави, че Intel просто основава видимост, че прави нещо, с цел да избегне появяването на правосъдни искове. По всичко проличава, че и самата Intel не приема съществено режимът на отбрана IBRS_ALL, тъй като отрицателното въздействие върху продуктивността е толкоз високо, че по дифолт той е изключен, с цел да не се скапват резултатите при другите проби.
В същото време, идващият понеделник, в новото ядро Linux 4.15 ще бъдат включени най-новите разработки по отношение на блокирането на Meltdown и Spectre. За елиминирането на Meltdown (CVE-2017-5754) в компютри с х86 процесори (в процесорите на AMD няма сходен проблем) е добавена технологията PTI (Page Table Isolation) , разделяща таблиците на страниците на паметта на ядрото и адресното пространство на потребителя, по време на редовно извикване. Защитата от Meltdown за PowerPC процесорите се обезпечава посредством осъществяването на инструкцията RFI (Return from Interrupt) за нулиране на L1-D кеша.
За блокирането на втория вид на Spectre (CVE-2017-5715) е прибавен механизмът retpoline , при който се употребява специфична поредност от указания, изключваща потреблението на спекулативни косвени преходи. Решението за първия вид на Spectre (CVE-2017-5753) и кодът за блокирането на Meltdown в ARM процесорите, е отсрочено за Linux Kernel 4.16.
Всички разновидности на отбраните против хардуерните уязвимости водят до известно закъснение на системата и са планувани варианти за тяхното изключване за системи, където рискът от сходни офанзиви е най-малък – да вземем за пример компютри със единствено един консуматор.
За изключването на PTI по вреmе на зареждането на ядрото, може да се употребява опцията pti=off, а за изключване на retpoline – опцията spectre_v2=off.
Допълнение : Intel заяви, че е намерила повода за непрекъснатото рестартиране на системите с процесори Broadwell и Haswell след инсталирането на новия микрокод. Сега е квалифициран нов вид на актуализирания микрокод, който се тества измежду OEM производителите. След приключването на тестванията, пачът на предходното възобновяване ще бъде оповестен. Дотогава не се предлага инсталирането на излязлото преди седмица възобновяване на микрокода.
Пачовете на Intel трансформират микрокода на процесора и и прибавят новата функционалност IBRS (Indirect Branch Restricted Speculation) , даваща опция за позволение или възбрана на спекулативното осъществяване на инструкциите. В новия пач, IBRS се употребява за адаптивно включване/изключване на спекулативното извършаване на косвени преходи по време на обработка на спиранията, систематичните извиквания и при превключване подтекста на процесите във виртуалните машини.
Линус Торвалдс изключително доста се афектира от предлагането пачът на Intel да бъде включен в Linux ядрото и го назова „ цялостен и безспорен отпадък “ (complete and utter garbage). Торвалдс акцентира, че употребяваният метод е доста по-лош и от най-мръсния хак . Появата на IBRS демонстрира, че Intel въобще не търси грамотно решение на казуса със спекулативното осъществяване на косвените преходи. Торвалдс зави, че Intel просто основава видимост, че прави нещо, с цел да избегне появяването на правосъдни искове. По всичко проличава, че и самата Intel не приема съществено режимът на отбрана IBRS_ALL, тъй като отрицателното въздействие върху продуктивността е толкоз високо, че по дифолт той е изключен, с цел да не се скапват резултатите при другите проби.
В същото време, идващият понеделник, в новото ядро Linux 4.15 ще бъдат включени най-новите разработки по отношение на блокирането на Meltdown и Spectre. За елиминирането на Meltdown (CVE-2017-5754) в компютри с х86 процесори (в процесорите на AMD няма сходен проблем) е добавена технологията PTI (Page Table Isolation) , разделяща таблиците на страниците на паметта на ядрото и адресното пространство на потребителя, по време на редовно извикване. Защитата от Meltdown за PowerPC процесорите се обезпечава посредством осъществяването на инструкцията RFI (Return from Interrupt) за нулиране на L1-D кеша.
За блокирането на втория вид на Spectre (CVE-2017-5715) е прибавен механизмът retpoline , при който се употребява специфична поредност от указания, изключваща потреблението на спекулативни косвени преходи. Решението за първия вид на Spectre (CVE-2017-5753) и кодът за блокирането на Meltdown в ARM процесорите, е отсрочено за Linux Kernel 4.16.
Всички разновидности на отбраните против хардуерните уязвимости водят до известно закъснение на системата и са планувани варианти за тяхното изключване за системи, където рискът от сходни офанзиви е най-малък – да вземем за пример компютри със единствено един консуматор.
За изключването на PTI по вреmе на зареждането на ядрото, може да се употребява опцията pti=off, а за изключване на retpoline – опцията spectre_v2=off.
Допълнение : Intel заяви, че е намерила повода за непрекъснатото рестартиране на системите с процесори Broadwell и Haswell след инсталирането на новия микрокод. Сега е квалифициран нов вид на актуализирания микрокод, който се тества измежду OEM производителите. След приключването на тестванията, пачът на предходното възобновяване ще бъде оповестен. Дотогава не се предлага инсталирането на излязлото преди седмица възобновяване на микрокода.
Източник: kaldata.com
КОМЕНТАРИ