Кое-какеры из Intel заставят Линуса работать по-стахановски

4 февраля 2018 года

Комбинация логотипов Intel и уязвимости Spectre

Сейчас в операционных системах один набор страниц для каждого процесса. В KPTI (Kernel page-table isolation) будет два набора. Во-первых, в режиме ядра набор страниц будет включать страницы и пространства ядра, и пространства пользователя. Во-вторых, в режиме пользователя набор страниц будет включать копию страниц пространства пользователя и минимальный набор обработчиков вызовов и прерываний из пространства ядра.

В начале января 2018 года стало широко известно, что в процессорах Intel обнаружили уязвимости. Инженеры Intel попытались их исправить, но с патчами стало ещё хуже. Линус в гневе, поскольку ошибки Intel делают уязвимым для хакеров его детище Linux и другие операционные системы.

Ещё семь месяцев назад была обнаружена уязвимость процессоров Intel. Оказалось, что все устройства с процессорами Intel, выпущенные за последние 10 лет и работающие под управлением ОС Windows, Linux и 64-битной macOS, имеют дыру в безопасности и могут быть взломаны. Первый публичный отчёт об уязвимости был обнародован только 3 января. В этом отчёте рекомендовалось выбросить старый процессор и поставить новый, что привело к панике среди менеджеров в сфере IT.

Это крупнейшая множественная уязвимость, с которой мы когда-либо имели дело... С уязвимостью таких масштабов невозможно выйти сухим из воды так, чтобы все остались довольны. /Главный аналитик уязвимостей Уил Дорман, CERT (центр по решениям проблем безопасности в Интернете). Источник./ Оригинальный текст(англ.) This happens to be the largest multi-party vulnerability we’ve ever been part of... With a vulnerability of this magnitude, there’s no way that it’s going to come out cleanly and everyone’s going to happy. /Source./

Потом в Intel подумали ещё и решили, что нет, не нужно выкидывать все компьютеры с Intel, и выпустили патчи для исправления уязвимости.

Вскоре посыпались сообщения о потере производительности при установке патчей вплоть до 30%, вследствие чего компании пришлось провести исследование эффективности патчей. 22 января корпорация Intel порекомендовала счастливым обладателям линуксовых серверов с процессорами Intel не ставить этих обновлений и подождать действенного патча.

Линус Торвальдс (основатель Linux) высказался о патчах как о полнейшем мусоре.

Если Intel решит выдать бесплатный процессор каждому, кто покупал их за последние 20 лет, то это будет не такой бред (как то, что сейчас делает Intel). /Линус Торвальдс, источник./ Оригинальный текст(англ.) If the alternative was a two-decade product recall and giving everyone free CPUs, I'm not sure it was entirely insane.

Суть проблемы в том, что вредоносный код, запущенный на том же процессоре, что и другие программы, может вмешиваться в их работу, в работу ядра или гипервизора. Для решения проблемы нужно добавить ещё одно слагаемое при вычислении виртуального адреса ячейки, это можно сделать с помощью фишки ядра Linux с длинным название Kernel page-table isolation (KPTI). KPTI планировалось добавить в ядро Linux в начале 2018 года.

KPTI позволит закрыть дыру Meltdown, но остаётся под вопросом уязвимость Spectre.

Источники

• Russell Brandom (перевод SLY_G) «Как ошибку Spectre, способную сломать индустрию, держали в тайне семь месяцев». , 18 января 2018 года. (архив)
• Dor Laor «How to Minimize the Meltdown Patch Performance Penalty». thenewstack.io, 2 февраля 2018 года. (архив)

Статья «Кое-какеры из Intel заставят Линуса работать по-стахановски» создана участником Mary Kornysheva в рамках заданий по созданию и улучшению статей в проектах Викимедия на научную тему для получения допуска к зачёту/экзамену по предмету «Интернет-математика» в ПетрГУ (преподаватель: Andrew Krizhanovsky).