您的位置:
主页 > 荟萃区域 >Meltdown 与 Spectre 的最新修补状况如何了?如何评量效能降低程度 >

Meltdown 与 Spectre 的最新修补状况如何了?如何评量效能降低程度

阅读593| 发布: 2018-01-23 15:16 | 点赞: 805

Meltdown 与 Spectre 的最新修补状况如何了?如何评量效能降低程度

自从 1 月 Google Project Zero 团队揭露 Intel CPU 的 Meltdown 缺陷,以及所有现代 CPU 都有的 Spectre 缺陷以后,影响面之广人人自危。由于是硬体缺陷,各大厂商也只能努力推出修补更新加以弥补。几个月过去了,相关资讯似乎不再常见,然而真的没问题了吗?解决方案都很理想吗?该如何精準评量效能的降低程度呢?

目前各系统的安全更新主要是从系统软体面去做处理,理论上会让程式有 2% 到 30% 不等的降速状况。那实际影响到底有多大?知名网路串流影片公司 Netflix 表示,针对 Meltdown 的 Linux 安全修补预估让串流效能降低了 0.1%~6% 之间,而这还只是做了 4 个 Meltdown patch 修补的其中之一而已。

Netflix 的经验与评估

布伦丹·格雷格(Brendan Gregg)是 Netflix 工程师,同时也是 dTrace 专家、硬碟领域知名人士,他制定了一个「微标竿」(microbenchmark)来评估针对 Meltdown CPU 设计缺陷的 Linux 核心分页表隔离(KPTI)修补,并提出精準可管理的执行效能下降预测,格雷格表示他的工作以下列 5 个因素来评估修补所产生的开销(overhead):

格雷格的结论是,在某些情况下,软体修补所增加的开销,高达 800%,但如果对系统做精细的调校,对效能的影响不至于让人那幺无法接受。Gregg 大幅降低修补带来的新程式码带给 Linux 的额外开销,Netflix 使用的是 AWS 基础设施 ,格雷格的结论是:基于系统呼叫率,KPTI 的开销在 0.1%到 6% 之间,他有自信把开销降到 2%。

他还考虑到他的雇主 Netflix 使用的 AWS 基础设施的影响,并得出结论「由于我们的系统调用率,KPTI 的开销在 0.1% 到 6% 之间,我预计我们会把它降低到低于 2% 调整」,这个成绩虽然不错,格雷格还没有估计进修补对 hypervisors 跟 microcode 对效能损失的影响。

使用 Linux 伺服器的业者(包含一般使用者)可以针对电脑的使用情境重编核心自行调整,降低修补所带来的效能下降问题,但对于广大一般 Windows、MacOS X 的电脑使用者而言,就没这幺幸运了,没有漏洞的 CPU 才是釜底抽薪的方案 。

Intel 提出分区系统的缓解修补

Intel 在这次的 CPU 漏洞风暴可以说是跌个满头包,不断被动的应付。终于在 3 月 15 日上午,Intel 宣布针对 Meltdown 和 Specter v2 漏洞,提出分区系统的硬体缓解(mitigations)修补,将会实做在 Xeon server/HEDT platform 下一代的 Cascade Lake,以及第 8 代酷睿(Core)处理器里。

要特别注意的是,Intel 在硬体做出来的改变只能缓解 Meltdown(Intel 称为「variant 3」)和 Specter v2,是透过新的分区系统减轻了漏洞,同时改善了行程(process)和特权级别(privilege-level)分离,类似「防护墙」的做法。

Intel 2018 的 Meltdown 与 Spectre 缓解计画如下:

很不幸的是 Spectre variant 1 目前还只能靠各软体开发人员来解决,而 Spectre 最被大家担心的其实一直都是 v1,整个产业的研究人员对 v1 还没有深度的理解,不知如何处理,好在 Specter v1 只能用于攻击同级的行程而无法攻击管理级的行程,也就是说骇客能透过程式穿透进一般使用者等级的程式与资料,而无法穿透进更安全的系统管理层级。

虽然是不全面的缓解,但有总比没有好。此外,Intel 已经针对过去 5 年发表的所有 CPU 产品提供 microcode 更新,甚至 Core 架构系列,第二代的 Sandy Bridge 以后都有提供,Intel 还计划继续处理最久达 2007 的 cpu 产品的 microcode 更新,包含第一代酷睿处理器(Nehalem / Gulftown / Westmere / Lynnfield / Clarksfield / Bloomfield / Arrandale / Clarkdale)和 45nm Core 2 处理器(Penryn / 的 Yorkfield / Wolfdale 处理器 / Hapertown) ,但是 65 奈米 Core 2(Conroe 等)不在内,然而最大的课题应该是:主机板业者愿不愿意提供採用旧 CPU 的机板 BIOS 更新?品牌电脑业者针对过保固的产品是否愿意提供更新呢?

毕竟是硬体有缺陷,总是要修补,但追根究底还是要改良硬体设计来彻底解决 Meltdown 与 Spectre 的漏洞。Intel 最终可能在 2018 末、2019 初发表的第九代酷睿处理器架构 Ice Lake,透过改变设计解决上述问题。在此之前,终端消费者还是要关注好自身的权益,请原购买产品的公司提出解决方案。

相关文章


菲律宾申博代理开户|热榜风暴|关于发明|网站地图 申博官网备用网址_申博7737 申博官网备用网址_申傅手机版下载