Intel CPU的重大硬件安全bug "Meltdown",修复后会降低最多30%性能【更新】
首页 > 观测 > 数码科技    作者:剧毒术士马文   2018年1月4日 0:13 星期四   热度:7893°   59条评论    
时间:2018-1-4 0:13   热度:7893° 

本文地址:http://www.moepc.net/?post=4033


更新Windows上的Meltdown补丁检测方法

要修复这些漏洞还需配合BIOS微码更新。

这是微码更新后的完全体:




操作系统版本要求:

Windows 10 (RTM, 1511, 1607, 1703, 1709)
Windows 8.1
Windows 7 SP1


安装2018年1月3日的安全更新


然后运行PowerShell

安装PowerShell模块的代码

PS > Install-Module SpeculationControl


运行PowerShell模块,验证保护是否启用

PS > Get-SpeculationControlSettings


会显示如下代码:

PS C:\> Get-SpeculationControlSettings

Speculation control settings for CVE-2017-5715 [branch target injection]

Hardware support for branch target injection mitigation is present: True

Windows OS support for branch target injection mitigation is present: True

Windows OS support for branch target injection mitigation is enabled: True

Speculation control settings for CVE-2017-5754 [rogue data cache load]

Hardware requires kernel VA shadowing: True

Windows OS support for kernel VA shadow is present: True

Windows OS support for kernel VA shadow is enabled: True

Windows OS support for PCID optimization is enabled: True


是True的就代表开启了。完全修复需要全部为Ture,AMD处理器不需要修复Meltdown [CVE-2017-5754,rogue data cache load]


AMD处理器不受Meltdown影响,因此VA shadowing为False

img002.png



Intel处理器受Meltdown影响,因此需要VA Shadowing

img001.png


这只是Windows补丁的检测方法。Windows补丁对性能影响并不大。Windows补丁+BIOS微码更新都生效的时候,才会有比较明显的影响。


=====早前的内容 2018/01/03========


正在流传关于Intel CPU重大硬件bug的消息,该bug【现在还处于保密状态】导致的安全问题直接影响到Amazon、Google等巨型云服务商,能够直接对同一台主机内的其他虚拟机进行读写操作


img001.jpg


QQ截图20180102223309.png


相应的补救措施正在进行中,据称修复后对硬件性能会带来最高30-35%的负面影响。


更新去年11月的一则补丁信息:通常会有个位数的性能影响,平均5%;但最差的情况下性能会降低30%,比如有大量syscall(系统调用) 和context switch(上下文切换) 的环回网络测试


Phoronix的最新测试表明个别极端情况下会超过50%。


img002.jpg


更新Phoronix对Linux补丁的性能测试,I/O,SQL等测试性能下降明显,部分项目超过50%。

这是Phoronix今年1月3日在Linux 4.15的测试。


QQ截图20180103132434.png

QQ截图20180103132441.png

QQ截图20180103132448.png

本文地址:http://www.moepc.net/?post=4033

QQ截图20180103132454.png

QQ截图20180103132521.png

QQ截图20180103132529.png


x264等基本只活动于用户空间的程序则基本不变


QQ截图20180103132501.png

QQ截图20180103132507.png

QQ截图20180103132512.png

本文地址:http://www.moepc.net/?post=4033


Linux游戏性能没有变化


QQ截图20180103132538.png

QQ截图20180103132545.png

QQ截图20180103132552.png

QQ截图20180103132559.png


Epicgames称Fortnite的后端服务之一打了Meltdown补丁后导致登录问题和服务不稳定
主机负载情况如下

QQ截图20180106201328.png


Elasticache Sauce服务器

img003.jpg


 AWS EC2 Sauce

img001.jpg


EVE Online服务器

img002.jpg


img004.png


不影响.jpg?】





Page Table Isolation (PTI)正被被迅速引入Linux4.15内核标准,还被移植回了4.14。大量内核改动被放进KAISER 系列补丁,首次发布是在10月。



QQ截图20180102223657.png


点击查看原图

本文地址:http://www.moepc.net/?post=4033

QQ截图20180102231514.png





概念很简单,当进程在用户空间中运行时,通过尽量不在进程页表中映射Linux内核,阻止试图从非特权用户空间的代码对内核虚拟地址范围进行的识别。


抽象来讲,当用户代码在CPU中运行时,会移除内存管理硬件中内核地址空间的所有信息。


该代码已经涉及到了内核的基础 - 核心部分,而且补丁的优先级非常高,十万火急



QQ截图20180102224004.png



通常Linux内存管理的补丁,在整合前很久就会发布首个reference,然后经历无数轮测试、退回、测试、退回的轮回。


而KAISER(现在称KPTI)在3个月内就完成了整合。


那行X86_CPU_BUG_INSECURE的flag已经足够明显...附带“CPU不安全,需要PTI”的注释



微软从去年11月也开始进行类似功能 - ASLR/VA Isolation的开发,Windows 10 Fast Ring的用户应该很快会收到补丁。


img001.png

QQ截图20180102223348.png



PTI是给Intel CPU准备的,为的就是解决Intel CPU硬件bug导致的安全问题。PTI影响到虚拟内存等核心功能,因此在某些情况下会带来极大的性能损失:i7-6700【Skylake-S】降低29%性能;i7-3770S【IvyBridge-S】会损失34%性能。受影响的是所有乱序执行的 Intel处理器,免于其难的只有Itanium和顺序执行的Atom - Saltwell和Bonnell。


AMD Linux内核/软件工程师 Thomas Lendacky称AMD CPU由于架构上并不允许memory references,并不受这类bug的影响,也无需开启PTI


QQ截图20180102231346.png


【0104更新:AMD提交的PATCH已经整合进Linux 4.14.12和4.15.RC7,不必担心和Intel一起性能受损失了。


- /* Assume for now that ALL x86 CPUs are insecure */
- setup_force_cpu_bug(X86_BUG_CPU_INSECURE);
+ if (c->x86_vendor != X86_VENDOR_AMD)
+ setup_force_cpu_bug(X86_BUG_CPU_INSECURE);

如果CPU不是AMD的,就会强制开启PTI。】


img003.jpg



本文地址:http://www.moepc.net/?post=4033

via:https://www.reddit.com/r/sysadmin/comments/7nl8r0/intel_bug_incoming/?st=jbxs4ws8&sh=9ece41ac

更新:Phoronix

https://www.phoronix.com/scan.php?page=article&item=linux-415-x86pt

MOEPC.NET编译,转载请保留出处。

二维码加载中...
本文作者:剧毒术士马文      文章标题: Intel CPU的重大硬件安全bug "Meltdown",修复后会降低最多30%性能【更新】
本文地址:http://mykancolle.com/?post=4033
声明:若无注明,本文皆为“MoePC”原创,转载请保留文章出处。

WRITTEN BY

avatar
二之宫同学Google Chrome 57.0.2987.108Linux2018-01-03 17:12
卧槽这从很多年前就有bug居然到现在才爆出来。
appleacheGoogle Chrome 63.0.3239.111Linux2018-01-03 17:02
epic大卖233
剧毒术士马文Safari 6531.22.7Iphone 4_0 like Mac OS X2018-01-04 00:50
@appleache:已经卖了不少。
今年还有更多大单
康猩猩SouGou Browser 2.XWindows 102018-01-04 02:26
@appleache:是EPYC
ALANOpera 49.0.2725.64Windows 102018-01-03 16:18
一夜回到解放前。
nyanyanGoogle Chrome 63.0.3239.108Windows 102018-01-03 15:59
intel一口气把挤了好多年的牙膏都嘬回去了。
熊猫Safari 7534.48.3Iphone 5_0 like Mac OS X2018-01-03 15:36
内核级后门
轮子妈Google Chrome 62.0.3202.94Windows 102018-01-03 13:19
农企:当年羿龙阉过的TLB,现在牙膏厂全家都要阉
剧毒术士马文Safari 6531.22.7Iphone 4_0 like Mac OS X2018-01-03 13:55
@轮子妈:软件yange
这还不是TLB BUG那种微码补丁能解决的事,系统内核都要改
我土鳖我自豪Firefox 57.0Windows 102018-01-03 18:23
@剧毒术士马文:微码什么的系统更新一下就OK,这种bug不重新设计CPU的某些部分是修不好的
1311abcd11Google Chrome 58.0.3029.110Windows 102018-01-03 11:01
充满惊喜23333
剧毒术士马文Safari 6531.22.7Iphone 4_0 like Mac OS X2018-01-03 11:44
@1311abcd11:爆炸性的惊喜
我土鳖我自豪Firefox 57.0Windows 102018-01-03 10:50
应该说AMD架构并不是不允许memory reference,而是不允许代码在以低权限运行时reference高权限的memory吧
剧毒术士马文Safari 6531.22.7Iphone 4_0 like Mac OS X2018-01-03 11:42
@我土鳖我自豪:是这个意思
主要是那个speculative reference
我土鳖我自豪Firefox 57.0Windows 102018-01-03 18:12
@剧毒术士马文:按照那个补丁附带的说明,工程师应该指的是所有memory reference都不能越权
剧毒术士马文Google Chrome 63.0.3239.108Windows 102018-01-03 19:03
@我土鳖我自豪:微架构上不允许
Does not allow memory references 指所有的
包括这次的主要原因speculative references
ayuGoogle Chrome 57.0.2987.108Linux2018-01-03 10:10
马文,Haswell受不受此类Bug影响?
剧毒术士马文Safari 6531.22.7Iphone 4_0 like Mac OS X2018-01-03 11:41
@ayu:当然
233333Google Chrome 43.0.2357.134Linux2018-01-03 09:33
可啪
wangbaisen1990Google Chrome 57.0.2987.108Linux2018-01-03 08:46
不降低性能不安全
降低性能过于离谱
简直是给amd大开方便之门
剧毒术士马文Safari 6531.22.7Iphone 4_0 like Mac OS X2018-01-03 11:44
@wangbaisen1990:看情况
测试显示性能影响在5-35%之间
有的应用影响很小
有的能超过50%

影响最大的还是谷歌M$亚马逊这种…
wangbaisen1990Google Chrome 57.0.2987.108Linux2018-01-03 11:56
@剧毒术士马文:我记得很多反作弊和反破解也要用虚拟你吧
还有各种跑建模的 跑分子模型的……
这就尴尬了
kasuganoGoogle Chrome 57.0.2987.108Linux2018-01-03 04:18
流年不利

返回顶部    首页     管理   注册   
版权声明       pw:mykancolle.com或moepc.net (有时需加www.) 若被菊爆请留言补档
内容来源于网络,并不代表本站赞同其观点和对其真实性负责。
如涉及作品内容、版权和其它问题,请在30日内与本站联系,我们将在第一时间删除内容。
本站资源仅为个人学习测试使用,请在下载后24小时内删除,不得用于商业用途,否则后果自负,请支持正版!
illust:Atha/an2a Foreign visitors, GoogleTranslate will help   sitemap