Инженерът на Google предложи софтуерна защита на процесорите от LVI атаки

Преди време стана известно за нова уязвимост в спекулативната архитектура на процесорите на Intel, която се нарича Инжектиране на стойност на натоварване (LVI). Intel има собствено мнение за опасностите от LVI и препоръки за смекчаването им. Ваша собствена версия на защита срещу подобни атаки Той предложи инженер в Google. Но сигурността идва с цената на средно 7% намаление на производителността на процесора.

По-рано отбелязахме, че опасността от LVI не се крие в специфичния механизъм, открит от изследователите, а в самия принцип на атаката на страничния канал на LVI, която беше показана за първи път. Така се отвори ново направление за заплахи, за които никой досега не подозираше (поне това не се обсъждаше в публичното пространство). Затова стойността на разработката на специалиста от Google Zola Bridges се крие във факта, че неговият пач смекчава опасността от дори неизвестни нови атаки, базирани на принципа LVI.

По-рано в GNU Project Assembler (GNU Асемблер) направени са промени, които намаляват риска от уязвимост на LVI. Тези промени се състоят в добавяне инструкции за бариера LFENCE, който установи строга последователност между достъпите до паметта преди и след бариерата. Тестването на корекцията върху един от процесорите от поколение Kaby Lake на Intel показа спад на производителността до 22%.

Разработчикът на Google предложи своята корекция с добавянето на инструкции LFENCE към комплекта компилатор LLVM и нарече защитата SESES (Speculative Execution Side Effect Suppression). Предложената от него опция за защита смекчава както LVI заплахи, така и други подобни, например Spectre V1/V4. Реализацията на SESES позволява на компилатора да добавя LFENCE инструкции на подходящи места по време на генериране на машинен код. Например, вмъкнете ги преди всяка инструкция за четене от паметта или запис в паметта.

Инструкциите LFENCE предотвратяват изпреварването на всички следващи инструкции, докато предишните четения на паметта не завършат. Очевидно това се отразява на производителността на процесорите. Изследователят установи, че средно защитата на SESES намалява скоростта на изпълнение на задачи с помощта на защитената библиотека със 7,1%. Намаляването на производителността варира от 4 до 23%. Първоначалната прогноза на изследователите беше по-песимистична, призовавайки за до 19-кратно намаляване на производителността.

Източник: 3dnews.ru