Софтуерът за защита LVI на Google показа 14-кратно увеличение на производителността

Zola Bridges от Google Той предложи за набора компилатор LLVM, корекция с внедряване на защита SESES (Speculative Execution Side Effect Suppression), която помага за блокиране на атаки срещу механизма за спекулативно изпълнение в процесорите на Intel, като напр. ОВК. Методът на защита се прилага на ниво компилатор и се основава на добавяне от компилатора при генериране на машинен код на инструкции ОГРАДА, които се заместват преди всяка инструкция за четене от паметта или запис в паметта, а също и преди първата инструкция за разклоняване в групата инструкции, която завършва блока.

Инструкцията LFENCE изчаква всички предишни четения на паметта да бъдат ангажирани и предотвратява превантивното изпълнение на последващи инструкции след LFENCE, преди ангажиментът да приключи. Използването на LFENCE води до значително намаляване на производителността, така че се предлага да се използва защита в екстремни случаи за особено критичен код. В допълнение към пълната защита, корекцията предлага три флага, които ви позволяват избирателно да деактивирате определени нива на защита, за да намалите отрицателното въздействие върху производителността.

В проведените тестове използването на защита SESES за пакета BoringSSL доведе до намаляване на броя операции, извършвани от библиотеката в секунда с 14 пъти - производителността на версията на библиотеката, компилирана със защита, се оказа само 7.1% на средно от показателите на незащитената версия (диапазонът в зависимост от теста е от 4% до 23%).

За сравнение, предложено по-рано за GNU Assembler, механизмът, който извършва LFENCE заместване след всяка операция за зареждане на паметта и преди някои инструкции за разклоняване, показа намаление на производителността от около 5 пъти (22% от кода без защита). метод на защита също предложено и изпълнени от инженери на Intel, но резултатите от тестовете за производителност за него все още не са публикувани. Първоначално изследователите, които идентифицираха LVI атаката, прогнозираха 2- до 19-кратно намаляване на производителността при прилагане на пълна защита.

Източник: opennet.ru