Vzhledem k tomu, že počet režimů podporovaných v jádře Linux pro ochranu proti zranitelnostem v CPU dosáhl 15 a vyjmenování všech zranitelností v příkazovém řádku jádra se stalo poměrně složitým úkolem, navrhl vývojář jádra z firmy AMD přejít od nastavení blokování konkrétních zranitelností k výběru blokování vektorů útoků.
Metody blokování se navrhují aktivovat v závislosti na druhu porušení izolace: mezi uživatelem a jádrem (mitigate_user_kernel), mezi uživateli (mitigate_user_user), mezi hostitelským prostředím a hostovaným systémem (mitigate_guest_host), mezi různými hostovanými systémy (mitigate_guest_guest) a mezi různými vlákny (mitigate_cross_thread).
Navrhovaný přístup umožní aktivovat ochranu pouze proti těm třídám zranitelností, které uživatele skutečně zajímají. Například vlastníci cloudových prostředí mohou aktivovat režimy mitigate_guest_host a mitigate_guest_guest, po čemž budou aktivovány metody ochrany proti zranitelnostem BHI, GD, L1TF, MDS, MMIO, Retbleed, RFDS, Spectre_v2, SRBDS, SRSO a TAA. =============== ============== ============ ============= ============== ============ Zranitelnost Uživatel-k-jádru Uživatel-k-uživateli Host-k-hostované Host-k-hostovanému Mezi vlákny =============== ============== ============ ============= ============== ============ BHI X X GDS X X X X L1TF X X MDS X X X X X MMIO X X X X X Meltdown X Retbleed X X X RFDS X X X X Spectre_v1 X Spectre_v2 X X Spectre_v2_user X X SRBDS X X X X SRSO X X SSB TAA X X X X X
Zdroj: opennet.ru
