In Ubuntu wurde beschlossen, standardmäßig das Paket intel-compute-runtime bereitzustellen, das mit dem Flag NEO_DISABLE_MITIGATIONS erstellt wurde, welches den Schutz vor Angriffen der Spectre-Klasse deaktiviert. Nach Einschätzung der Entwickler von Ubuntu führt das Vorhandensein eines solchen Schutzes zu einer Verringerung der Leistung des Pakets um etwa 20 %.
Das Paket intel-compute-runtime enthält Komponenten, die für die Nutzung von OpenCL und OneAPI Level Zero auf Systemen mit Intel-GPU erforderlich sind. Bei der Erstellung der in dem Paket enthaltenen Bibliotheken führt das Setzen des Build-Flags NEO_DISABLE_MITIGATIONS zur Deaktivierung der Compiler-Optionen „-mretpoline -mindirect-branch=thunk -mfunction-return=thunk -mindirect-branch-register“, die zusätzlichen Schutz vor Spectre bieten. Diese Optionen haben keinen Einfluss auf die Leistung von OpenCL und GPU-Operationen, reduzieren jedoch den Overhead bei der Ausführung des Codes, der für die API verantwortlich ist.
Ingenieure, die für die Sicherheit bei Intel und Canonical verantwortlich sind, kamen in einer Diskussion zu dem Schluss, dass der Schutz vor Spectre, der auf der Ebene des Compute Runtime implementiert ist, nicht mehr notwendig ist, da der erforderliche Schutz bereits auf Kernel-Ebene vorhanden ist. Der im Compute Runtime vorhandene Schutz vor Spectre ist hauptsächlich für diejenigen von Interesse, die Kerne ohne angemessenen Schutz verwenden, und der Nutzen überwiegt nicht die beobachtete Verringerung der Leistung. Darüber hinaus werden die von Intel bereitgestellten Versionen des Intel Graphics Compute Runtime standardmäßig mit dem Flag NEO_DISABLE_MITIGATIONS erstellt, das den Schutz deaktiviert.
Quelle: opennet.ru
