In Ubuntu wurde beschlossen, standardmäßig das Paket intel-compute-runtime mit der Flagge NEO_DISABLE_MITIGATIONS zu liefern, das den Schutz vor Spectre-Angriffen deaktiviert. Laut den Schätzungen der Ubuntu-Entwickler führt der Schutz zu einem Leistungsrückgang des Pakets von etwa 20 %.
Das Paket intel-compute-runtime enthält die erforderlichen Komponenten für die Nutzung von OpenCL und OneAPI Level Zero auf Systemen mit Intel-GPU. Beim Zusammenstellen der im Paket enthaltenen Bibliotheken bewirkt das Setzen der Flagge NEO_DISABLE_MITIGATIONS, dass im Compiler die Optionen „-mretpoline -mindirect-branch=thunk -mfunction-return=thunk -mindirect-branch-register“, die zusätzlichen Schutz vor Spectre bieten, deaktiviert werden. Diese Optionen haben keinen Einfluss auf die Leistung von OpenCL und GPU-seitigen Operationen, reduzieren jedoch die Overheadkosten bei der Ausführung des Codes, der für das API verantwortlich ist.
Die Sicherheitsingenieure von Intel und Canonical sind zu dem Schluss gekommen, dass der Schutz gegen Spectre, der auf der Ebene des Compute Runtime implementiert ist, nicht mehr erforderlich ist, da der notwendige Schutz bereits auf der Kernel-Ebene vorhanden ist. Der Schutz gegen Spectre in Compute Runtime ist hauptsächlich für diejenigen von Interesse, die Kerne ohne angemessenen Schutz verwenden, und der Nutzen überwiegt nicht die beobachtete Verringerung der Leistung. Darüber hinaus werden die von Intel bereitgestellten Versionen des Intel Graphics Compute Runtime standardmäßig mit dem Flag NEO_DISABLE_MITIGATIONS kompiliert, das den Schutz deaktiviert.
Quelle: opennet.ru
