La protezione software proposta da Google contro l'attacco LVI ha mostrato una riduzione delle prestazioni di 14 volte.

Zola Bridges di Google ha proposto per il set di compilatori LLVM, una patch con l'implementazione della protezione SESES (Speculative Execution Side Effect Suppression), che aiuta a bloccare attacchi al meccanismo di esecuzione spekulativa nella CPU Intel, simili a LVI. Il metodo di protezione è implementato a livello di compilatore e si basa sull'aggiunta di istruzioni da parte del compilatore durante la generazione del codice macchina LFENCE, che vengono inserite prima di ogni istruzione di lettura dalla memoria o scrittura in memoria, così come prima della prima istruzione di ramificazione in un gruppo di istruzioni che termina un blocco.

L'istruzione LFENCE attende il completamento di tutte le precedenti operazioni di lettura dalla memoria e impedisce l'esecuzione anticipata delle istruzioni successive a LFENCE, fino a quando il completamento non è avvenuto. L'uso di LFENCE porta a una significativa diminuzione delle prestazioni, pertanto si propone di applicare la protezione solo in casi estremi per codice particolarmente critico. Oltre alla protezione completa, la patch offre tre flag che consentono di disabilitare selettivamente determinati livelli di protezione per ridurre l'impatto negativo sulle prestazioni.

Nei test condotti, l'uso della protezione SESES per il pacchetto BoringSSL ha portato a una riduzione del numero di operazioni eseguite dalla libreria al secondo di 14 volte: le prestazioni della versione della libreria compilata con protezione si sono rivelate in media solo il 7,1% rispetto alle performance della versione non protetta (variazioni in base al test tra il 4% e il 23%).

A titolo di confronto, proposto in precedenza per il GNU Assembler, il meccanismo che esegue la sostituzione di LFENCE dopo ogni operazione di caricamento dalla memoria e prima di alcune istruzioni di ramificazione ha mostrato una diminuzione delle prestazioni di circa 5 volte (22% rispetto al codice non protetto). Anche il metodo di protezione è stato proposto e è stato implementato è stato sviluppato da ingegneri Intel, ma i risultati dei test sulle prestazioni per esso non sono ancora stati pubblicati. Inizialmente, i ricercatori che hanno identificato l'attacco LVI, prevedevano una diminuzione delle prestazioni con l'applicazione della protezione completa di tra 2 e 19 volte.

Fonte: opennet.ru