Zola Bridges di Google per il set di compilatori LLVM, una patch con implementazione della protezione SESES (Suppression of Speculative Execution Side Effects) che aiuta a bloccare gli attacchi al meccanismo di esecuzione speculativa della CPU Intel, simili a . Il metodo di protezione è implementato a livello di compilatore e si basa sull'aggiunta da parte del compilatore, durante la generazione del codice macchina, di istruzioni , che vengono inserite prima di ogni istruzione di lettura dalla memoria o di scrittura nella memoria, nonché prima della prima istruzione di salto in un gruppo di istruzioni che chiude un blocco.
L'istruzione LFENCE attende che tutte le operazioni di lettura dalla memoria precedenti siano completate e vieta l'esecuzione speculativa delle istruzioni successive a LFENCE, fino a quando il completamento non è avvenuto. L'uso di LFENCE porta a una significativa riduzione delle prestazioni, quindi si propone di applicare la protezione solo in casi estremi per codice particolarmente critico. Oltre alla protezione completa, la patch offre tre flag che consentono di disattivare selettivamente determinati livelli di protezione per ridurre il negativo impatto sulle prestazioni.
Nei test condotti, l'applicazione della protezione SESES per il pacchetto BoringSSL ha portato a una riduzione del numero di operazioni eseguite dalla libreria al secondo di 14 volte — le prestazioni della versione della libreria compilata con protezione si sono rivelate in media solo il 7,1% rispetto alle prestazioni della versione non protetta (variando a seconda del test dal 4% al 23%).
A titolo di confronto, in precedenza, per il GNU Assembler, il meccanismo che implementa la sostituzione di LFENCE dopo ogni operazione di caricamento dalla memoria e prima di alcune istruzioni di branching ha mostrato una riduzione delle prestazioni di circa 5 volte (22% rispetto al codice senza protezione). Questo metodo di protezione è stato e sviluppato dagli ingegneri Intel, ma i risultati dei test di prestazioni per esso non sono ancora stati pubblicati. Inizialmente, i ricercatori che hanno identificato l'attacco LVI avevano previsto una riduzione delle prestazioni con l'applicazione della protezione completa tra 2 e 19 volte.
Fonte: opennet.ru
