תוכנת ההגנה על LVI של גוגל הראתה להיט ביצועים פי 14

זולה ברידג'ס מגוגל מוצע עבור ערכת המהדר LLVM, תיקון עם הטמעת הגנת SESES (Speculative Execution Side Effect Suppression), המסייעת לחסום התקפות על מנגנון הביצוע הספקולטיבי במעבדי אינטל, כגון LVI. שיטת ההגנה מיושמת ברמת המהדר ומבוססת על הוספת הוראות על ידי המהדר בעת הפקת קוד מכונה LFENCE, המוכנסים לפני כל הוראת קריאה או כתיבה בזיכרון, וכן לפני הוראת הענף הראשונה בקבוצת ההוראות שמסיימת את הבלוק.

הוראת LFENCE ממתינה עד שכל קריאות הזיכרון הקודמות יתבצעו ומשביתה את ההקדמה של הוראות עוקבות לאחר LFENCE עד להשלמת הביצוע. השימוש ב-LFENCE מוביל לירידה משמעותית בביצועים, ולכן מוצע להשתמש בהגנה במקרים קיצוניים עבור קוד קריטי במיוחד. בנוסף להגנה מלאה, התיקון מציע שלושה דגלים המאפשרים לך להשבית באופן סלקטיבי רמות מסוימות של הגנה כדי להפחית את ההשפעה השלילית על הביצועים.

בבדיקות שנערכו, השימוש בהגנת SESES עבור חבילת BoringSSL הוביל להפחתה של מספר הפעולות בשנייה שבוצעה על ידי הספרייה פי 14 - ביצועי הגרסה המוגנת של הספרייה היו בממוצע רק 7.1% מ- גרסה לא מוגנת (שינוי בהתאם לבדיקה מ-4% ל-23%).

לשם השוואה, מוּצָע בעבר, עבור GNU Assembler, מנגנון שמבצע החלפת LFENCE לאחר כל פעולת טעינת זיכרון ולפני כמה הוראות סניף הראה ירידה בביצועים של בערך פי 5 (22% מהקוד ללא הגנה). שיטת ההגנה היא גם מוּצָע и מוטמע על ידי מהנדסי אינטל, אך תוצאות בדיקות הביצועים עבורו טרם פורסמו. בתחילה, החוקרים שזיהו את מתקפת ה-LVI חזו ירידה של פי 2 עד פי 19 בביצועים בעת החלת הגנה מלאה.

מקור: OpenNet.ru