Google 엔지니어는 LVI 공격으로부터 프로세서의 소프트웨어 보호를 제안했습니다.

얼마 전 Intel 프로세서의 추측 아키텍처에 새로운 취약점이 있다는 사실이 알려졌습니다. 부하 가치 주입 (LVI). 인텔은 LVI의 위험성과 이를 완화하기 위한 권장 사항에 대한 자체 의견을 가지고 있습니다. 이러한 공격에 대한 자체 보호 버전 предложил Google의 엔지니어. 그러나 프로세서 성능을 평균 7% 감소시켜 보안에 대한 비용을 지불해야 합니다.

앞서 우리는 LVI의 위험성이 연구진이 발견한 특정 메커니즘에 있는 것이 아니라 처음으로 공개된 LVI 사이드 채널 공격의 원리에 있다는 점을 지적했습니다. 따라서 이전에 누구도 의심하지 않았던 위협에 대한 새로운 방향이 열렸습니다(적어도 공공 장소에서는 논의되지 않았습니다). 따라서 Google 전문가 Zola Bridges 개발의 가치는 그의 패치가 LVI 원칙을 기반으로 알려지지 않은 새로운 공격의 위험을 완화한다는 사실에 있습니다.

이전에는 GNU 프로젝트 어셈블러(GNU 어셈블러) LVI 취약점의 위험을 줄이는 변경이 이루어졌습니다. 이러한 변경 사항은 장벽 지침 LFENCE는 장벽 전후의 메모리 액세스 간에 엄격한 순서를 설정했습니다. Intel의 Kaby Lake 세대 프로세서 중 하나에서 패치를 테스트한 결과 성능이 최대 22% 감소한 것으로 나타났습니다.

Google 개발자는 LLVM 컴파일러 세트에 LFENCE 명령을 추가하여 패치를 제안하고 보호 기능을 SESES(Speculative Execution Side Effect Suppression)라고 불렀습니다. 그가 제안한 보호 옵션은 LVI 위협과 Spectre V1/V4와 같은 기타 유사한 위협을 모두 완화합니다. SESES 구현을 통해 컴파일러는 기계 코드 생성 중에 적절한 위치에 LFENCE 명령을 추가할 수 있습니다. 예를 들어, 메모리에서 읽거나 메모리에 쓰는 경우 각 명령 앞에 삽입합니다.

LFENCE 명령어는 이전 메모리 읽기가 완료될 때까지 모든 후속 명령어의 선점을 방지합니다. 분명히 이는 프로세서의 성능에 영향을 미칩니다. 연구원은 SESES 보호가 보호된 라이브러리를 사용하여 작업 완료 속도를 평균 7,1% 감소시키는 것을 발견했습니다. 이 경우 생산성 감소 범위는 4~23%였습니다. 연구원들의 초기 예측은 더 비관적이어서 성능이 최대 19배 감소할 것으로 예상되었습니다.

출처 : 3dnews.ru