In Ubuntu is besloten om standaard over te schakelen op het leveren van het pakket intel-compute-runtime, samengesteld met de vlag NEO_DISABLE_MITIGATIONS, die de bescherming tegen Spectre-aanvallen uitschakelt. Volgens de ontwikkelaars van Ubuntu leidt de aanwezigheid van dergelijke bescherming tot een verlaging van de prestaties van het pakket met ongeveer 20%.
Het pakket intel-compute-runtime omvat de componenten die nodig zijn voor het gebruik van OpenCL en OneAPI Level Zero op systemen met Intel GPU's. Bij het samenstellen van de in het pakket geleverde bibliotheken zorgt de samenstellingsvlag NEO_DISABLE_MITIGATIONS ervoor dat de compileropties ‘-mretpoline -mindirect-branch=thunk -mfunction-return=thunk -mindirect-branch-register’ worden uitgeschakeld, die extra bescherming tegen Spectre bieden. Deze opties hebben geen invloed op de prestaties van OpenCL en GPU-bewerkingen, maar verminderen de overhead bij het uitvoeren van de code die verantwoordelijk is voor de werking van de API.
Ingenieurs die verantwoordelijk zijn voor de veiligheid bij Intel en Canonical kwamen tijdens hun overleg tot de conclusie dat de bescherming tegen Spectre, geïmplementeerd op het niveau van Compute Runtime, niet langer nodig is, aangezien de benodigde bescherming al op kernniveau aanwezig is. De bescherming tegen Spectre in Compute Runtime is vooral van belang voor degenen die kernels zonder adequate bescherming gebruiken, en de voordelen ervan wegen niet op tegen de waarneembare verlaging van de prestaties. Bovendien worden de door Intel geleverde versies van Intel Graphics Compute Runtime standaard samengesteld met de vlag NEO_DISABLE_MITIGATIONS, die de bescherming uitschakelt.
Bron: opennet.ru
