Eftersom antalet stödda lägen i Linux-kärnan för att motverka sårbarheter i CPU har nått 15 och uppräkning av alla sårbarheter i kärnans kommandorad har blivit en ganska komplicerad uppgift, föreslog en kärnutvecklare från AMD att övergå från att ställa in blockering av specifika sårbarheter till att välja blockering av attackvektorer.
Blockeringsmetoder föreslås aktiveras beroende på typen av isoleringsbrott: mellan användaren och kärnan (mitigate_user_kernel), mellan användaren och en annan användare (mitigate_user_user), mellan gästsystemet och värdmiljön (mitigate_guest_host), mellan olika gästsystem (mitigate_guest_guest) och mellan olika trådar (mitigate_cross_thread).
Den föreslagna metoden ger möjlighet att aktivera skydd endast mot de klasser av sårbarheter som verkligen oroar användaren. Till exempel kan ägare av molnmiljöer aktivera lägena mitigate_guest_host och mitigate_guest_guest, efter vilket skydd mot sårbarheterna BHI, GD, L1TF, MDS, MMIO, Retbleed, RFDS, Spectre_v2, SRBDS, SRSO och TAA aktiveras. =============== ============== ============ ============= ============== ============ Sårbarhet Användare-till-Kärna Användare-till-Användare Gäst-till-Värd Gäst-till-Gäst Kors-Tråd =============== ============== ============ ============= ============== ============ BHI X X GDS X X X X L1TF X X MDS X X X X X MMIO X X X X X Meltdown X Retbleed X X X RFDS X X X X Spectre_v1 X Spectre_v2 X X Spectre_v2_user X X SRBDS X X X X SRSO X X SSB TAA X X X X X
Källa: opennet.ru
