BT

如何利用碎片时间提升技术认知与能力? 点击获取答案

NetBSD 8.0带来Spectre V2/V4、Meltdown、Lazy FPU缓解措施

| 作者 Sergio De Simone 关注 14 他的粉丝 ,译者 谢丽 关注 11 他的粉丝 发布于 2018年7月26日. 估计阅读时间: 3 分钟 | QCon上海2018 关注大数据平台技术选型、搭建、系统迁移和优化的经验。

NetBSD是一款基于BSD的操作系统,跨许多体系结构提供了可移植性。NetBSD 8.0是该系统的一个主要版本,该版本带来了Spectre V2/V4、MeltdownLazy FPU漏洞缓解措施以及许多新特性和Bug修复。

NetBSD通过独立虚拟空间(SVS)实现了Meltdown缓解措施,当在用户空间运行时,它会取消内核页面映射。对于所有易受攻击的CPU,这是默认启用的,可以通过执行如下命令手动禁用:

# sysctl -w machdep.svs.enabled=0

当安全要求不那么严格,而你又倾向于最大化性能时,禁用SVS是最好的选择。

Spectre V2可以通过一系列的缓解措施来解决,既有硬件方面的,也有软件方面的:

  • Intel IRBS:如果底层的CPU检测到支持这项特性,就会启用它。你可以通过下面的命令禁用:# machdep.spectre_v2.hwmitigated = 0
  • AMD DIS_IND:这是针对AMD CPU的硬件缓解措施,可以像上面那样,通过取消hwmitigation选项的设置来禁用。
  • 针对其他易受攻击的CPU的软件缓解措施(retpoline)。可以通过执行如下命令禁用:# machdep.spectre_v2.swmitigated = 0

对于Spectre V4,NetBSD 8提供了两种主要的缓解措施:Intel SSBD和AMD MONARCH,可以通过执行machdep.spectre_v4.mitigated = 0禁用。

Lazy FPU的缓解则是通过让FPU“过于热心”,迫使它在交换过程中清空寄存器。值得注意的是,NetBSD 8所采用的方法,即仅使易受攻击的FPU表现出过于热心的行为,这和Linux不同,内核启动参数eagerfpu=on会影响所有的FPU,不管它们是否易受攻击。

据NetBSD团队介绍,所有这些缓解措施都无法移植回旧版本的分支:

我们要求所有用户都尽快升级到NetBSD 8.0,避免运行旧版本的NetBSD,除非本地的安全专家已经分析了你的安装设置。

NetBSD 8提供的其他特性包括支持USB 3.0、内核音频混音器、超级用户模式访问预防、可重现构建(可以保证相同的源代码树生成相同的构建)、完整的用户调试信息等等。要了解详细信息,请查看官方的发布说明

查看英文原文:NetBSD 8.0 Brings Spectre V2/V4, Meltdown, and Lazy FPU Mitigations, and More

评价本文

专业度
风格

您好,朋友!

您需要 注册一个InfoQ账号 或者 才能进行评论。在您完成注册后还需要进行一些设置。

获得来自InfoQ的更多体验。

告诉我们您的想法

允许的HTML标签: a,b,br,blockquote,i,li,pre,u,ul,p

当有人回复此评论时请E-mail通知我
社区评论

允许的HTML标签: a,b,br,blockquote,i,li,pre,u,ul,p

当有人回复此评论时请E-mail通知我

允许的HTML标签: a,b,br,blockquote,i,li,pre,u,ul,p

当有人回复此评论时请E-mail通知我

讨论

登陆InfoQ,与你最关心的话题互动。


找回密码....

Follow

关注你最喜爱的话题和作者

快速浏览网站内你所感兴趣话题的精选内容。

Like

内容自由定制

选择想要阅读的主题和喜爱的作者定制自己的新闻源。

Notifications

获取更新

设置通知机制以获取内容更新对您而言是否重要

BT