Полная защита от уязвимости Intel ZombieLoad может привести к потере производительности на 40%

Когда исследователи в области безопасности раскрыли ряд серьезных уязвимостей, влияющих на процессоры Intel в январе 2018 года, стало ясно, что «Meltdown» и «Spectre» действительно опасны – и они не будут единственными уязвимостями для многопоточных процессоров.

14 мая была обнародована новая уязвимость процессоров Intel, известная под названием «ZombieLoad», и хотя она уже исправлена тремя основными производителями операционных систем (Microsoft, Apple и Google), есть и плохие новости: полная защита может снизить производительность вашего процессора до 40%.

Защита от ZombieLoad требует отключения Hyper-Threading

Эксплойт, известный под техническим названием «Microarchitectural Data Sampling» (MDS), позволяет злоумышленникам получать доступ к привилегированным данным через соответствие системы безопасности. В среде облачного хостинга это может позволить одной виртуальной машине "неправильно" обращаться к информации из другой. Исследователи также показали, что уязвимость можно использовать для наблюдения за приложениями и получения паролей. Уязвимость в значительной степени затрагивает операционные системы, работающие на чипах Intel, включая Android, Chrome, Linux, macOS и Windows.

В только что опубликованном документе поддержки компания Apple отмечает, что полное смягчение последствий уязвимости ZombieLoad потребует от пользователей процессоров Intel отключить технологию Hyper-Threading (Intel HT) – главной функции, которая значительно увеличивает продажи процессоров Intel. В ходе тестирования, проведенного в этом месяце, Apple заявила, что «обнаружила снижение производительности на 40% с помощью тестов, включающих многопоточные рабочие нагрузки и общедоступные бенчмарки», хотя фактическое влияние на производительность будет различаться для разных машин.

Microsoft, Apple и Google выпустили исправления

Из-за этого резкого падения производительности Apple внедрила частичное смягчение последствий в macOS Mojave 10.14.5, предоставляя пользователям возможность решать, хотят ли они отключить Hyper-Threading для полной защиты. Если вы хотите защититься от уязвимости ZombieLoad, в документе поддержки содержатся команды терминала для включения и выключения этой функции, в том числе инструкции для загрузки машины в режиме восстановления для отключения технологии Hyper-Threading процессора Intel.

Google и Microsoft также начали процесс обновления своих операционных систем, которые работают на базе Intel. В случае Google устройства Chrome OS уже получили некоторые патчи и получат больше исправлений в следующем выпуске ОС. Устройства Android на базе Intel встречаются редко, но также будут получать исправления ОС, после того, как производители устройств подготовят необходимые патчи. Сегодня Microsoft выпустила исправления для Windows, включая обновления KB4500109 для Windows 10, версия 1903, KB4494441 (Build 17763.503) для Windows 10, версия 1809, KB4499164 для Windows 7 и KB4499151 для Windows 8.1, и уже защитила пользователей Azure. Некоторые обновления микрокодов будут поступать напрямую от Microsoft, а другие – от производителей устройств.

Проблема ZombieLoad была, по-видимому, раскрыта Intel месяц назад и затрагивает все процессоры Intel, выпущенные с 2011 года. Чипы от AMD и ARM, как полагают, не подвержены этой уязвимости. По словам поставщиков, на данный момент не существует известных эксплойтов для этой уязвимости, хотя исследователи пока просто не знают, использовалась ли эта уязвимость "в дикой природе".

Intel преуменьшает влияние на производительность

На странице, посвященной уязвимости «Microarchitectural Data Sampling» (MDS), Intel преуменьшает влияние на производительность, предполагая, что оно будет невелико: до 3% без отключения Hyper-Threading и до 8-9% с отключенной технологией. Хотя представленные диаграммы показывают незначительное влияние с использованием новейших высокопроизводительных процессоров Intel Core i9-9900K.

Intel подчеркивает, что отключение Hyper-Threading на самом деле не является необходимым для некоторых пользователей: следовательно, если в этом нет необходимости для рабочих нагрузок и среды безопасности конкретного клиента, компания не рекомендует отключать Intel HT, тем более, что этой меры недостаточно, чтобы обеспечивает полную защиту от MDS.

По материалам Venturebeat