Поточна вразливість процесорів Meltdown Intel в даний час усувається, включивши ізоляцію таблиці сторінок. Існує питання, як вимкнути це: Як відключити ізоляцію таблиці сторінок, щоб відновити продуктивність, втрачену через патч отвору в безпеці процесора Intel?

Моє запитання навпаки: чи існує спосіб перевірити працюючу систему, чи ефективний механізм PTI в системі і таким чином система захищена? Я спеціально шукаю cat /proc/somethingабо cat /sys/somethingне перевіряю версію ядра чи конфігураційний параметр ядра тощо.

Ви можете запустити команду нижче, щоб побачити всі доступні пом’якшення (не тільки для PTI, але й для інших вразливих місць):

$ cat /sys/devices/system/cpu/vulnerabilities/*
Mitigation: PTE Inversion
Mitigation: Clear CPU buffers; SMT vulnerable
Mitigation: PTI
Mitigation: Speculative Store Bypass disabled via prctl and seccomp
Mitigation: usercopy/swapgs barriers and __user pointer sanitization
Mitigation: Full generic retpoline, IBPB: conditional, IBRS_FW, STIBP: conditional, RSB filling

• Збирання CONFIG_PAGE_TABLE_ISOLATION у конфігурації ядра, як пропонується Раніз, не допомагає на робочому столі Ubuntu, але може допомогти у хмарних випадках:

  grep CONFIG_PAGE_TABLE_ISOLATION=y /boot/config-`uname -r` && \
  echo "patched :)" || echo "unpatched :("
  

• Ви можете перевірити, /proc/cpuinfoяк запропонував JonasCz :

  grep -q "cpu_insecure\|cpu_meltdown\|kaiser" /proc/cpuinfo && echo "patched :)" \
  || echo "unpatched :("
  

• Або з dmesg(завдяки Джейсону Крейтону ):

  dmesg | grep -q "Kernel/User page tables isolation: enabled" \
  && echo "patched :)" || echo "unpatched :("
  

• Ви можете скласти програму тестування від Рафаеля Карвальо для виявлення Meltdown:

  sudo apt-get install git build-essential
  cd /tmp
  git clone https://github.com/raphaelsc/Am-I-affected-by-Meltdown.git
  cd Am-I-affected-by-Meltdown
  make
  sudo sh -c "echo 0  > /proc/sys/kernel/kptr_restrict"
  ./meltdown-checker
  

у патч-системі він повинен закінчуватися результатом

...
so far so good (i.e. meltdown safe) ...

System not affected (take it with a grain of salt though as false negative
may be reported for specific environments; Please consider running it once again).

• Зверніться за допомогою інструменту https://github.com/speed47/spectre-meltdown-checker :

  cd /tmp
  wget https://raw.githubusercontent.com/speed47/spectre-meltdown-checker/master/spectre-meltdown-checker.sh
  sudo sh /tmp/spectre-meltdown-checker.sh
  

У виправленій системі він повинен показувати наступне:

Spectre and Meltdown mitigation detection tool v0.27

Checking for vulnerabilities against live running kernel Linux 4.4.0-109-generic #132-Ubuntu SMP Tue Jan 9 19:52:39 UTC 2018 x86_64
...
CVE-2017-5754 [rogue data cache load] aka 'Meltdown' aka 'Variant 3'
* Kernel supports Page Table Isolation (PTI):  YES 
* PTI enabled and active:  YES 
> STATUS:  NOT VULNERABLE  (PTI mitigates the vulnerability)

Не встановлюйте 4.4.0-108-generic на Xenial! Це порушує функціональність завантаження / перезавантаження / відключення / призупинення !

Встановіть 4.4.0-109-generic (детальніше див. USN-3522-3 )!

Як вже писав Робі Басак , в Ubuntu є сторінка про статус уразливостей Spectre та Meltdown .

Також є:

• Бюлетень безпеки Ubuntu для CVE-2017-5715
• Бюлетень безпеки Ubuntu для CVE-2017-5753
• Бюлетень безпеки Ubuntu для CVE-2017-5754

Виконайте таку команду:

dmesg | grep 'page tables isolation'

Якщо він відображається увімкнено, тоді PTI увімкнено. Якщо нічого не відображається або ви бачите "інвалід" у терміналі, PTI вимкнено. Ubuntu ще не опублікував патч, тому він не відображатиме жодного повідомлення.

Ви можете перевірити cat /proc/cpuinfo, чи він звітує cpu_insecureпід "помилками", тоді PTI увімкнено.

Якщо він порожній (або просто не вказаний cpu_insecure), то, швидше за все, ви працюєте з ядром, яке ще не було виправлено (Ubuntu's ні), або у вас процесор AMD (для якого це, напевно, не буде включено, оскільки вони ти не вразливий).

Наразі всі процесори вважаються вразливими в останньому ядрі 4.15.

Я знайшов цей чудовий скрипт sh для перевірки вразливості Meltdown / spectre у вашій системі:

https://github.com/speed47/spectre-meltdown-checker

Сценарій перевіряє вашу систему на відомі патчі Meltdown і spectre у вашій системі, щоб повідомити, чи тепер ці вразливості усуваються вашою ОС

Ви можете перевірити /proc/config.gz для CONFIG_PAGE_TABLE_ISOLATION=yце означає , що ядро скомпільовано з КПТІ.

Це в моїй виправленій системі Arch Linux під керуванням 4.14.11-1:

$ zgrep CONFIG_PAGE_TABLE_ISOLATION /proc/config.gz 
CONFIG_PAGE_TABLE_ISOLATION=y

На моєму екземплярі AWS Ubuntu 14.04.5 LTS EC2 я побіг

grep CONFIG_PAGE_TABLE_ISOLATION /boot/config-$(uname -r)

Слід сказати:

CONFIG_PAGE_TABLE_ISOLATION=y

Для оновлення я зробив:

sudo apt-get update && sudo apt-get install linux-image-generic

Я також думаю, що це нормально:

sudo apt-get update
sudo apt-get dist-upgrade

Щоб перевірити версію ядра:

uname -r

Потрібно бути родовим або новішим 3.13.0-139 .