Uma correção do do desenvolvedor da Intel para permitir que processos SECCOMP como navegadores da Web deixem o Spectre V4

Confira !!



Atualmente, o modo de computação seguro SECCOMP do kernel Linux habilita à força as proteções Spectre, que vêm com implicações óbvias de desempenho. Quando ativados à força, no entanto, os processos não podem desativar a proteção se eles não correm risco de problemas como problemas de "desvio de armazenamento especulativo" do Spectre V4. Porém, uma simples alteração proposta permitiria que esses processos fossem excluídos, se desejado.

O desenvolvedor de longa data da Intel Linux, Andi Kleen, propôs a mudança para permitir o comportamento de desativação da especulação da SECCOMP. Em vez de forçar a desativação do controle de especulação, ele ainda aconteceria por padrão, mas não "forçado" - o que, por sua vez, permitiria que os processos optassem por não participar do comportamento devido a essa mudança semântica. O prctl PR_SET_SPECULATION pode ser usado para alternar o comportamento de SSBD e IB.

A motivação de Kleen parece ser amplamente influenciada pela compensação do desempenho do SSBD nos navegadores da web. " O usuário seccomp tem uma atenuação superior e não precisa desabilitar o nível da CPU. Por exemplo, para um navegador da Web, isso está usando o isolamento do site, que separa sites diferentes em processos diferentes, para que vazamentos de canal lateral dentro de um processo não sejam motivo de preocupação. ... Em alguns casos, estamos vendo penalidades significativas de desempenho ao habilitar a mitigação de SSBD em cargas de trabalho da Web. "

Kleen continuou adicionando o patch "Provavelmente, a longo prazo, precisamos discutir se a heurística seccomp ainda é necessária e talvez deva ser alterada. Parecia uma boa idéia quando essas vulnerabilidades eram novas e nenhum navegador da Web suportava o isolamento do site. Mas com o isolamento do site amplamente implantado - o Chrome o habilita por padrão e, pelo que entendi, o Firefox ativará por padrão em breve. E outros usuários do seccomp (como sshd ou systemd) provavelmente não precisam disso. Dado que não está claro, a heurística padrão ainda é uma boa ideia. "

Além dos navegadores da Web que usam o SECCOMP para sandboxing de alguns processos, ele também é usado por empresas como Docker, VSFTPD, Flatpak, LXD e muitos outros processos Linux. Reiterar, embora nenhuma mudança imediata no comportamento de mitigação, além de permitir O SECCOMP processa a desativação, se optar por fazê-lo.

O patch de Kleen foi revertido ontem, mas até agora não recebeu nenhum feedback. Continuaremos monitorando para ver se essa alteração é aceita no próximo ciclo do Kernel Linux 5.7.


Fonte

Até a próxima  !!