Что на самом деле показывает раздел «ошибки» в / proc / cpuinfo?

На Debian Stretch и тестирующей / Buster системе с текущим ядром и установленным микрокодом я все еще вижу ошибки и призраки в списке ошибок /proc/cpuinfo.

Однако запуск spectre-meltdown-checkerшоу не уязвим.

Поэтому мне интересно, что /proc/cpuinfoпоказывает. Являются ли они только уязвимостями для этого процессора, и будут ли они всегда присутствовать в списке, несмотря на наличие исправленной системы?

Назначение поля «ошибки» /proc/cpuinfoописано в сообщении о коммите, в котором оно было представлено :

x86/cpufeature: Добавить флаги ошибок /proc/cpuinfo

Сбросьте флаги, которые обозначают, что мы обнаружили и / или применили обходные пути ошибки к процессору, на котором мы выполняем, аналогично флагам возможностей.

Преимущество заключается в том, что они не накапливаются со временем, как функции процессора.

Ранее аппаратные ошибки, обнаруженные ядром, были указаны как отдельные функции ( например, печально известная ошибка F00F, которая имеет собственную f00f_bugзапись в /proc/cpuinfo32-разрядных системах x86). Введена запись «ошибок», чтобы удерживать их в одной функции, идущей вперед, в том же стиле, что и флаги процессора x86 .

Что касается того, что записи означают на практике, как вы можете видеть в сообщении, все, что гарантировано, это то, что ядро обнаружило аппаратную ошибку. Вам нужно искать в другом месте (загрузочные сообщения или конкретные /procзаписи или /sysзаписи, такие как файлы в /sys/devices/system/cpu/vulnerabilities/), чтобы определить, решены ли проблемы.

Полезность записей об ошибках ограничена двумя способами. Во-первых, настоящие негативы нельзя отличить от неизвестных: если в поле не указано «cpu_meltdown», вы не можете знать (только из поля), означает ли это, что ядро ​​не знает о Meltdown, или что ваш процессор не подвержен влиянию Meltdown. Во-вторых, обнаружение может быть слишком упрощенным; из-за осторожности он может сообщить, что ваш процессор уязвим, когда это не так. Поскольку «обнаружение» основано на таблицах, его точность зависит от того, какую версию ядра вы используете.

В случае с ошибками Meltdown и Spectre процесс обнаружения, который передает значения, /proc/cpuinfo работает на x86 следующим образом :

• если процессор не выполняет никаких предположений (класс 486, некоторый класс Pentium, некоторые атомы), он не помечается как затронутый Meltdown или Spectre;
• все остальные процессоры помечены как затронутые вариантами Spectre 1 и 2 (независимо от версии микрокода и т. д.);
• если процессор не указан как не подверженный спекулятивному обходу хранилища , если его микрокод не претендует на уменьшение SSB, и если процессор не претендует на уменьшение SSB, то он помечается как подверженный влиянию SSB;
• если процессор не указан как не подверженный Meltdown (AMD), и если его микрокод не претендует на смягчение Meltdown, то он помечается как подверженный Meltdown.

Уязвимости Meltdown / Spectre связаны с дизайном / архитектурой набора микросхем ЦП, и, если не покупать новое оборудование в будущем, исправления являются хорошей иллюзией безопасности в долгосрочной перспективе . Со временем могут появиться новые методы использования недостатков, которые могут обойти текущие исправления.

Короче говоря, текущие программные исправления / микрокоды смягчают проблемы, связанные с известными методами эксплойтов семейства Spectre / Meltdown, но не решают проблем проектирования базовых процессоров, которые в первую очередь разрешают их. Пострадавшие (несколько поколений) процессоров не перестали быть уязвимыми в долгосрочной перспективе (и, скорее всего, никогда не будут).

Тем не менее, как правильно утверждает @Gilles, наличие этого предупреждения не означает, что текущие известные эксплойты будут использовать методы Spectre / Meltdown; они не будут работать, если патчи установлены.

В случае, упомянутом в вопросе, ядро ​​проверяет только те модели процессора, о которых известно, что на них влияет Specter / Meltdown (пока все процессоры x86, если речь идет только о x86), и, следовательно, они cpu-insecureвсе еще перечислены в разделе об ошибках. / строка в /proc/cpuinfo.

Иди проверь /proc/cpuinfo. Он будет содержать cpu_insecure, если у вашего ядра есть патч KPTI

Я обнаружил, что патч KPTI имеет этот кусок кода:

   /* Assume for now that ALL x86 CPUs are insecure */
   setup_force_cpu_bug(X86_BUG_CPU_INSECURE);

И после обновления ядра вы получаете:

bugs      : cpu_insecure

PS. Уже был раунд обновлений для нового метода для использования "ошибок" Spectre / Meltdown. Вероятно, не в последний раз.