Новая уязвимость Downfall является серьезной. Она затрагивает процессоры Intel для настольных ПК вплоть до Alder Lake и серверные процессоры Intel вплоть до Ice Lake — поколения, которое все еще остается топовым в первый день 2023 года. Уязвимость, обнаруженная Даниэлем Могими (Daniel Moghimi), ныне работающим в Google, нацелена на конвейеры AVX2 и AVX-512 в атаке, которую Intel называет Gather Data Sampling (GDS).
Intel Downfall is a Big Deal
Новая уязвимость спекулятивного выполнения переходных векторов нацелена на конвейеры векторной обработки в трактах AVX2 и AVX-512 во время процесса сбора данных. Здесь есть несколько оговорок. Во-первых, как и многие другие атаки с использованием побочных каналов, эту уязвимость проще всего воспроизвести в лабораторных условиях. Кроме того, злоумышленник не может целенаправленно атаковать данные, находящиеся в памяти. Вместо этого они ограничиваются тем, что оказывается доступным в их контексте.
Intel и Daniel работали над этой проблемой в течение некоторого времени, прежде чем она была раскрыта сегодня. Intel и ее партнеры по разработке микропрограмм и ОС координируют обновление микрокода, которое устранит эту уязвимость. Это достаточно важная уязвимость, поэтому по умолчанию для ее устранения будет установлен режим «ON». При желании администраторы смогут отключить эти меры.
Вот заявление Intel для STH по этому поводу:
«Исследователь безопасности, работая в контролируемых условиях исследовательской среды, продемонстрировал проблему GDS, которая основывается на программном обеспечении, использующем инструкции Gather. Несмотря на то, что вне таких контролируемых условий реализовать эту атаку было бы очень сложно, на затронутых платформах имеется возможность ее устранения с помощью обновления микрокода. Последние процессоры Intel, включая Alder Lake, Raptor Lake и Sapphire Rapids, не затронуты этой проблемой. Многие заказчики, ознакомившись с руководством Intel по оценке рисков, могут принять решение об отключении защиты с помощью переключателей, доступных в операционных системах Windows и Linux, а также в VMM. В публичных облачных средах заказчикам следует уточнить у своего провайдера возможность использования таких переключателей.» (Источник: Intel)
По нашим сведениям, меры по устранению уязвимости оказывают существенное влияние на рабочие нагрузки AVX2/ AVX-512. Корпорация Intel прислала нам следующее заявление о потенциальном влиянии на производительность:
Для большинства рабочих нагрузок Intel не наблюдала снижения производительности в результате применения данного средства защиты. Однако некоторые рабочие нагрузки, перегруженные векторизацией, могут испытывать некоторое влияние. Intel рекомендует заказчикам изучить нашу техническую документацию, чтобы понять, какие варианты можно использовать для снижения или устранения возможного влияния на производительность. (Источник: Intel)
Интересно, что Intel использует такие функции, как AVX-512, в качестве ключевого конкурентного преимущества, но при этом утверждает, что «большинство рабочих нагрузок» не используют эту функцию в значительной степени и поэтому не страдают от снижения производительности. AVX2 и AVX-512 наиболее распространены в вычислительных средах высокопроизводительных вычислений (HPC). По словам представителей Intel, уязвимость проявляется только в том случае, если на одном ядре с целевым процессом находится другой пользователь. Теоретически, во многих рабочих нагрузках HPC ядра выделяются пользователям, поэтому такой проблемы не возникнет, а для повышения производительности до уровня, предшествующего уязвимости, можно отключить средства защиты.
Читателям STH, если у вас есть тяжелые конвейеры AVX-512 или AVX2, мы советуем посмотреть на производительность до и после защиты и провести оценку рисков, исходя из вероятности атаки в вашей среде.
Одна из областей, где мы особенно обеспокоены, — это края. Две последние граничные P-ядерные архитектуры Intel — Skylake-D и Ice Lake-D — затронуты этой проблемой. Intel продвигает AVX-512 в качестве ускорителя рабочих нагрузок на границе без необходимости использования ускорителя PCIe. Надеемся, что наши читатели, работающие в этой области, найдут время, чтобы оценить последствия уязвимости и способы их устранения. В отличие от кластеров высокопроизводительных вычислений, которые обычно имеют локальные команды управления и путь обновления до Sapphire Rapids, Xeon Max или Genoa/ Genoa-X от AMD, для периферии не существует архитектуры, заменяющей Intel или AMD. Даже если бы такая архитектура и существовала, модернизация пограничных систем может оказаться очень дорогостоящей, как мы видели в случае с Intel Atom C2000 AVR54.
Какие процессоры затронуты падением?
Компания Intel сообщила нам, что падение затронет следующие архитектуры процессоров:
- Семейство Skylake (Skylake, Cascade Lake, Cooper Lake, Amber Lake, Kaby Lake, Coffee Lake, Whiskey Lake, Comet Lake)
- Семейство Tiger Lake
- Семейство Ice Lake (Ice Lake, Rocket Lake)
Это как настольные, так и серверные модели. Intel также заявила, что чипы Sapphire Rapids последнего поколения не подвержены воздействию уязвимости.
Последние слова
Насколько нам известно, процессоры AMD не затронуты этой проблемой. Тем не менее, значительная часть читателей STH должна будет оценить уязвимость и последствия ее устранения. Мы не рассматриваем все уязвимости безопасности, но эта, похоже, станет серьезной проблемой для многих наших читателей.
Подробнее об этом можно узнать в разделе INTEL-SA-00828.