Lỗ hổng bộ xử lý Intel Meltdown hiện tại hiện đang được khắc phục bằng cách bật tính năng cách ly bảng trang. Có một câu hỏi làm thế nào để tắt tính năng này: Làm cách nào để vô hiệu hóa Cách ly bảng trang để lấy lại hiệu suất bị mất do bản vá lỗ hổng bảo mật CPU của Intel?

Câu hỏi của tôi là ngược lại: có cách nào để kiểm tra một hệ thống đang chạy xem cơ chế PTI có hiệu quả trên hệ thống không và do đó hệ thống có được bảo vệ không? Tôi đặc biệt tìm kiếm cat /proc/somethinghoặc cat /sys/something, không kiểm tra phiên bản kernel hoặc tham số cấu hình hoặc tương tự.

Bạn có thể chạy lệnh bên dưới để xem tất cả các giảm thiểu có sẵn (không chỉ cho PTI mà còn cho các lỗ hổng khác):

$ cat /sys/devices/system/cpu/vulnerabilities/*
Mitigation: PTE Inversion
Mitigation: Clear CPU buffers; SMT vulnerable
Mitigation: PTI
Mitigation: Speculative Store Bypass disabled via prctl and seccomp
Mitigation: usercopy/swapgs barriers and __user pointer sanitization
Mitigation: Full generic retpoline, IBPB: conditional, IBRS_FW, STIBP: conditional, RSB filling

• Cắt xén CONFIG_PAGE_TABLE_ISOLATION trong cấu hình kernel như đề xuất của Raniz không giúp ích gì cho Ubuntu trên máy tính để bàn, nhưng có thể giúp ích cho các trường hợp đám mây:

  grep CONFIG_PAGE_TABLE_ISOLATION=y /boot/config-`uname -r` && \
  echo "patched :)" || echo "unpatched :("
  

• Bạn có thể kiểm tra /proc/cpuinfonhư JonasCz đề xuất :

  grep -q "cpu_insecure\|cpu_meltdown\|kaiser" /proc/cpuinfo && echo "patched :)" \
  || echo "unpatched :("
  

• Hoặc từ dmesg(nhờ Jason Creighton ):

  dmesg | grep -q "Kernel/User page tables isolation: enabled" \
  && echo "patched :)" || echo "unpatched :("
  

• Bạn có thể biên dịch chương trình thử nghiệm từ Raphael Carvalho để phát hiện Meltdown:

  sudo apt-get install git build-essential
  cd /tmp
  git clone https://github.com/raphaelsc/Am-I-affected-by-Meltdown.git
  cd Am-I-affected-by-Meltdown
  make
  sudo sh -c "echo 0  > /proc/sys/kernel/kptr_restrict"
  ./meltdown-checker
  

trên hệ thống vá, nó sẽ kết thúc với đầu ra

...
so far so good (i.e. meltdown safe) ...

System not affected (take it with a grain of salt though as false negative
may be reported for specific environments; Please consider running it once again).

• Kiểm tra với công cụ từ https://github.com/speed47/spectre-meltdown-checker :

  cd /tmp
  wget https://raw.githubusercontent.com/speed47/spectre-meltdown-checker/master/spectre-meltdown-checker.sh
  sudo sh /tmp/spectre-meltdown-checker.sh
  

Trên hệ thống vá, nó sẽ hiển thị như sau:

Spectre and Meltdown mitigation detection tool v0.27

Checking for vulnerabilities against live running kernel Linux 4.4.0-109-generic #132-Ubuntu SMP Tue Jan 9 19:52:39 UTC 2018 x86_64
...
CVE-2017-5754 [rogue data cache load] aka 'Meltdown' aka 'Variant 3'
* Kernel supports Page Table Isolation (PTI):  YES 
* PTI enabled and active:  YES 
> STATUS:  NOT VULNERABLE  (PTI mitigates the vulnerability)

Không cài đặt 4.4.0-108-chung trên Xenial! Nó phá vỡ chức năng khởi động / khởi động lại / tắt máy / tạm dừng !

Cài đặt 4.4.0-109-generic ( xem USN-3522-3 để biết chi tiết)!

Như Robie Basak đã viết , có một trang về tình trạng lỗ hổng Spectre và Meltdown trong Ubuntu .

Cũng có:

• Bản tin bảo mật Ubuntu cho CVE-2017-5715
• Bản tin bảo mật Ubuntu cho CVE-2017-5753
• Bản tin bảo mật Ubuntu cho CVE-2017-5754

Chạy lệnh sau:

dmesg | grep 'page tables isolation'

Nếu nó hiển thị được bật, thì PTI được kích hoạt. Nếu không có gì được hiển thị hoặc bạn thấy 'bị vô hiệu hóa' trong thiết bị đầu cuối, thì PTI bị vô hiệu hóa. Ubuntu chưa xuất bản bản vá, vì vậy nó sẽ không hiển thị bất kỳ thông báo nào.

Bạn có thể kiểm tra cat /proc/cpuinfo, nếu nó báo cáo cpu_insecuretheo "lỗi", thì PTI được bật.

Nếu nó trống (hoặc chỉ không liệt kê cpu_insecure), thì rất có thể bạn đang chạy kernel chưa được vá (Ubuntu chưa có) hoặc bạn có bộ xử lý AMD (vì điều này chắc chắn sẽ không được kích hoạt, vì chúng không thể được kích hoạt, vì chúng 'không dễ bị tổn thương).

Hiện tại tất cả các CPU được coi là dễ bị tổn thương trong kernel 4.15 mới nhất.

Tôi đã tìm thấy tập lệnh sh tuyệt vời này để kiểm tra các lỗ hổng Meltdown / bóng ma trên hệ thống của bạn:

https://github.com/speed47/spectre-meltdown-checker

Kịch bản kiểm tra hệ thống của bạn để biết Meltdown và các bản vá bóng ma trên hệ thống của bạn để cho bạn biết nếu các lỗ hổng này hiện được hệ điều hành của bạn giảm thiểu

Bạn có thể kiểm tra /proc/config.gz cho CONFIG_PAGE_TABLE_ISOLATION=ycó nghĩa là hạt nhân đã được biên soạn với KPTI.

Đây là trên hệ thống Arch Linux đã vá của tôi chạy 4.14.11-1:

$ zgrep CONFIG_PAGE_TABLE_ISOLATION /proc/config.gz 
CONFIG_PAGE_TABLE_ISOLATION=y

Trên phiên bản AWS Ubuntu 14.04.5 LTS EC2 của tôi, tôi đã chạy

grep CONFIG_PAGE_TABLE_ISOLATION /boot/config-$(uname -r)

Nó sẽ nói:

CONFIG_PAGE_TABLE_ISOLATION=y

Để cập nhật tôi đã làm:

sudo apt-get update && sudo apt-get install linux-image-generic

Tôi cũng nghĩ rằng điều này là ổn:

sudo apt-get update
sudo apt-get dist-upgrade

Để kiểm tra phiên bản kernel:

uname -r

Cần phải là 3.13.0-139 - chung hoặc mới hơn.