स्पेक्टर सुरक्षा को अक्षम कैसे करें: लिनक्स कर्नेल में एक नया पैरामीटर जोड़ा गया है

लिनक्स कर्नेल में एक ध्वज दिखाई दिया है जो सर्वर पर चल रही सभी बच्चे प्रक्रियाओं में स्पेक्टर v4 कमजोरियों के खिलाफ सुरक्षा को निष्क्रिय करता है। नए पैरामीटर के बारे में अधिक - कट के तहत।


/ फ़्लिकर / रि एच / सीसी बाय / फोटो बदल गया

आपको सुरक्षा अक्षम करने की आवश्यकता क्यों थी

स्पेक्टर प्रोसेसर भेद्यता समूह पहले 2018 की शुरुआत में जाना जाता था, और अगले महीनों में इस परिवार को नए "सुरक्षा छेद" के साथ फिर से तैयार किया गया था। कमजोरियाँ उन प्रणालियों के संचालन से जुड़ी हैं जो प्रोसेसर के प्रदर्शन को बढ़ाती हैं - सट्टा लेखन और पढ़ना और संक्रमण की भविष्यवाणी करना - और इंटेल और एएमडी से प्रोसेसर में मेमोरी आइसोलेशन तंत्र को बायपास करने के लिए हमलावरों को अनुमति देते हैं ।

कमजोरियों को बंद करने के लिए, ऑपरेटिंग सिस्टम के डेवलपर्स पैच जारी करते हैं, लेकिन उन्हें स्थापित करने से अक्सर सर्वर की गति में कमी होती है। उदाहरण के लिए, लिनक्स मशीनों पर, कुछ स्पेक्टर पैच 30-50% के प्रदर्शन को कम करते हैं ।

सिस्टम प्रशासक समस्या से असंतुष्ट थे, विशेषकर बड़े डेटा केंद्रों में। वे लिनक्स कर्नेल डेवलपर्स से स्पेक्टर सुरक्षा को चुनिंदा रूप से अक्षम करने के लिए कहने लगे। खोजी गई कमजोरियों में से कुछ केवल प्रकृति में सैद्धांतिक हैं, और कई प्रणालियों में, सिद्धांत रूप में, वे नुकसान नहीं कर सकते हैं। उदाहरण के लिए, खेतों को सौंपना और ऑफ़लाइन सुपर कंप्यूटर इंटरनेट से डिस्कनेक्ट हो गए हैं, इसलिए वे दुर्भावनापूर्ण कोड इंजेक्शन से डरते नहीं हैं।

लिनक्स टीम ने उपयोगकर्ताओं से मुलाकात की और कमजोरियों के खिलाफ सुरक्षा को अक्षम करने वाले कई कार्यों को पेश किया V1, v2 (हम बाद में उनके बारे में अधिक बात करेंगे) और v4। उनमें से अंतिम को फरवरी के शुरू में सभी वर्तमान कर्नेल संस्करणों के लिए पेश किया गया था - यह नया ध्वज PR_SPEC_DISABLE_NONEXEC है।

क्या और क्यों फ़ंक्शन अक्षम करता है

स्पेक्टर v4 की भेद्यता को सट्टा स्टोर बायपास कहा जाता है। यह मैलवेयर को सट्टा कंप्यूटिंग परिणामों तक पहुंचने की अनुमति देता है जो प्रोसेसर पहले अनावश्यक के रूप में त्याग देता है।

यह स्थिति तब होती है जब सीपीयू अप्रत्यक्ष रूप से संबोधित करते हुए पढ़ना और लिखना बंद कर देता है। पठन लेखन की तुलना में अधिक बार होता है, और प्रोसेसर अप्रत्यक्ष संबोधन के ऑफसेट की गणना की प्रतीक्षा किए बिना रीड एड्रेस को निर्धारित करने के लिए मेमोरी से डेटा का उपयोग कर सकता है। यदि, ऑफसेट की गणना करने के बाद, लिखने और पढ़ने के लिए मेमोरी क्षेत्रों का एक चौराहा पता लगाया जाता है (अर्थात, गलत क्षेत्र से रीडिंग का प्रदर्शन किया गया था), तो दूसरा ऑपरेशन फिर से किया जाता है, और सट्टा परिणाम को छोड़ दिया जाता है।

सिद्धांत रूप में, यह पता चलता है कि अगर किसी हमलावर को मेमोरी सेल के पते और संरचना का पता है, तो वह उनसे डेटा निकाल सकता है, जैसे एन्क्रिप्शन कुंजी।

भेद्यता के बारे में जानकारी के प्रकाशन के कुछ दिनों बाद स्पेक्टर v4 के लिए एक पैच लिनक्स कर्नेल में दिखाई दिया - डिफ़ॉल्ट रूप से इसने मेमोरी डिसैम्बिगेशन फ़ंक्शन को बंद कर दिया , जिसने कमांड के असाधारण निष्पादन की अनुमति दी। लेकिन इससे प्रोसेसर I / O का संचालन 10–40% धीमा हो गया ।


/ फ़्लिकर / री एच / सीसी बाय-एसए

और जून 2018 की शुरुआत में, कर्नेल रिलीज़ 4.17 ने इस सुरक्षा को अक्षम करना संभव बना दिया। एक समस्या थी: पैरामीटर को माता-पिता से बाल प्रक्रिया में पारित नहीं किया गया था। उनके लिए, सुरक्षा को मैन्युअल रूप से अक्षम करना पड़ा, जिससे सिस्टम प्रशासक को असुविधा हुई। लेकिन फरवरी की शुरुआत में, कर्नेल डेवलपर्स ने ध्वज PR_SPEC_DISABLE_NOEXEC को लागू किया। यह पिछले फ़ंक्शन को पूरक करता है और मूल प्रक्रिया से चाइल्ड वाले तक स्पेक्टर v4 से पैच के ऑपरेटिंग मोड को कॉपी करता है। PR_SPEC_DISABLE_NOEXEC prctl का हिस्सा है, और किसी भी नई प्रक्रिया को शुरू करने पर आप इसे सक्षम कर सकते हैं।

क्या कहते हैं विशेषज्ञ

लिनक्स कर्नेल डेवलपर्स मेलिंग सूची में, नए झंडे का परिचय रेड हैट के वेमन लॉन्ग द्वारा लिखा गया था। उनके अनुसार, स्पेक्टर v4 से सुरक्षा उन अनुप्रयोगों के प्रदर्शन को महत्वपूर्ण रूप से प्रभावित करती है जो कई लेखन कार्य करते हैं, जैसे डेटाबेस। PR_SPEC_DISABLE_NOEXEC पैच को अक्षम करने और एक साथ चलने वाली प्रक्रियाओं की एक बड़ी संख्या के साथ सर्वर को गति देने के लिए चेक को स्वचालित करने में मदद करेगा।

इसी समय, आईटी समुदाय के प्रतिभागियों का ध्यान है कि कुछ स्थितियों में, एक नए झंडे की लापरवाही से अप्रिय परिणाम हो सकते हैं ।

IaaS प्रदाता 1cloud.ru के विकास विभाग के प्रमुख सर्गेई बेलकिन कहते हैं, "यह ध्यान देने योग्य है कि कुछ वातावरण में स्पेक्टर v4 से सुरक्षा को निष्क्रिय करना सुरक्षित नहीं है।" - इनमें उदाहरण के लिए, जावा और जावास्क्रिप्ट का उपयोग करने वाली वेब सेवाएँ शामिल हैं। प्रबंधित कोड द्वारा नियंत्रण प्रक्रिया की सामग्री का प्रकटीकरण अनुप्रयोग सुरक्षा के लिए घातक हो सकता है। ”

लिनक्स कर्नेल में अन्य स्पेक्टर पैच के बारे में

PR_SPEC_DISABLE_NOEXEC ध्वज के अलावा, लिनक्स कर्नेल में अन्य पैरामीटर हैं जो स्पेक्टर सुरक्षा को अक्षम करते हैं।

पहले वाला nospectre_v2 है । फ़ंक्शन स्पेक्टर v2 से सुरक्षा को अक्षम करता है, जो हमलावरों को एक विशिष्ट मेमोरी मॉड्यूल में एक ऑपरेशन को सट्टा करने के लिए प्रोसेसर को "बल" करने के लिए संक्रमण भविष्यवाणी ब्लॉक का उपयोग करने की अनुमति देता है। संरक्षण के लिए, पैच अप्रत्यक्ष रूप से संक्रमण की भविष्यवाणी करने के कार्य को निष्क्रिय कर देता है और एक ही सीपीयू कोर में थ्रेड्स के बीच प्राप्त जानकारी के हस्तांतरण को रोकता है।

सुरक्षा को अक्षम करने से प्रोसेसर के प्रदर्शन में 30% की वृद्धि होती है - यह है कि यह स्पेक्टर v2 से पैच स्थापित करने के बाद कैसे गिर गया । यहां तक ​​कि लिनक्स के निर्माता, लिनुस टॉर्वाल्ड्स ने नई सुविधा का समर्थन किया। उनके अनुसार, भेद्यता एसएमटी फ़ंक्शन के साथ केवल प्रोसेसर को धमकी देती है, इस विशेष मामले में इसे अक्षम करने के लिए अधिक लाभदायक होगा।

दूसरा पैरामीटर - nospectre_v1 - पहले स्पेक्टर विकल्प से सुरक्षा को निष्क्रिय करता है। मैलवेयर की मदद से, हैकर्स प्रोसेसर को गलत तरीके से सशर्त संक्रमण के परिणाम की भविष्यवाणी करने और स्मृति क्षेत्र में सट्टा गणना के परिणामों को त्यागने का कारण बन सकता है जो हैकर्स की आवश्यकता होती है। हालांकि v1 से पैच प्रदर्शन को काफी प्रभावित नहीं करता है (कुछ रिपोर्टों के अनुसार, प्रोसेसर की गति में कमी को सभी में उपेक्षित किया जा सकता है), डेवलपर्स ने कर्नेल को इस सुरक्षा को अक्षम करने की क्षमता जोड़ने के लिए कहा । इसने हमें बाहरी पहुंच से अलग नेटवर्क की संरचना को सरल बनाने की अनुमति दी।

लिनक्स कर्नेल समुदाय मुक्त विकल्प के विचार के लिए सही रहता है जो लाइनस टॉर्वाल्ड्स ने बहुत शुरुआत में निर्धारित किया था: लिनक्स सिस्टम की सुरक्षा और प्रदर्शन को संतुलित करने के लिए उपयोगकर्ता स्वयं जिम्मेदार हैं। इसलिए, यह उम्मीद करने योग्य है कि कर्नेल में स्पेक्टर के समान नई कमजोरियों का पता लगाने पर, पैच और इसे निष्क्रिय करने की क्षमता दोनों दिखाई देंगे।

हमारे कॉर्पोरेट ब्लॉग से पोस्ट:

• मेल्टडाउन और स्पेक्टर: न्यू ईयर प्रोसेसर भेद्यता
• फ़ाइल बैकअप: डेटा हानि से सुरक्षित कैसे रहें
• 1 क्लॉउड क्लाउड आर्किटेक्चर इवोल्यूशन