自從 1 月 Google Project Zero 團(tuán)隊(duì)揭露IntelCPU 的Meltdown缺陷，以及所有現(xiàn)代 CPU 都有的Spectre缺陷以后，影響面之廣人人自危。由于是硬件缺陷，各大廠商也只能努力推出修補(bǔ)更新加以彌補(bǔ)。幾個(gè)月過(guò)去了，相關(guān)資訊似乎不再常見(jiàn)，然而真的沒(méi)問(wèn)題了嗎?解決方案都很理想嗎?該如何精準(zhǔn)評(píng)量效能的降低程度呢?

目前各系統(tǒng)的安全更新主要是從系統(tǒng)軟件面去做處理，理論上會(huì)讓程序有 2% 到 30% 不等的降速狀況。那實(shí)際影響到底有多大?知名網(wǎng)絡(luò)串流影片公司 Netflix 表示，針對(duì) Meltdown 的 Linux 安全修補(bǔ)預(yù)估讓串流效能降低了 0.1%~6% 之間，而這還只是做了 4 個(gè) Meltdown patch 修補(bǔ)的其中之一而已。

Netflix 的經(jīng)驗(yàn)與評(píng)估

布倫丹·格雷格(Brendan Gregg)是 Netflix 工程師，同時(shí)也是 dTrace 專家、硬盤領(lǐng)域知名人士，他制定了一個(gè)“微標(biāo)竿”(microbenchmark)來(lái)評(píng)估針對(duì) Meltdown CPU 設(shè)計(jì)缺陷的 Linux 核心分頁(yè)表隔離(KPTI)修補(bǔ)，并提出精準(zhǔn)可管理的執(zhí)行效能下降預(yù)測(cè)，格雷格表示他的工作以下列 5 個(gè)因素來(lái)評(píng)估修補(bǔ)所產(chǎn)生的開(kāi)銷(overhead)：

系統(tǒng)呼叫率(Syscall rate)?：數(shù)量多到某種程度才會(huì)有可觀的明顯影響，一顆 CPU 每秒有 5 萬(wàn)個(gè)系統(tǒng)呼叫的情況下，額外開(kāi)銷可能有 2%，伴隨著系統(tǒng)呼叫率的增加而這個(gè)數(shù)字又會(huì)再上升。在 Netflix，除了資料庫(kù)以外，高系統(tǒng)呼叫率在云端中不常見(jiàn)。

前后文切換(Context switches)?：這個(gè)增加的額外開(kāi)銷類似系統(tǒng)呼叫率的部分，格雷格認(rèn)為前后文切換率可以簡(jiǎn)單地添加到系統(tǒng)呼叫率里用于后續(xù)的評(píng)估。

分頁(yè)錯(cuò)誤率(Page fault rate)?：錯(cuò)誤率高時(shí)，還會(huì)增加一點(diǎn)額外開(kāi)銷。

存儲(chǔ)器工作集大小(熱資料)?：Working set size(hot data)，超過(guò) 10MB 資料量存取，會(huì)因?yàn)?TLB(CPU 的頁(yè)表快取)沖洗，導(dǎo)致額外開(kāi)銷。這可以將 1% 的開(kāi)銷(系統(tǒng)呼叫循環(huán))變成 7%。這個(gè)很重的額外開(kāi)銷可以透過(guò)兩個(gè)方法降低：1. Linux 4.14 開(kāi)始的 pcid;2. 使用巨大的分頁(yè)。

快取存取類型(Cache access pattern)?：有些存取類型從快取良好到快取不良轉(zhuǎn)變時(shí)，會(huì)讓額外開(kāi)銷遽增，最糟糕可能會(huì)額外增加 10% 的額外開(kāi)銷，例如 7% 的開(kāi)銷增加到 17%。

格雷格的結(jié)論是，在某些情況下，軟件修補(bǔ)所增加的開(kāi)銷，高達(dá) 800%，但如果對(duì)系統(tǒng)做精細(xì)的調(diào)校，對(duì)效能的影響不至于讓人那么無(wú)法接受。Gregg 大幅降低修補(bǔ)帶來(lái)的新程序碼帶給 Linux 的額外開(kāi)銷，Netflix 使用的是 AWS 基礎(chǔ)設(shè)施 ，格雷格的結(jié)論是：基于系統(tǒng)呼叫率，KPTI 的開(kāi)銷在 0.1%到 6% 之間，他有自信把開(kāi)銷降到 2%。

他還考慮到他的雇主 Netflix 使用的 AWS 基礎(chǔ)設(shè)施的影響，并得出結(jié)論“由于我們的系統(tǒng)調(diào)用率，KPTI 的開(kāi)銷在 0.1% 到 6% 之間，我預(yù)計(jì)我們會(huì)把它降低到低于 2% 調(diào)整”，這個(gè)成績(jī)雖然不錯(cuò)，格雷格還沒(méi)有估計(jì)進(jìn)修補(bǔ)對(duì) hypervisors 跟 microcode 對(duì)效能損失的影響。

使用 Linux 服務(wù)器的業(yè)者(包含一般使用者)可以針對(duì)電腦的使用情境重編核心自行調(diào)整，降低修補(bǔ)所帶來(lái)的效能下降問(wèn)題，但對(duì)于廣大一般 Windows、MacOS X 的電腦使用者而言，就沒(méi)這么幸運(yùn)了，沒(méi)有漏洞的 CPU 才是釜底抽薪的方案 。

Intel 提出分區(qū)系統(tǒng)的緩解修補(bǔ)

Intel 在這次的 CPU 漏洞風(fēng)暴可以說(shuō)是跌個(gè)滿頭包，不斷被動(dòng)的應(yīng)付。終于在 3 月 15 日上午，Intel 宣布針對(duì) Meltdown 和 Specter v2 漏洞，提出分區(qū)系統(tǒng)的硬件緩解(mitigations)修補(bǔ)，將會(huì)實(shí)做在 Xeon server/HEDT platform 下一代的 Cascade Lake，以及第 8 代酷睿(Core)處理器里。

要特別注意的是，Intel 在硬件做出來(lái)的改變只能緩解 Meltdown(Intel 稱為“variant 3”)和 Specter v2，是透過(guò)新的分區(qū)系統(tǒng)減輕了漏洞，同時(shí)改善了行程(process)和特權(quán)級(jí)別(privilege-level)分離，類似“防護(hù)墻”的做法。

Intel 2018 的 Meltdown 與 Spectre 緩解計(jì)劃如下：

Meltdown?：以硬件解決

Spectre variant 1?：繞過(guò)邊界檢查(bounds check bypass)的漏洞，目前只能以軟件解決

Spectre variant 2?：分支目標(biāo)注入(branch target injection)漏洞，以硬件解決

很不幸的是 Spectre variant 1 目前還只能靠各軟件開(kāi)發(fā)人員來(lái)解決，而 Spectre 最被大家擔(dān)心的其實(shí)一直都是 v1，整個(gè)產(chǎn)業(yè)的研究人員對(duì) v1 還沒(méi)有深度的理解，不知如何處理，好在 Specter v1 只能用于攻擊同級(jí)的行程而無(wú)法攻擊管理級(jí)的行程，也就是說(shuō)黑客能透過(guò)程序穿透進(jìn)一般使用者等級(jí)的程序與資料，而無(wú)法穿透進(jìn)更安全的系統(tǒng)管理層級(jí)。

雖然是不全面的緩解，但有總比沒(méi)有好。此外，Intel 已經(jīng)針對(duì)過(guò)去 5 年發(fā)布的所有 CPU 產(chǎn)品提供 microcode 更新，甚至 Core 架構(gòu)系列，第二代的 Sandy Bridge 以后都有提供，Intel 還計(jì)劃繼續(xù)處理最久達(dá) 2007 的 cpu 產(chǎn)品的 microcode 更新，包含第一代酷睿處理器(Nehalem / Gulftown / Westmere / Lynnfield / Clarksfield / Bloomfield / Arrandale / Clarkdale)和 45nm Core 2 處理器(Penryn / 的 Yorkfield / Wolfdale 處理器 / Hapertown) ，但是 65 納米 Core 2(Conroe 等)不在內(nèi)，然而最大的課題應(yīng)該是：主機(jī)板業(yè)者愿不愿意提供采用舊 CPU 的機(jī)板 BIOS 更新?品牌電腦業(yè)者針對(duì)過(guò)保固的產(chǎn)品是否愿意提供更新呢?

畢竟是硬件有缺陷，總是要修補(bǔ)，但追根究底還是要改良硬件設(shè)計(jì)來(lái)徹底解決 Meltdown 與 Spectre 的漏洞。Intel 最終可能在 2018 末、2019 初發(fā)布的第九代酷睿處理器架構(gòu) Ice Lake，透過(guò)改變?cè)O(shè)計(jì)解決上述問(wèn)題。在此之前，終端消費(fèi)者還是要關(guān)注好自身的權(quán)益，請(qǐng)?jiān)?gòu)買產(chǎn)品的公司提出解決方案。