Geçerli Meltdown Intel işlemci güvenlik açığı şu anda sayfa tablosu yalıtımının etkinleştirilmesiyle giderilmiştir. Bunun nasıl kapatılacağı hakkında bir soru var: Intel CPU güvenlik boşluğu yaması nedeniyle kaybedilen performansı geri kazanmak için Sayfa Tablosu İzolasyonunu nasıl devre dışı bırakabilirim?

Sorumu tam tersi: PTI mekanizmasının sistemde etkili olup olmadığını ve böylece sistemin korunup korunmadığını kontrol etmenin bir yolu var mı? Özellikle çekirdek sürümünü veya config parametresini veya benzerlerini denetlemiyorum cat /proc/somethingveya cat /sys/somethingaramıyorum.

Mevcut tüm azaltma işlemlerini görmek için aşağıdaki komutu çalıştırabilirsiniz (yalnızca PTI için değil, diğer güvenlik açıkları için):

$ cat /sys/devices/system/cpu/vulnerabilities/*
Mitigation: PTE Inversion
Mitigation: Clear CPU buffers; SMT vulnerable
Mitigation: PTI
Mitigation: Speculative Store Bypass disabled via prctl and seccomp
Mitigation: usercopy/swapgs barriers and __user pointer sanitization
Mitigation: Full generic retpoline, IBPB: conditional, IBRS_FW, STIBP: conditional, RSB filling

• Raniz'in önerdiği gibi CONFIG_PAGE_TABLE_ISOLATION öğesinde Grepping , masaüstü Ubuntu masaüstünde yardımcı olmaz, ancak bulut örneklerinde yardımcı olabilir:

  grep CONFIG_PAGE_TABLE_ISOLATION=y /boot/config-`uname -r` && \
  echo "patched :)" || echo "unpatched :("
  

• Sen ile kontrol edebilirsiniz /proc/cpuinfoolarak JonasCz önerdi :

  grep -q "cpu_insecure\|cpu_meltdown\|kaiser" /proc/cpuinfo && echo "patched :)" \
  || echo "unpatched :("
  

• Ya da dmesg( Jason Creighton sayesinde ):

  dmesg | grep -q "Kernel/User page tables isolation: enabled" \
  && echo "patched :)" || echo "unpatched :("
  

• Meltdown tespiti için test programını Raphael Carvalho'den derleyebilirsiniz :

  sudo apt-get install git build-essential
  cd /tmp
  git clone https://github.com/raphaelsc/Am-I-affected-by-Meltdown.git
  cd Am-I-affected-by-Meltdown
  make
  sudo sh -c "echo 0  > /proc/sys/kernel/kptr_restrict"
  ./meltdown-checker
  

yamalı sistemde çıktıyla bitmesi gerekir

...
so far so good (i.e. meltdown safe) ...

System not affected (take it with a grain of salt though as false negative
may be reported for specific environments; Please consider running it once again).

• Https://github.com/speed47/spectre-meltdown-checker adresinden alet ile kontrol edin :

  cd /tmp
  wget https://raw.githubusercontent.com/speed47/spectre-meltdown-checker/master/spectre-meltdown-checker.sh
  sudo sh /tmp/spectre-meltdown-checker.sh
  

Yamalı sistemde aşağıdakileri göstermelidir:

Spectre and Meltdown mitigation detection tool v0.27

Checking for vulnerabilities against live running kernel Linux 4.4.0-109-generic #132-Ubuntu SMP Tue Jan 9 19:52:39 UTC 2018 x86_64
...
CVE-2017-5754 [rogue data cache load] aka 'Meltdown' aka 'Variant 3'
* Kernel supports Page Table Isolation (PTI):  YES 
* PTI enabled and active:  YES 
> STATUS:  NOT VULNERABLE  (PTI mitigates the vulnerability)

Xenial'e 4.4.0-108-generic yüklemeyin! Bu çizme / yeniden başlatma / kapatma kırar / işlevsellik askıya !

4.4.0-109-generic'i kurun ( detaylar için USN-3522-3'e bakınız)!

As Robie Başak zaten yazdım , orada ilgili bir sayfa Spectre ve Meltdown Ubuntu durumunu açıkları .

Ayrıca var:

• CVE-2017-5715 için Ubuntu Güvenlik Bülteni
• CVE-2017-5753 için Ubuntu Güvenlik Bülteni
• CVE-2017-5754 için Ubuntu Güvenlik Bülteni

Aşağıdaki komutu çalıştırın:

dmesg | grep 'page tables isolation'

Etkin görünüyorsa, PTI etkindir. Hiçbir şey gösterilmezse veya terminalde 'devre dışı bırakılmış' görürseniz, PTI devre dışı bırakılır. Ubuntu henüz düzeltme ekini yayınlamadı, bu yüzden herhangi bir mesaj göstermiyor.

"Hatalar" altında cat /proc/cpuinforapor edip etmediğini kontrol edebilirsiniz cpu_insecure, sonra PTI etkindir.

Boşsa (ya da sadece listelenmiyorsa cpu_insecure), büyük olasılıkla henüz henüz eklenmemiş bir çekirdeği kullanıyorsunuz (Ubuntu'nun yapmadı) veya bir AMD işlemciniz var (bunun için bunlar önceden etkinleştirilmez çünkü savunmasız değilsin).

Şu anda tüm CPU'lar en son 4.15 çekirdeğinde savunmasız olarak değerlendirilmektedir .

Meltdown / spectre açıklarını sisteminizde test etmek için bu harika sh komut dosyasını buldum:

https://github.com/speed47/spectre-meltdown-checker

Bu komut dosyası, bu güvenlik açıklarının şimdi işletim sisteminiz tarafından azaltılıp azaltılmadığını size bildirmek için sisteminizdeki bilinen Meltdown ve hayalet düzeltme eklerini denetler

Kontrol edebilirsiniz /proc/config.gz için CONFIG_PAGE_TABLE_ISOLATION=yçekirdek KPTI ile derlendi anlamına gelmektedir.

Bu benim 4.14.11-1 çalıştıran yamalı Arch Linux sistemimde:

$ zgrep CONFIG_PAGE_TABLE_ISOLATION /proc/config.gz 
CONFIG_PAGE_TABLE_ISOLATION=y

AWS Ubuntu 14.04.5 LTS EC2 örneğimde koştum

grep CONFIG_PAGE_TABLE_ISOLATION /boot/config-$(uname -r)

Söylemeliyim:

CONFIG_PAGE_TABLE_ISOLATION=y

Güncelleme için yaptım:

sudo apt-get update && sudo apt-get install linux-image-generic

Bence bu da sorun değil:

sudo apt-get update
sudo apt-get dist-upgrade

Çekirdek versiyonunu kontrol etmek için:

uname -r

3.13.0-139-jenerik veya daha yeni olması gerekiyor .