Po odhalení chyby Foreshadow (L1TF) Intel CPU, stejně jako předchozí chyby TLBleed, Theo de Raadt, zakladatel OpenBSD, který vytváří bezplatný, multiplatformní operační systém podobný UNIXu, všem doporučil úplně vypnout Intel Hyper-Threading v BIOSu, než toho začnou hackeři využívat.
Hyper-Threading není bezpečný
V příspěvku z tohoto týdne de Raadt uvedl, že kvůli chybám Foreshadow a TLBleed je povinné deaktivovat technologii Hyper-Threading na všech počítačích s procesorem Intel. Tvrdil, že zmírnění těchto nedostatků vyžaduje nový mikrokód CPU a řešení kódování, ale tyto samy o sobě nestačí k zastavení útočníků; Hyper-Threading musí být také zakázán.
Hyper-Threading, což je obchodní název společnosti Intel pro technologii simultánního multithreadingu, je podle zakladatele OpenBSD zásadně narušen. Tato technologie umožňuje CPU sdílet zdroje, které postrádají bezpečnostní odlišovače.
Útoky na postranní kanály, které tato chyba zabezpečení umožňuje, není snadné implementovat, ale věří, že útočníci nakonec najdou způsob, jak zajistit jejich spolehlivé fungování, aby prosakovali paměť jádra nebo více virtuálních počítačů za okolností běžného používání, jako je např. pomocí JavaScriptu v prohlížeči.
Hyper-Threading zhorší chyby spekulativního provádění
Během posledních několika měsíců jsme viděli, že chyby Meltdown a Spectre nebyly jednorázovou zranitelností, kterou bychom mohli jednou opravit a pak na ni zapomenout. Od odhalení Meltdown a Spectre počátkem tohoto roku bylo nalezeno několik nedostatků spekulativního provádění podobných Spectre a je pravděpodobné, že jich budeme i nadále vídat, dokud nebude celá třída chyb spekulativního provádění opravena na úrovni architektury CPU.
de Raadt také věří, že Hyper-Threading sám o sobě v budoucnu zhorší většinu chyb spekulativního provádění, a proto je nyní nejlepší čas jej zakázat. Doporučil také aktualizovat firmware BIOSu, pokud můžete.
Zakladatel OpenBSD kritizoval Intel za to, že není příliš transparentní ohledně toho, jak hodlá jednou provždy opravit tyto spekulativní chyby v provádění, a také za to, že řádně nezdokumentoval, které operační systémy mají tyto chyby zmírnit. Tým OpenBSD se musel naučit, jak zkoumat a vyvíjet vlastní zmírnění na základě toho, co dělaly jiné operační systémy bez velké pomoci Intelu.
OpenBSD verze 6.4 a novější zcela zakáže Hyper-Threading. Verze 6.2 a 6.3, které mohou být u některých společností stále ve výrobě, však neobdrží zpětně portované záplaty kvůli množství práce, která je nutná k odstranění těchto problémů. Zakladatel OpenBSD proto všem doporučil, aby převzali odpovědnost za své vlastní stroje a deaktivovali Intel Hyper-Threading.
Postoj Intelu
Postoj Intelu k tomuto problému je takový, že deaktivace Hyper-Threadingu není nutná pro ochranu, pokud jsou použity všechny ostatní dostupné strategie zmírnění, ale může být vhodné ve velmi malé podmnožině scénářů, kdy IT správci nebo poskytovatelé cloudu nemohou zaručit, že všechny jejich virtualizované operační systémy byly aktualizovány. Společnost již dříve uvedla, že nevirtualizovaná prostředí by měla zaznamenat nízkou míru rizika z chyby Foreshadow, pokud budou jejich systémy aktualizovány. Mnoho uživatelů však nemusí být schopno aktualizovat své systémy pomocí mikrokódu Intel, pokud výrobci základních desek a notebooků nevydají tyto aktualizace i pro starší systémy. Intel také připustil, že zákazníci datových center možná budou muset podniknout další kroky, aby se ochránili nad rámec pouhé aktualizace svých systémů.
Ve skutečnosti je pravděpodobné, že nikdo nedokáže přesně říci, jak malé nebo velké riziko těchto nedostatků bude, protože pokud by mohli, netrvalo by 20 let, než by si uvědomili, jak nebezpečná může být původní chyba Spectre. Nakonec si budeme muset všichni počkat a uvidíme, jak efektivní budou útočníci při zbrojení těchto chyb. Je však odpovědností společnosti Intel a dalších výrobců čipů zajistit, aby jejich zákazníci těžili z co největšího zabezpečení a nebyli vystaveni útokům.
