O desenvolvedor Greg Kroah-Hartman, o mantenedor estável do kernel Linux, poderia ter precedido seu discurso de abertura do Open Source Summit Europe, MDS, Fallout, Zombieland e Linux, parafraseando Winston Churchill: Não tenho nada a oferecer além de suor e lágrimas de sangue por lidar com problemas de segurança da CPU da Intel. Assim, segundo diz Greg Kroah-Hartman, principal desenvolvedor do Linux, os chips Intel devem apresentar novos problemas de segurança.
Ou como um desenvolvedor chinês lhe disse recentemente sobre estes problemas: “Esta é uma conversa triste”. A tristeza é que os mesmos problemas de execução especulativa da CPU da Intel, que levaram a problemas de segurança do Meltdown e Spectre, estão bem vivos, causando mais problemas.
Chips Intel devem apresentar novos problemas de segurança, diz principal desenvolvedor do Linux
O problema está em como a Intel solucionou a execução especulativa. A fabricante de processadores antecipou a próxima ação a ser executada pela CPU. Isso acelerou as coisas, porém, há um efeito colateral: também expõe dados ao longo do caminho. Isso já é ruim o suficiente em seu próprio servidor. No entanto, quando rompe as barreiras entre máquinas virtuais (VM) em ambientes de computação em nuvem, é um pesadelo de segurança.
Kroah-Hartman disse:
Esses problemas permanecerão conosco por muito tempo, não desaparecerão. Todos são erros de CPU, de certa forma, são todos o mesmo problema. Contudo, cada um tem que ser resolvido à sua maneira. MDS, RDDL, Fallout, Zombieland: são todas variantes do mesmo problema básico, afirmou.
E todos eles são potencialmente mortais para sua segurança:
O RIDL e o Zombieload, por exemplo, podem roubar dados em aplicativos, máquinas virtuais e até enclaves seguros. O último é realmente engraçado, porque [Intel Software Guard Extensions (SGX)] é o que deveria estar seguro dentro dos recursos da Intel [mas, ao que parece] é realmente perigoso. Você pode ver através disso tudo.
Problema não é exclusivo do Linux
Para corrigir cada problema que aparece, você deve corrigir o kernel Linux e o BIOS e o microcódigo da CPU. Este não é um problema do Linux; qualquer sistema operacional enfrenta o mesmo problema.
O OpenBSD, um BSD Unix dedicado à segurança, em primeiro lugar, Kroah-Hartman admite livremente que foi o primeiro a encontrar a melhor resposta para essa classe de brechas de segurança: transformar o multithreading simultâneo (SMT) da Intel e lidar com o desempenho atingido. O Linux adotou esse método.
Porém, não é suficiente. Você deve proteger o sistema operacional, pois cada nova maneira de explorar o hyperthreading aparece. Para Linux, isso significa liberar os buffers da CPU toda vez que há uma troca de contexto (por exemplo, quando a CPU para de executar uma VM e inicia outra).
Você provavelmente pode adivinhar qual é o problema. Cada liberação de buffer leva muito tempo e, quanto mais VMs, contêineres, o que você estiver executando, mais tempo você perde.
Quão ruins são esses atrasos?
Depende do trabalho. Kroah-Hartman disse que passa seus dias escrevendo e respondendo e-mails. Essa atividade leva apenas 2% de desempenho. Isso não é ruim. Ele também está sempre construindo kernels Linux. Isso leva mais 20% do desempenho atingido. Quão ruim será para você? A única maneira de saber é comparar suas cargas de trabalho.
É claro que depende de você, mas como Kroah-Hartman disse:
A parte ruim disso é que agora você deve escolher: desempenho ou segurança. E essa não é uma boa opção.
Ele também lembrou à multidão de desenvolvedores, a escolha que seu provedor de nuvem fez para você.
Mas espere! As más notícias ainda não acabaram. Você deve atualizar seu kernel do Linux e corrigir seu microcódigo à medida que cada atualização de segurança relacionada à Intel ocorre. A única maneira de estar seguro é executar as mais recentes distribuições Canonical, Debian, Red Hat ou SUSE, ou o mais novo kernel Linux de suporte a longo prazo.
Kroah-Hartman acrescentou:
Se você não estiver usando um kernel de distribuição Linux suportado ou um kernel estável ou de longo prazo, terá um sistema inseguro.
Portanto, com essa observação, você pode atualizar constantemente seu sistema operacional e hardware até que a geração atual de processadores Intel esteja em lojas de antiguidades. E você ficará sem desempenho se optar por colocar a segurança à frente da velocidade.
Fonte: ZDNet
