Embora as CPUs Intel não sejam fornecidas com suporte a paginação em cinco níveis, espera-se que elas cheguem em breve. Assim, os kernels de distribuição devem se preparar para habilitar a funcionalidade para esse recurso para estender a memória endereçável suportada. Com isso, o kernel da linha principal também está olhando para a paginação em 5 níveis para sua configuração padrão do kernel. Portanto, o Kernel Linux vai ativar paginação em 5 níveis por padrão.
Os desenvolvedores de Linux da Intel trabalham há vários anos no suporte de paginação em cinco níveis para aumentar o espaço de endereço virtual e físico. O objetivo é suportar grandes servidores com grandes quantidades de RAM.
Kernel Linux vai ativar paginação em 5 níveis por padrão
A paginação em cinco níveis aumenta o espaço de endereço virtual de 256 TiB para 128 PiB e o espaço de endereço físico de 64 TiB para 4 PiB. A paginação em 5 níveis da Intel funciona estendendo o tamanho dos endereços virtuais para 57 bits, de 48 bits.
O suporte de paginação em cinco níveis para o kernel Linux foi amplamente estabelecido nas versões recentes do kernel, em preparação para o hardware Intel que suporta essa funcionalidade. A opção CONFIG_X86_5LEVEL ainda não foi ativada por padrão. Porém, agora é provável que esteja na próxima versão do kernel.
Por esse patch, permitindo a paginação em cinco níveis por padrão, que deve chegar em breve. No entanto, ainda existem preocupações sobre o impacto no desempenho do código de cinco níveis no hardware de quatro níveis. Além disso, pode haver implicações da paginação de cinco níveis no hardware de cinco níveis quando esse espaço de endereço físico/virtual estendido não é necessário.
Os desenvolvedores da Intel acreditam que as regressões de desempenho descobertas anteriormente com este código foram resolvidas. Portanto, é provável que elas sejam ativadas em breve; veremos nesse ponto se houver outros problemas de desempenho.
Isolamento do espaço de endereço do kernel ainda está sendo usado para limitar vazamentos de dados da Foreshadow & Co
Além do trabalho liderado pela DigitalOcean na programação principal para tornar o Hyper Threading mais seguro à luz de vulnerabilidades de segurança, os engenheiros da IBM e da Oracle continuam trabalhando no Isolamento do Espaço de Endereço do Kernel para ajudar a evitar vazamentos de dados durante ataques.
Complementando o trabalho “Core Scheduling”, o Isolamento do Espaço de Endereço do Kernel também foi discutido na Linux Plumbers Conference desta semana em Lisboa, Portugal. O trabalho de isolamento do espaço de endereço do kernel foi submetido à RFC há alguns meses como um recurso para impedir o vazamento de dados confidenciais durante ataques como L1 Terminal Fault e MDS. O foco neste Kernel ASI é emparelhar com hipervisores como o KVM, além de ser uma estrutura genérica de isolamento de espaço de endereço.
Essa implementação ASI visa impedir ataques de convidado a host e ataques de convidado a convidado através do host em um ambiente virtualizado. Contudo, o suporte ao KVM ASI não impede ataques de convidado a convidado e eles também recomendam fixar VMs a núcleos físicos distintos de CPU, semelhantes ao trabalho de agendamento de núcleo.
Deve entrar no próximo Kernel em 2020
O Isolamento do Espaço de Endereço do Kernel não está pronto para entrar no kernel este ano. No entanto, os desenvolvedores têm mais melhorias planejadas, além de implementar a memória local do kernel e ainda ponderar “a complexidade vale o benefício?” Eles ainda precisam avaliar as implicações de desempenho do Kernel ASI, mas a esperança é que ele ainda tenha um desempenho melhor do que desativar o Hyper Threading.
Mais detalhes sobre o isolamento do espaço de endereço do kernel do Linux por meio deste deck de slides (PDF) da apresentação conjunta Oracle-IBM na LPC 2019.
