英特尔CPU爆LVI漏洞，修复后性能大跌77%

在过去的几周内，intel 和 AMD 分别被爆出 CSME 漏洞以及 L1D Way Predictor 缓存预测漏洞，然后又在不久前，安全研究人员再次发现 intel 处理器存在一个名为 LVI ( Load Value Injection ) 的漏洞，攻击者可通过该漏洞窃取 intel SGX (Software Guard eXtensions) 中储存的秘密信息，英特尔表示只要关闭超线程就能回避这个漏洞，而且也提供了修复漏洞的更新，不过更新或许会造成处理器性能大幅下降，经实测最高甚至下跌了77%。　　

　　LVI 与最初被发现的 Meltdown 和 Spectre 等漏洞类似，都属于瞬态执行漏洞 (Transient-Execution)，源自于一项名为 Speculative Execution 的预测执行技术，早在 2018 年就被发现类似的漏洞，之后 ZombieLoad、RIDL、Fallout 以及 Foreshadow 等攻击也开始出现，其中 Foreshadow 也会对 Intel 的 SGX ( Software Guard Extensions ) 造成影响。　　类似于其它的瞬态执行漏洞，LVI 只能缓解无法彻底修复，SGX 是 intel CPU 指令集的架构扩展，能在内存中分配一个隔离的安全区(enclave)，用于区分及确保加密数据不被泄露或篡改，是一种非对称保护，操作系统以及应用程序不能存取安全区(enclave)的数据，但安全区可以存取外部的虚拟空间。　　SGX 采用了强加密以及硬件级的隔离方式，可确保数据以及程序代码的机密性，防止被篡改，SGX 的设计初衷是为了应用程序以及程序代码就算在操作系统、虚拟机管理程序甚至是 BIOS 固件被劫持的情况下仍能确保安全。　　新发现的 LVI 安全漏洞波及范围很广，包括 Sandy Bridge 架构的二代 Core 处理器及以来的大部分产品，只有 Cascade Lake 二代至强可扩展处理器 、Coffee Lake 九代酷睿、Comet Lake 十代酷睿部份免疫，ice lake 则不受影响。　　据了解，新的 lvi 漏洞比以前的漏洞更难缓解，因为会对内存访问造成影响，与之前的 熔断 漏洞不同，lvi 无法在现有的处理器彻底缓解，只能通过软件修复，但代价非常高，修复后大幅降低 Intel SGX 安全区运算性能，所以将会对系统性能造成极大影响。　　为了看清修复后的影响，外媒 Phoronix 用了一颗 Intel Xeon E3-1275 v6 (kaby lake架构)处理器进行了测试，在 Linux 环境下分别测试了未更新与更新对比，测试包括，分支预测前载入 LFENCE、RET 指令前载入 LFENCE、载入后执行 LFENCE 以及同时载入 LFENCE/RET/ 分支预测等的测试。　　根据测试，在分支预测和 RET 指令前载入 LFENCE 影响减少，性能损失不到 10%，不过，在每个加载指令或所有三个汇编程式选项之后再载入 LFENCE 则会大幅影响处理器的性，最多的跌了 77%。　　　好在这个漏洞对普通用户影响不大，因为主流消费级处理器很少会用到 SGX 保护机制，倒是企业级的处理器会经常用到 SGX 以及虚拟化，所以使用 intel 企业级处理器的用户要多加小心。

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!