Chyby v CPU Meltdown a Spectre

Podstata chyb Meltdown a Spectre

Už někdy během loňského roku došlo k objevení chyby v samotné architektuře procesorů Intel. Ta sahá do daleké minulosti a je velmi pravděpodobné, že ji obsahují všechny CPU společnosti Intel vyrobené v posledních 20 letech. V čem přesně problém spočívá?

Nejčastěji prováděné úlohy se procesory snaží vykonat s předstihem, aby je v případě potřeby mohly pouze rychle načíst z cache paměti. Takových úloh provádí CPU řadu, jen některé z nich ale najdou své uplatnění. Jejich pozůstatky pak zůstávají uchované v cache paměti, dokud nejsou přepsány. A právě k těmto místům jsou v procesorech otevřena postranní vrátka. Útok touto metodou se nazývá Spectre a lze ho aplikovat na Intel, ARM i AMD procesory.

V případě chyby Meltdown jsou postiženy procesory Intel a kupodivu i ARM Cortex-A75. V důsledku hardwarové chyby v návrhu procesorů dochází při načítaní spekulativních výpočtů k zásahu až do samotného jádra operačního systému. Útočník poté může získat přístup k těm nejcitlivějším údajům. Procesor totiž pozdě přiřadí uživatelská práva na jednotlivé spekulativní výpočty. Než dojde k jejich aplikaci, jsou data útočníkem přečtena.

Možná si řeknete, že vaše data nestojí nikomu za poměrně složité sledování. Ale jakékoli cloudové úložiště běží na virtuálních serverech, a právě tato chyba je klíčem ke čtení různých procesů (souborů) v celém cloudu. Na vícejádrovém serveru tak útočník s použitím chytrého ransomware „přeskakuje“ z jednoho procesorového vlákna na druhé. To už je pořádný průšvih. Jedinou polehčující okolností je, že data lze pouze číst a nelze je nijak poškodit, nebo dokonce podvrhnout. Co s tím zejména Intel provede?

Ochrana proti chybám Meltdown a Spectre

První zprávy ze začátku ledna zněly hrozivě. Pokles výkonu až o 30 % by jistě zaznamenal na svém PC prakticky každý uživatel. Jaká je však pravda? S mírným odstupem se totiž již můžeme podívat na několik nezávislých testů po první velké vlně záplatování. V rámci aktualizace došlo dokonce i na dosud nevídanou odstávku profesionální virtualizační platformy EC2 společnosti Amazon.

Společnost Microsoft již v těchto dnech záplatovala prakticky všechny verze Windows včetně již jinak nepodporovaného Windows XP. Své opravy obdrželo pochopitelně jádro Linuxu a samozřejmě macOS. Aktuálně došlo také ke kompletní ochraně majitelů telefonů iPhone nebo tabletů Apple iPad, konkrétně se jedné o iOS 11.2.2. Uživatelé systému Android to mají horší. Aktualizace totiž získají jen poslední generace klíčových telefonů velkých značek. Většina výrobců se totiž o prodané telefony moc nestará a neposkytuje pravidelné bezpečnostní záplaty. Je to taková daň za bezplatný operační systém, který je roztříštěn na tisíce různých hardwarových konfigurací. Netřeba ale panikařit, provedení útoku je velmi složité a extrémně pracné, a tak relativně nepravděpodobné.

Meltdown a Spectre, reálný dopad na výkon

Prakticky nejlépe na tom jsou majitelé iPhonů a iPadů, u kterých je měřitelný pokles na úrovni 2,5 %. U starších modelů iPhone 6 nebo 6s je pokles vyšší, klidně kolem 15 %. Nelze však spolehlivě vyhodnotit, zda je pokles vázaný na bezpečnostní aktualizaci, nebo zda jde o pokles daný nižším výkonem staršího zařízení s opotřebovanou baterií.

U typických domácích počítačů z poslední doby (od generace Intel Skylake) je pokles opět v řádu malých jednotek procent. Viditelný rozdíl není ani ve hrách, kde však podle testů roste celkové využití procesoru. U starších procesorů lze očekávat propad poněkud vyšší, v rozmezí 10–20 % (dle tiskové zprávy společnosti Intel se pokles bude držet spíše kolem 10 %). To už je poměrně citelný pokles. Vzhledem ke stáří procesorů doporučujme upgrade na novou platformu.

Ještě vyšší pokles je však zaznamenán u provozovatelů velkých datacenter, která přibližně v 90 % sází na platformu Intel. Očekávaný propad u databázových serverů se pak pohybuje nad 20 %, což je opravdu hodně. Jistě bude zajímavé sledovat, jak se s tím Intel vypořádá.

Jak je na tom Coffee Lake?

Možná vás ve spojení s chybami Meltdown a Spectre zajímá, jak jsou na tom aktuálně prodávané procesory řady Intel Coffee Lake. Ano, tipujete správně. Chyby obsahují už z továrny a Intel nemá žádnou šanci s tím něco udělat. Výhodou je, že po nainstalování operačního systému bude chyba automaticky opravena. Zpětně však vychází najevo, že Intel o chybě věděl ještě před startem prodejů řady Coffee Lake.

Intel konečně připravil záplaty chyb Meltdown a Spectre

Intel vyčlenil masivní lidské zdroje na opravu chyb Meltdown a Spectre. Počáteční problémy (zhruba od půlky ledna do půlky února) jsou konečně odstraněné a nic nebrání instalaci update. Původní plán s aktualizací mikrokódu CPU pomocí BIOSu je pasé. Nejen, že by se k takovému kroku odhodlalo zcela mizivé množství uživatelů, navíc ani výrobci pro starší desky nové verze BIOSu již nevydávají. Řešení však našel Microsoft a potřebnou aktualizaci zpřístupnil přes službu Windows Update. Zatím jsou k dispozici aktualizace pro starší procesory generace Haswell a Broadwell.

Finální hardwarová oprava je stále poměrně daleko a zatím je nutné jít cestou softwarových záplat. Aktualizovaný mikrokód procesoru se aplikuje při startu systému a není nutné aktualizovat BIOS. U velkých datacenter, kde běží stovky a tisíce serverů, se však jedná dle mnohých nezávislých zdrojů o největší hrozbu v dějinách počítačů.

Zdroj obrázků: Bleepingcomputer.com