현재 Meltdown Intel 프로세서 취약점은 페이지 테이블 격리를 활성화하여 해결됩니다. 이것을 끄는 방법에 대한 의문이 있습니다 : Intel CPU 보안 취약점으로 인해 성능 손실을 다시 얻기 위해 Page Table Isolation을 비활성화하는 방법은 무엇입니까?

내 질문은 반대입니다. 실행중인 시스템에서 PTI 메커니즘이 시스템에서 효과적이며 시스템이 보호되는지 여부를 확인하는 방법이 있습니까? 내가 특별히 찾고 있어요 cat /proc/something또는 cat /sys/something하지 커널 버전이나 설정 매개 변수 등을 확인.

아래 명령을 실행하여 사용 가능한 모든 완화 방법을 확인할 수 있습니다 (PTI뿐 아니라 다른 취약점도).

$ cat /sys/devices/system/cpu/vulnerabilities/*
Mitigation: PTE Inversion
Mitigation: Clear CPU buffers; SMT vulnerable
Mitigation: PTI
Mitigation: Speculative Store Bypass disabled via prctl and seccomp
Mitigation: usercopy/swapgs barriers and __user pointer sanitization
Mitigation: Full generic retpoline, IBPB: conditional, IBRS_FW, STIBP: conditional, RSB filling

• Raniz 의 제안 대로 커널 구성에서 CONFIG_PAGE_TABLE_ISOLATION을 가져 오는 것은 데스크톱 우분투에는 도움이되지 않지만 클라우드 인스턴스에는 도움이 될 수 있습니다.

  grep CONFIG_PAGE_TABLE_ISOLATION=y /boot/config-`uname -r` && \
  echo "patched :)" || echo "unpatched :("
  

• JonasCz가 제안한/proc/cpuinfo 대로 확인할 수 있습니다 .

  grep -q "cpu_insecure\|cpu_meltdown\|kaiser" /proc/cpuinfo && echo "patched :)" \
  || echo "unpatched :("
  

• 또는 dmesg( Jason Creighton 에게 감사드립니다 ) :

  dmesg | grep -q "Kernel/User page tables isolation: enabled" \
  && echo "patched :)" || echo "unpatched :("
  

• Meltdown 탐지를 위해 Raphael Carvalho 에서 테스트 프로그램을 컴파일 할 수 있습니다 .

  sudo apt-get install git build-essential
  cd /tmp
  git clone https://github.com/raphaelsc/Am-I-affected-by-Meltdown.git
  cd Am-I-affected-by-Meltdown
  make
  sudo sh -c "echo 0  > /proc/sys/kernel/kptr_restrict"
  ./meltdown-checker
  

패치 시스템에서는 출력으로 끝나야합니다.

...
so far so good (i.e. meltdown safe) ...

System not affected (take it with a grain of salt though as false negative
may be reported for specific environments; Please consider running it once again).

• https://github.com/speed47/spectre-meltdown-checker 에서 도구로 확인 하십시오 .

  cd /tmp
  wget https://raw.githubusercontent.com/speed47/spectre-meltdown-checker/master/spectre-meltdown-checker.sh
  sudo sh /tmp/spectre-meltdown-checker.sh
  

패치 된 시스템에서 다음을 표시해야합니다.

Spectre and Meltdown mitigation detection tool v0.27

Checking for vulnerabilities against live running kernel Linux 4.4.0-109-generic #132-Ubuntu SMP Tue Jan 9 19:52:39 UTC 2018 x86_64
...
CVE-2017-5754 [rogue data cache load] aka 'Meltdown' aka 'Variant 3'
* Kernel supports Page Table Isolation (PTI):  YES 
* PTI enabled and active:  YES 
> STATUS:  NOT VULNERABLE  (PTI mitigates the vulnerability)

Xenial에 4.4.0-108-generic을 설치하지 마십시오! 그것은 부팅 / 재부팅 / 종료를 나누기 / 기능을 중지 !

4.4.0-109-generic을 설치 하십시오 ( 자세한 내용은 USN-3522-3 참조)!

Robie Basak이 이미 쓴 것처럼 우분투의 Specter and Meltdown 취약점 상태에 대한 페이지가 있습니다.

또한 있습니다 :

• CVE-2017-5715에 대한 Ubuntu 보안 공지
• CVE-2017-5753에 대한 우분투 보안 공지
• CVE-2017-5754에 대한 Ubuntu 보안 공지

다음 명령을 실행하십시오.

dmesg | grep 'page tables isolation'

enabled로 표시되면 PTI가 활성화 된 것입니다. 아무것도 표시되지 않거나 터미널에 '비활성화 됨'이 표시되면 PTI가 비활성화 된 것입니다. 우분투는 아직 패치를 게시하지 않았으므로 아무런 메시지도 표시하지 않습니다.

당신은 확인 할 수 cat /proc/cpuinfo가보고하는 경우, cpu_insecure"버그"에서, 다음 PTI 사용할 수 있습니다.

비어 있거나 (만 나열 cpu_insecure되지 않은 경우) 아직 패치되지 않은 커널을 실행 중이거나 (Ubuntu 가하지 않은) AMD 프로세서가 있습니다 (AMD 프로세서가 있음). 취약하지 않습니다).

현재 모든 CPU는 최신 4.15 커널에서 취약한 것으로 취급됩니다 .

시스템에서 Meltdown / spectre 취약점을 테스트하는이 훌륭한 sh 스크립트를 찾았습니다.

https://github.com/speed47/spectre-meltdown-checker

스크립트는 시스템에서 알려진 Meltdown 및 스펙터 패치를 확인하여 이러한 취약점이 OS에 의해 완화되었는지 알려줍니다.

확인할 수 있습니다 /proc/config.gz 에 대한 CONFIG_PAGE_TABLE_ISOLATION=y커널 KPTI로 컴파일 된 것을 의미한다.

이것은 4.14.11-1을 실행하는 패치 된 Arch Linux 시스템에 있습니다.

$ zgrep CONFIG_PAGE_TABLE_ISOLATION /proc/config.gz 
CONFIG_PAGE_TABLE_ISOLATION=y

AWS Ubuntu 14.04.5 LTS EC2 인스턴스에서

grep CONFIG_PAGE_TABLE_ISOLATION /boot/config-$(uname -r)

다음과 같이 말해야합니다.

CONFIG_PAGE_TABLE_ISOLATION=y

업데이트를 위해 나는 :

sudo apt-get update && sudo apt-get install linux-image-generic

나는 또한 이것도 괜찮다고 생각한다.

sudo apt-get update
sudo apt-get dist-upgrade

커널 버전을 확인하려면

uname -r

할 필요가 3.13.0-139 제네릭 이상.