Kerentanan prosesor Intel Meltdown saat ini sedang diatasi dengan mengaktifkan isolasi tabel halaman. Ada pertanyaan bagaimana cara mematikannya: Bagaimana menonaktifkan Page Table Isolasi untuk mendapatkan kembali kinerja yang hilang karena patch lubang keamanan CPU Intel?

Pertanyaan saya berlawanan: apakah ada cara untuk memeriksa sistem yang sedang berjalan apakah mekanisme PTI efektif pada sistem dan dengan demikian sistem dilindungi? Saya secara khusus mencari cat /proc/somethingatau cat /sys/something, tidak memeriksa versi kernel atau parameter konfigurasi atau sejenisnya.

Anda dapat menjalankan perintah di bawah ini untuk melihat semua mitigasi yang tersedia (tidak hanya untuk PTI tetapi juga untuk kerentanan lainnya):

$ cat /sys/devices/system/cpu/vulnerabilities/*
Mitigation: PTE Inversion
Mitigation: Clear CPU buffers; SMT vulnerable
Mitigation: PTI
Mitigation: Speculative Store Bypass disabled via prctl and seccomp
Mitigation: usercopy/swapgs barriers and __user pointer sanitization
Mitigation: Full generic retpoline, IBPB: conditional, IBRS_FW, STIBP: conditional, RSB filling

• Grepping CONFIG_PAGE_TABLE_ISOLATION dalam konfigurasi kernel seperti yang disarankan Raniz tidak membantu pada desktop Ubuntu, tetapi dapat membantu pada instance cloud:

  grep CONFIG_PAGE_TABLE_ISOLATION=y /boot/config-`uname -r` && \
  echo "patched :)" || echo "unpatched :("
  

• Anda dapat memeriksanya /proc/cpuinfoseperti yang disarankan JonasCz :

  grep -q "cpu_insecure\|cpu_meltdown\|kaiser" /proc/cpuinfo && echo "patched :)" \
  || echo "unpatched :("
  

• Atau dari dmesg(terima kasih kepada Jason Creighton ):

  dmesg | grep -q "Kernel/User page tables isolation: enabled" \
  && echo "patched :)" || echo "unpatched :("
  

• Anda dapat mengkompilasi program uji dari Raphael Carvalho untuk deteksi Meltdown:

  sudo apt-get install git build-essential
  cd /tmp
  git clone https://github.com/raphaelsc/Am-I-affected-by-Meltdown.git
  cd Am-I-affected-by-Meltdown
  make
  sudo sh -c "echo 0  > /proc/sys/kernel/kptr_restrict"
  ./meltdown-checker
  

pada sistem yang ditambal itu harus diakhiri dengan output

...
so far so good (i.e. meltdown safe) ...

System not affected (take it with a grain of salt though as false negative
may be reported for specific environments; Please consider running it once again).

• Periksa dengan alat dari https://github.com/speed47/spectre-meltdown-checker :

  cd /tmp
  wget https://raw.githubusercontent.com/speed47/spectre-meltdown-checker/master/spectre-meltdown-checker.sh
  sudo sh /tmp/spectre-meltdown-checker.sh
  

Pada sistem yang ditambal itu harus menunjukkan yang berikut:

Spectre and Meltdown mitigation detection tool v0.27

Checking for vulnerabilities against live running kernel Linux 4.4.0-109-generic #132-Ubuntu SMP Tue Jan 9 19:52:39 UTC 2018 x86_64
...
CVE-2017-5754 [rogue data cache load] aka 'Meltdown' aka 'Variant 3'
* Kernel supports Page Table Isolation (PTI):  YES 
* PTI enabled and active:  YES 
> STATUS:  NOT VULNERABLE  (PTI mitigates the vulnerability)

Jangan menginstal 4.4.0-108-generik di Xenial! Itu merusak fungsi boot / reboot / shutdown / menangguhkan !

Instal 4.4.0-109-generik ( lihat USN-3522-3 untuk detail)!

Seperti yang sudah ditulis Robie Basak , ada halaman tentang status kerentanan Specter dan Meltdown di Ubuntu .

Juga ada:

• Buletin Keamanan Ubuntu untuk CVE-2017-5715
• Buletin Keamanan Ubuntu untuk CVE-2017-5753
• Buletin Keamanan Ubuntu untuk CVE-2017-5754

Jalankan perintah berikut:

dmesg | grep 'page tables isolation'

Jika tampilannya diaktifkan, maka PTI diaktifkan. Jika tidak ada yang ditampilkan atau Anda melihat 'dinonaktifkan' di terminal, maka PTI dinonaktifkan. Ubuntu belum menerbitkan tambalan, sehingga tidak akan menampilkan pesan apa pun.

Anda dapat memeriksa cat /proc/cpuinfo, jika dilaporkan cpu_insecuredalam "bug", maka PTI diaktifkan.

Jika kosong (atau hanya tidak mencantumkan cpu_insecure), maka kemungkinan besar Anda menjalankan kernel yang belum ditambal (Ubuntu belum), atau Anda memiliki prosesor AMD (yang hal ini tentunya tidak akan diaktifkan, karena mereka tidak rentan).

Saat ini semua CPU diperlakukan sebagai rentan dalam kernel 4,15 terbaru.

Saya menemukan skrip sh yang hebat ini untuk menguji kerentanan Meltdown / momok pada sistem Anda:

https://github.com/speed47/spectre-meltdown-checker

Script memeriksa sistem Anda ke Meltdown yang dikenal dan patch momok pada sistem Anda untuk memberi tahu Anda apakah kerentanan ini sekarang dikurangi oleh OS Anda

Anda dapat memeriksa /proc/config.gz untuk CONFIG_PAGE_TABLE_ISOLATION=yyang berarti bahwa kernel dikompilasi dengan KPTI.

Ini ada di sistem Arch Linux yang saya tambal yang menjalankan 4.14.11-1:

$ zgrep CONFIG_PAGE_TABLE_ISOLATION /proc/config.gz 
CONFIG_PAGE_TABLE_ISOLATION=y

Pada contoh AWS Ubuntu 14.04.5 LTS EC2 saya, saya berlari

grep CONFIG_PAGE_TABLE_ISOLATION /boot/config-$(uname -r)

Seharusnya dikatakan:

CONFIG_PAGE_TABLE_ISOLATION=y

Untuk pembaruan yang saya lakukan:

sudo apt-get update && sudo apt-get install linux-image-generic

Saya pikir ini juga OK:

sudo apt-get update
sudo apt-get dist-upgrade

Untuk memeriksa versi kernel:

uname -r

Harus 3.13.0-139 generik atau lebih baru.