L'attuale vulnerabilità del processore Intel Meltdown viene attualmente risolta con l'isolamento della tabella delle pagine abilitato. C'è una domanda su come disattivarlo: come disabilitare l'isolamento della tabella delle pagine per recuperare le prestazioni perse a causa della patch della falla di sicurezza della CPU Intel?

La mia domanda è opposta: esiste un modo per verificare su un sistema in esecuzione se il meccanismo PTI è efficace sul sistema e quindi il sistema è protetto? Sto specificamente cercando cat /proc/somethingo cat /sys/something, non controllando la versione del kernel, i parametri di configurazione o simili.

È possibile eseguire il comando seguente per visualizzare tutte le mitigazioni disponibili (non solo per PTI ma anche per altre vulnerabilità):

$ cat /sys/devices/system/cpu/vulnerabilities/*
Mitigation: PTE Inversion
Mitigation: Clear CPU buffers; SMT vulnerable
Mitigation: PTI
Mitigation: Speculative Store Bypass disabled via prctl and seccomp
Mitigation: usercopy/swapgs barriers and __user pointer sanitization
Mitigation: Full generic retpoline, IBPB: conditional, IBRS_FW, STIBP: conditional, RSB filling

• Greppare CONFIG_PAGE_TABLE_ISOLATION nella configurazione del kernel come suggerito da Raniz non aiuta su Ubuntu desktop, ma può aiutare su istanze cloud:

  grep CONFIG_PAGE_TABLE_ISOLATION=y /boot/config-`uname -r` && \
  echo "patched :)" || echo "unpatched :("
  

• Puoi controllare /proc/cpuinfocome suggerito JonasCz :

  grep -q "cpu_insecure\|cpu_meltdown\|kaiser" /proc/cpuinfo && echo "patched :)" \
  || echo "unpatched :("
  

• O da dmesg(grazie a Jason Creighton ):

  dmesg | grep -q "Kernel/User page tables isolation: enabled" \
  && echo "patched :)" || echo "unpatched :("
  

• È possibile compilare un programma di test da Raphael Carvalho per il rilevamento di Meltdown:

  sudo apt-get install git build-essential
  cd /tmp
  git clone https://github.com/raphaelsc/Am-I-affected-by-Meltdown.git
  cd Am-I-affected-by-Meltdown
  make
  sudo sh -c "echo 0  > /proc/sys/kernel/kptr_restrict"
  ./meltdown-checker
  

sul sistema patchato dovrebbe finire con l'output

...
so far so good (i.e. meltdown safe) ...

System not affected (take it with a grain of salt though as false negative
may be reported for specific environments; Please consider running it once again).

• Verificare con lo strumento da https://github.com/speed47/spectre-meltdown-checker :

  cd /tmp
  wget https://raw.githubusercontent.com/speed47/spectre-meltdown-checker/master/spectre-meltdown-checker.sh
  sudo sh /tmp/spectre-meltdown-checker.sh
  

Sul sistema con patch dovrebbe mostrare quanto segue:

Spectre and Meltdown mitigation detection tool v0.27

Checking for vulnerabilities against live running kernel Linux 4.4.0-109-generic #132-Ubuntu SMP Tue Jan 9 19:52:39 UTC 2018 x86_64
...
CVE-2017-5754 [rogue data cache load] aka 'Meltdown' aka 'Variant 3'
* Kernel supports Page Table Isolation (PTI):  YES 
* PTI enabled and active:  YES 
> STATUS:  NOT VULNERABLE  (PTI mitigates the vulnerability)

Non installare 4.4.0-108-generico su Xenial! Si rompe boot / riavvio / spegnimento / sospendere funzionalità !

Installa 4.4.0-109-generico ( vedi USN-3522-3 per i dettagli)!

Come già scritto da Robie Basak , c'è una pagina sullo stato delle vulnerabilità di Spectre e Meltdown in Ubuntu .

Inoltre ci sono:

• Bollettino sulla sicurezza di Ubuntu per CVE-2017-5715
• Bollettino sulla sicurezza di Ubuntu per CVE-2017-5753
• Bollettino sulla sicurezza di Ubuntu per CVE-2017-5754

Esegui il seguente comando:

dmesg | grep 'page tables isolation'

Se viene visualizzato abilitato, PTI è abilitato. Se non viene visualizzato nulla o viene visualizzato "disabilitato" nel terminale, PTI è disabilitato. Ubuntu non ha ancora pubblicato la patch, quindi non visualizzerà alcun messaggio.

È possibile verificare con cat /proc/cpuinfo, se riporta cpu_insecurein "bug", quindi PTI è abilitato.

Se è vuoto (o semplicemente non elenca cpu_insecure), molto probabilmente stai eseguendo un kernel che non è stato ancora patchato (quello di Ubuntu non lo è) o hai un processore AMD (per il quale questo probabilmente non sarà abilitato, dal momento che non sei vulnerabile).

Attualmente tutte le CPU sono considerate vulnerabili nell'ultimo kernel 4.15.

Ho trovato questo fantastico script sh per testare le vulnerabilità di Meltdown / spettro sul tuo sistema:

https://github.com/speed47/spectre-meltdown-checker

Lo script controlla il tuo sistema con Meltdown noto e patch di spettro sul tuo sistema per dirti se queste vulnerabilità sono ora mitigate dal tuo sistema operativo

Puoi controllare /proc/config.gz per CONFIG_PAGE_TABLE_ISOLATION=ycui significa che il kernel è stato compilato con KPTI.

Questo è sul mio sistema Arch Linux con patch in esecuzione 4.14.11-1:

$ zgrep CONFIG_PAGE_TABLE_ISOLATION /proc/config.gz 
CONFIG_PAGE_TABLE_ISOLATION=y

Sulla mia istanza AWS Ubuntu 14.04.5 LTS EC2, ho corso

grep CONFIG_PAGE_TABLE_ISOLATION /boot/config-$(uname -r)

Dovrebbe dire:

CONFIG_PAGE_TABLE_ISOLATION=y

Per l'aggiornamento ho fatto:

sudo apt-get update && sudo apt-get install linux-image-generic

Penso che anche questo sia OK:

sudo apt-get update
sudo apt-get dist-upgrade

Per verificare la versione del kernel:

uname -r

Deve essere 3.13.0-139-generico o più recente.