CPU漏洞頻現(xiàn)，如何不在性能和安全之間二選一？

盡管Meltdown和Spectre兩大CPU漏洞發(fā)生在2018年年初，但近半年的時間并沒有讓其帶來的影響完全消除。一是因為這兩個漏洞本身帶來的影響足夠大，甚至可以用掀起IT界的“地震”來形容；二是自從1月份以來，新的CPU漏洞不斷被曝出，不論是英特爾、AMD、ARM、Power等無一幸免，“下一代Spectre”、“Meltdown-Spectre變種”等字眼不斷出現(xiàn)在各大科技媒體頭條。

如此形勢下，如何降低甚至消除Meltdown和Spectre帶來的影響，成為廣大用戶尤其是企業(yè)級IT用戶討論的熱點。在芯片供應商、OS廠商、應用提供商已經紛紛發(fā)布針對漏洞補丁的今天，為什么Meltdown和Spectre還能引發(fā)討論？實際上，這里存在一個不可消除的矛盾點，也就是在安全性和性能之間如何選擇。

修補漏洞對應用性能造成的影響

為了不對安全帶來影響，解決Meltdown和Spectre漏洞最直接的方法就是打補丁。然而這一方法卻導致應用性能顯著下降，這也是英特爾等公司備受詬病與壓力的原因。

這里有必要再提下Meltdown和Spectre漏洞產生的原因，其中亂序執(zhí)行（Out-of-order Execution）、推測執(zhí)行（Speculative Execution）和分支預測（Branch Prediction）三大CPU采用的技術是造成漏洞產生的根本原因。簡單理解，Meltdown破壞了位于用戶應用和操作系統(tǒng)之間的基本隔離，導致程序可能訪問其他程序和操作系統(tǒng)內存，從而產生敏感信息會被竊取的可能性。Spectre則是破壞了不同應用程序之間的隔離， 處理器會推測在未來有用的數(shù)據并執(zhí)行計算，當這些數(shù)據被需要時可立即使用。但是處理器沒有很好地將低權限的應用程序與訪問內核內存分開，這意味著攻擊者可以使用惡意應用程序來獲取應該被隔離的私有數(shù)據。

然而為了應對這一問題，目前的補丁技術只能是使用軟件來降低黑客利用預測執(zhí)行來入侵內核內存，主要的補丁是將每個進程的內核地址和用戶地址共享映射表改為內核地址和用戶地址各有自己獨立的映射表PGD（Page Global Directory），這樣一來在用戶空間根本沒有內核空間的映射表，即使漏洞存在，黑客也不會從內核獲得數(shù)據。但是這樣的代價就是每次系統(tǒng)調用或者中斷發(fā)生時都需要切換映射表，這無疑會影響應用的性能。

因為Meltdown和Spectre主要是產生于用戶態(tài)和內核態(tài)交互之間，黑客利用用戶態(tài)和內核態(tài)之間的短暫未保護狀態(tài)的瞬間竊取信息。所以從應用角度來看，如果應用有很多用戶態(tài)和內核態(tài)之間的交互，顯然受漏洞影響就比較大。如果應用在內核態(tài)和用戶態(tài)之間的操作比較少，它受漏洞的影響也就比較小。

從對于業(yè)界應用的影響來看，英特爾確認性能損失取決于工作負載。比如常見的OLTP應用，為了提升效率，往往需要將資料緩存到內存中，所有的OLTP操作都是由內核來完成，如果不使用Meltdown和Spectre的補丁，應用很容易被黑客攻擊；如果使用補丁，根據第三方測試數(shù)據，應用性能可能會有8% 到19%的損失。對于一些內核層和用戶層很少通訊的應用來講，性能影響就會小些甚至不受影響。

根據業(yè)內分析發(fā)現(xiàn)，應用修復所產生的系統(tǒng)性能影響如下所示：

? 模擬常見企業(yè)和云工作負載的基準測試顯示， 性能降低 2% 至 5%。
? 數(shù)據庫分析和Java VM 基準測試顯示，性能降低 3% 至 7%。
? 在線交易類的 OLTP 基準測試顯示，性能降低 8% 至 19%。
? 使用了支持加速器技術（包括 DPDK、RDMA 等） 網卡的應用性能退化微乎其微，甚至完全不受影響。

（圖）修復后的不同類型應用的平均性能損失

所以，總體看來，使用犧牲性能的方式來解決問題，無疑不是一個好的方案。

如何不在安全與性能之間二選一

由于Meltdown和Spectre問題來源于CPU，最根本的解決辦法就是改變CPU從內存和磁盤讀取數(shù)據的方式，實現(xiàn)既不損失性能又有安全保障。但是這是一個很艱巨的任務，很難在短期內實現(xiàn)。

Mellanox公司亞太及中國區(qū)市場開發(fā)高級總監(jiān)宋慶春在接受至頂網采訪時表示，“當前的最佳解決方案就是盡量做到CPU Offload，減少內核層和用戶層之間的溝通， 比如使用RDMA技術來Bypass CPU，使用NVMe over Fabric Offload來將CPU操作的內核拷貝跳過，使用GPU Direct RDMA技術跳過GPU內存和CPU內存的拷貝等。另外使用網卡硬件來做應用和應用之間的安全隔離來避免使用CPU來做軟件隔離，也是預防漏洞的有效方法之一?！?/p>

所以，解決Meltdown和Spectre問題的關鍵就是減少CPU和應用的溝通，RDMA和智能網卡做的就是讓CPU盡量只做計算，所有通訊和安全的操作由網絡來做，從而切斷黑客訪問應用的途徑。此外，還包括DPDK技術，“它們實際是把原來由內核操作的很多工作放到用戶態(tài)去做，這樣很多操作就跟內核態(tài)沒有關系了。通過在用戶態(tài)之間建立應用和應用之間隔離，避免和內核態(tài)之間的交互，來降低這些漏洞帶來的風險?，F(xiàn)在RDMA技術已經被廣泛應用到了各種各樣的應用當中，從很多采用RDMA的應用來看，可以看到它被Meltdown和Spectre這兩個漏洞影響的機會非常小，而且對性能的影響非常低，甚至做到沒有影響。” 宋慶春說。

所以，這在另一個層面又回到了卸載技術與加載技術的爭論。卸載技術尋求克服CPU的性能瓶頸，主要方式是對在集群內移動的數(shù)據執(zhí)行各種網絡功能以及復雜的通信操作，如協(xié)同操作和數(shù)據聚集操作。以Mellanox為代表的網絡廠商推出了卸載技術（如 RDMA 和 DPDK）， 將處理TCP/IP和存儲堆棧的重任轉移至網絡適配器，緩解主要系統(tǒng)處理器的壓力。這樣可以提升性能，并緩解了修補Spectre 和Meltdown 后通常造成的性能損失。

主流應用享受RDMA帶來的安全與性能提升

現(xiàn)在包括計算、存儲、大數(shù)據、虛擬化等諸多市場上的主流應用已經應用RDMA、DPDK等Kernel Bypass的技術來規(guī)避和降低Spectre 和Meltdown帶來的影響，并提升性能。

宋慶春指出，在存儲方面，無論是對象存儲的CEPH、塊存儲的iSCSI、文件存儲的Cluster File System以及NVMe over Fabric等等，都已經有RDMA的版本。此外，在各種人工智能的主流框架中，包括TensorFlow、CNTK、Caffe2、MXNet、PaddlePaddle，以及商湯科技、Face++等公司的私有框架，也都有了基于RDMA的實現(xiàn)。還包括大數(shù)據處理的主流框架Spark以及虛擬化方面，都諸多應用到了RDMA或者DPDK的技術，以CPU Offload減少內核層和用戶層之間的溝通，預防漏洞的同時，同時性能得到顯著提升。

小結

所以，以CPU Offload如RDMA 和 DPDK的方案帶來的明顯價值是讓用戶不用在安全性和在應用性能之間做權衡。以往來說，在面對Spectre 和Meltdown時，如果選擇性能不打補丁，就可能帶來安全隱患的影響。如果選擇打補丁，則導致應用性能受到影響。

其實，可以不必在性能與安全之間二選一，你有一個更好的選擇！

生成海報

免責聲明：本網站內容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網站出現(xiàn)的信息，均僅供參考。本網站將盡力確保所提供信息的準確性及可靠性，但不保證有關資料的準確性及可靠性，讀者在使用前請進一步核實，并對任何自主決定的行為負責。本網站對有關資料所引致的錯誤、不確或遺漏，概不負任何法律責任。任何單位或個人認為本網站中的網頁或鏈接內容可能涉嫌侵犯其知識產權或存在不實內容時，應及時向本網站提出書面權利通知或不實情況說明，并提供身份證明、權屬證明及詳細侵權或不實情況證明。本網站在收到上述法律文件后，將會依法盡快聯(lián)系相關文章源頭核實，溝通刪除相關內容或斷開相關鏈接。