Re: Meltdown - VMs sicher nach Hypervisor-patch?

Kleine Ergänzung zu meiner vorhergehenden Antwort:

Matt Dillon (DragonFlyBSD) hat eine Anleitung gepostet, wie man
auf bestimmten Intel-Prozessoren ein Microcode-Update durchführen
und dann ggf. IBRS (indirect branch restricted speculation)
einschalten kann:

http://lists.dragonflybsd.org/pipermail/users/2018-January/335633.html

Die Anleitung sollte im wesentlichen auch unter einem aktuellen
FreeBSD funktionieren (auf jeden Fall 12-current), bei dem
cpucontrol(8) die Option -e kennt, um die Prozessorflags im
laufenden Betrieb neu zu lesen.

IBRS hilft gegen Spectre (nicht Meltdown). Aber: Es kommt mit
erheblichen Performance-Einbußen einher. Außerdem hilft es nur
gegen aktuell bekannte Angriffsvektoren und den vorhandenen PoC-
Code. Es ist zu befürchten, dass „die Bösen“ relativ schnell
Varianten finden, die IBRS überwinden. Aktuell würde ich davon
abraten, außer, man ist extrem paranoid oder möchte aus Neugierde
damit experimentieren.

Wie gesagt: Die Problematik, die Spectre zugrundeliegt, wird
uns noch eine Weile beschäftigen. Die einzige wirklich wirksame
Lösung wird letztendlich nur eine neue CPU-Architektur sein,
die das Problem an der Wurzel packt. Die Betriebssysteme und
auch Microcode-Updates für vorhandene Prozessoren können
vielleicht ein wenig an der Sache herumdoktern (und das zu
einem hohen Performance-Preis), es aber nicht völlig lösen.

Meltdown ist da eigentlich noch vergleichsweise harmlos.

Gruß
   Olli

-- 
Oliver Fromme, München   --   FreeBSD + DragonFly BSD
``We are all but compressed light'' - Albert Einstein
To Unsubscribe: send mail to majordomo(at)de.FreeBSD.org
with "unsubscribe de-bsd-questions" in the body of the message