Beberapa tahun yang lalu diusulkan adalah Kernel Address Space Isolation (KASI / ASI) untuk membatasi kebocoran data dengan meningkatnya jumlah serangan eksekusi spekulatif pada CPU. Beberapa organisasi telah terlibat dengan upaya Isolasi Ruang Alamat untuk kernel Linux termasuk IBM, Oracle, dan Google dengan berbagai pendekatan. Insinyur Google awal tahun ini memposting iterasi ASI yang lebih baru yang berfokus pada penggunaan KVM untuk cloud / VM. ASI masih belum berhasil masuk ke kernel arus utama tetapi insinyur Google minggu ini di LPC berpendapat bahwa itu harus menjadi jalan ke depan untuk arus utama dalam menangani kerentanan keamanan CPU ini dengan lebih baik.
Karena kita hanya melihat lebih banyak serangan eksekusi spekulatif seiring waktu (dan tidak ada tanda-tanda akan mereda) dan setiap kerentanan baru yang memerlukan sumber daya dan pengujian teknik yang signifikan, teknisi Google yang menggunakan rute Address Space Isolation mungkin lebih tangguh dan menghasilkan waktu penyelesaian yang lebih cepat pada mitigasi dan lebih murah untuk kinerja.
Dari Google mengambil ASI awal tahun ini dengan patch “RFC” yang disesuaikan dengan KVM mereka:
Address Space Isolation adalah mitigasi keamanan komprehensif untuk beberapa jenis serangan eksekusi spekulatif. Meskipun kernel sudah memiliki beberapa mitigasi kerentanan eksekusi spekulatif, beberapa di antaranya bisa sangat mahal jika diaktifkan sepenuhnya, mis. untuk sepenuhnya memitigasi L1TF menggunakan mekanisme yang ada, diperlukan pembersihan cache L1 pada setiap entri VM tunggal serta menonaktifkan hyperthreading sama sekali. (Meskipun penjadwalan inti dapat memberikan beberapa
perlindungan ketika hyperthreading diaktifkan, itu tidak cukup dengan sendirinya untuk melindungi terhadap semua kebocoran kecuali saudara hyperthread menakjubkan juga dilakukan pada setiap keluar VM.) ASI memberikan mitigasi yang jauh lebih murah untuk kerentanan tersebut sambil tetap memberikan tingkat perlindungan yang hampir sama.
…
Address Space Isolation adalah mitigasi keamanan komprehensif untuk beberapa jenis serangan eksekusi spekulatif. Meskipun kernel sudah memiliki beberapa mitigasi kerentanan eksekusi spekulatif, beberapa di antaranya bisa sangat mahal jika diaktifkan sepenuhnya, mis. untuk sepenuhnya memitigasi L1TF menggunakan mekanisme yang ada, diperlukan pembersihan cache L1 pada setiap entri VM tunggal serta menonaktifkan hyperthreading sama sekali. (Meskipun penjadwalan inti dapat memberikan beberapa perlindungan ketika hyperthreading diaktifkan, itu tidak cukup dengan sendirinya untuk melindungi terhadap semua kebocoran kecuali saudara hyperthread menakjubkan juga dilakukan pada setiap keluar VM.) ASI memberikan mitigasi yang jauh lebih murah untuk kerentanan tersebut sambil tetap menyediakan tingkat perlindungan yang hampir serupa. Junaid Shahid dan Ofir Weisse, keduanya dari Google, menggunakan Linux Plumbers Conference minggu ini di Dublin untuk mencoba membangkitkan minat baru untuk menggunakan Address Space Isolation.
Tidak hanya ASI berarti penurunan kinerja yang lebih sedikit, tetapi patching untuk kerentanan baru harus berarti lebih sedikit perubahan kode / sumber daya rekayasa yang diperlukan.
Tetapi salah satu tantangan dengan ASI itu sendiri adalah ia menyentuh banyak kode kernel tingkat rendah untuk diterapkan. Dengan ASI menyentuh manajemen memori, penanganan interupsi, hypervisor (KVM), dll, peningkatan awal untuk ASI bersifat invasif. ASI juga perlu membuktikan bahwa itu bisa sama amannya dengan teknik mitigasi yang ada tetapi lebih mahal.
Tapi setidaknya para insinyur Google percaya ASI bisa seefektif teknik mitigasi yang ada sambil mengurangi overhead.
Masih harus dilihat apakah/kapan Isolasi Ruang Alamat akan berada dalam kondisi yang cukup baik untuk kernel arus utama setidaknya untuk penggunaan hypervisor KVM. Dengan sumber daya Google, kita akan melihat apakah itu bisa terjadi lebih cepat daripada nanti atau apakah itu akan membutuhkan beberapa serangan eksekusi spekulatif dengan penurunan kinerja lebih lanjut sebelum didorong. Mereka yang ingin mempelajari lebih lanjut tentang pekerjaan ASI Google saat ini untuk Linux dapat melihat slide deck ini dan presentasi LPC 2022 yang disematkan di bawah ini.
Itulah berita seputar Insinyur Google Berpendapat Untuk Linux “ASI” Untuk Menangani Serangan Eksekusi Spekulatif dengan Lebih Baik, semoga bermanfaat. Disadur dari Phoronix.com.