Die aktuelle Sicherheitsanfälligkeit in Meltdown Intel-Prozessoren wird derzeit behoben, indem die Seitentabellenisolierung aktiviert wird. Es gibt eine Frage, wie Sie dies deaktivieren können : Wie Sie die Seitentabellenisolation deaktivieren, um die aufgrund des Sicherheitslücken-Patches für die Intel-CPU verlorene Leistung wiederherzustellen?

Meine Frage ist umgekehrt: Gibt es eine Möglichkeit, auf einem laufenden System zu überprüfen, ob der PTI-Mechanismus auf dem System wirksam ist und somit das System geschützt ist? Ich bin speziell auf der Suche nach cat /proc/somethingoder cat /sys/somethingnicht auf Kernel-Version oder Konfigurationsparameter oder dergleichen zu überprüfen.

Sie können den folgenden Befehl ausführen, um alle verfügbaren Abhilfemaßnahmen anzuzeigen (nicht nur für PTI, sondern auch für andere Sicherheitsanfälligkeiten):

$ cat /sys/devices/system/cpu/vulnerabilities/*
Mitigation: PTE Inversion
Mitigation: Clear CPU buffers; SMT vulnerable
Mitigation: PTI
Mitigation: Speculative Store Bypass disabled via prctl and seccomp
Mitigation: usercopy/swapgs barriers and __user pointer sanitization
Mitigation: Full generic retpoline, IBPB: conditional, IBRS_FW, STIBP: conditional, RSB filling

• Das Begrüßen von CONFIG_PAGE_TABLE_ISOLATION in der Kernel-Konfiguration, wie von Raniz vorgeschlagen, hilft nicht auf Ubuntu-Desktops, kann aber auf Cloud-Instanzen helfen:

  grep CONFIG_PAGE_TABLE_ISOLATION=y /boot/config-`uname -r` && \
  echo "patched :)" || echo "unpatched :("
  

• Sie können mit überprüfen, /proc/cpuinfowie JonasCz vorgeschlagen hat :

  grep -q "cpu_insecure\|cpu_meltdown\|kaiser" /proc/cpuinfo && echo "patched :)" \
  || echo "unpatched :("
  

• Oder von dmesg(danke an Jason Creighton ):

  dmesg | grep -q "Kernel/User page tables isolation: enabled" \
  && echo "patched :)" || echo "unpatched :("
  

• Sie können ein Testprogramm von Raphael Carvalho für die Meltdown-Erkennung kompilieren :

  sudo apt-get install git build-essential
  cd /tmp
  git clone https://github.com/raphaelsc/Am-I-affected-by-Meltdown.git
  cd Am-I-affected-by-Meltdown
  make
  sudo sh -c "echo 0  > /proc/sys/kernel/kptr_restrict"
  ./meltdown-checker
  

Auf gepatchten Systemen sollte es mit der Ausgabe enden

...
so far so good (i.e. meltdown safe) ...

System not affected (take it with a grain of salt though as false negative
may be reported for specific environments; Please consider running it once again).

• Überprüfen Sie mit dem Tool von https://github.com/speed47/spectre-meltdown-checker :

  cd /tmp
  wget https://raw.githubusercontent.com/speed47/spectre-meltdown-checker/master/spectre-meltdown-checker.sh
  sudo sh /tmp/spectre-meltdown-checker.sh
  

Auf gepatchten Systemen sollte Folgendes angezeigt werden:

Spectre and Meltdown mitigation detection tool v0.27

Checking for vulnerabilities against live running kernel Linux 4.4.0-109-generic #132-Ubuntu SMP Tue Jan 9 19:52:39 UTC 2018 x86_64
...
CVE-2017-5754 [rogue data cache load] aka 'Meltdown' aka 'Variant 3'
* Kernel supports Page Table Isolation (PTI):  YES 
* PTI enabled and active:  YES 
> STATUS:  NOT VULNERABLE  (PTI mitigates the vulnerability)

Installieren Sie 4.4.0-108-generic nicht auf Xenial! Es bricht die Boot- / Neustart- / Shutdown- / Suspend-Funktionalität ab !

Installieren Sie 4.4.0-109-generic ( Details siehe USN-3522-3 )!

Wie Robie Basak bereits schrieb , gibt es in Ubuntu eine Seite über den Schwachstellenstatus von Spectre und Meltdown .

Es gibt auch:

• Ubuntu Security Bulletin für CVE-2017-5715
• Ubuntu Security Bulletin für CVE-2017-5753
• Ubuntu Security Bulletin für CVE-2017-5754

Führen Sie den folgenden Befehl aus:

dmesg | grep 'page tables isolation'

Wenn aktiviert angezeigt wird, ist PTI aktiviert. Wenn im Terminal nichts angezeigt wird oder Sie "disabled" sehen, ist PTI deaktiviert. Ubuntu hat den Patch noch nicht veröffentlicht, daher wird keine Meldung angezeigt.

Sie können mit überprüfen cat /proc/cpuinfo, ob es cpu_insecureunter "Bugs" meldet , dann ist PTI aktiviert.

Wenn es leer ist (oder einfach nicht aufgelistet wird cpu_insecure), führen Sie höchstwahrscheinlich einen Kernel aus, der noch nicht gepatcht wurde (Ubuntu hat es nicht), oder Sie haben einen AMD-Prozessor (für den dies absehbar nicht aktiviert ist, da sie sind nicht verwundbar).

Gegenwärtig werden alle CPUs im neuesten 4.15-Kernel als anfällig behandelt .

Ich habe dieses großartige sh-Skript gefunden, um Meltdown / Spectre-Schwachstellen auf Ihrem System zu testen:

https://github.com/speed47/spectre-meltdown-checker

Das Skript überprüft Ihr System auf bekannte Meltdown- und Spectre-Patches auf Ihrem System, um Ihnen mitzuteilen, ob diese Sicherheitsanfälligkeiten jetzt von Ihrem Betriebssystem behoben werden

Sie können prüfen , /proc/config.gz für CONFIG_PAGE_TABLE_ISOLATION=ywas bedeutet , dass der Kernel mit KPTI kompiliert wurde.

Dies ist auf meinem gepatchten Arch Linux-System unter 4.14.11-1:

$ zgrep CONFIG_PAGE_TABLE_ISOLATION /proc/config.gz 
CONFIG_PAGE_TABLE_ISOLATION=y

Auf meiner AWS Ubuntu 14.04.5 LTS EC2-Instanz wurde ich ausgeführt

grep CONFIG_PAGE_TABLE_ISOLATION /boot/config-$(uname -r)

Es sollte heißen:

CONFIG_PAGE_TABLE_ISOLATION=y

Für das Update habe ich:

sudo apt-get update && sudo apt-get install linux-image-generic

Ich denke auch das ist OK:

sudo apt-get update
sudo apt-get dist-upgrade

So überprüfen Sie die Kernelversion:

uname -r

Muss sein 3.13.0-139-generic oder neuer.