Intel: вам не нужно отключать Hyper-Threading для защиты от ZombieLoad
Если после предыдущих новостей о ZombieLoad вы в панике выясняете, как отключить функцию Intel Hyper-Threading, чтобы предотвратить использование новой уязвимости, похожей на Spectre и Meltdown, то сделайте глубокий выдох - официальное руководство Intel фактически не рекомендует делать это для большинства случаев.
ZombieLoad аналогична предыдущим атакам по "побочным каналам" (англ. side-channel attack), вынуждающим процессоры Intel открывать доступ к потенциально конфиденциальной информации, которая обычно изолирована и доступна только для использующих ее приложений. Исследователи по безопасности сообщили ранее, что эта уязвимость присутствует в большинстве чипов Intel и может быть использована в Windows, MacOS и Linux.
Intel со своей стороны не согласна с тем, насколько серьезным оценивается риск ZombieLoad. Компания даже решила дать ZombieLoad другое название - Microarchitectural Data Sampling (MDS) или Микроархитектурная выборка данных. Согласитесь, это звучит гораздо менее страшно, чем отсылка к каким-то зомби.
"Уязвимость MDS основана на выборке данных, просачивающихся из небольших структур в ЦП при использовании локально выполняемого побочного канала спекулятивного исполнения", - объясняют в компании. "Практическая эксплуатация MDS является очень сложным делом. Сама по себе уязвимость не предоставляет злоумышленнику способ выбрать те данные, которые он желает получить".
"MDS уже устранена на аппаратном уровне во многих наших последних процессорах Intel Core 8-го и 9-го поколения, а также в семействе процессоров Intel Xeon Scalable второго поколения", - говорится в сообщении компании. "Для других затронутых продуктов меры по снижению риска доступны посредством обновления микрокода в сочетании с соответствующими обновлениями операционной системы и программного обеспечения гипервизора, которые доступны с сегодняшнего дня. Мы предоставили больше информации на нашем веб-сайте и продолжаем призывать всех поддерживать свои системы в актуальном состоянии, поскольку это - один из лучших способов обеспечения безопасности".
Представители Intel также указали и на то, что исследовательская группа ZombieLoad работала с компанией и другими специалистами в индустрии ПК, чтобы исправить уязвимость, прежде, чем о ней станет публично известно. "Мы хотели бы выразить нашу благодарность исследователям, которые работали с нами, и нашим партнерам по отрасли за их вклад в скоординированное решение этой проблемы".
Так что насчет Hyper-Threading?
Intel заявила, что отключение Hyper-Threading - не обязательный и не единственный вариант для пользователей ПК. На самом деле, по словам Intel, каждый клиент сам решает, что ему делать. Если вы не можете гарантировать безопасность установленного у вас программного обеспечения, тогда да, вероятно, отключить Hyper-Threading - это хорошая идея. Если же программное обеспечение поставляется только из магазина Microsoft, из ИТ-отдела или просто установлено из доверенных, по вашему мнению, источников, вы, вероятно, можете оставить Hyper-Threading включенным. Все действительно зависит только от того, насколько вы переживаете о своей безопасности.
"Поскольку факторы значительно различаются для разных клиентов, Intel не рекомендует отключать Hyper-Threading, так как важно понимать, что это - не единственный путь обеспечить защиту от MDS и не обеспечивает защиту само по себе", - говорится в заявлении компании.
В тоже время, реакции производителей операционных систем отличается друг от друга.
Google выпустил исправление для Chrome OS, которое по умолчанию отключает Hyper-Threading для Chromebook. Люди, которые хотят включить технологию мультипоточности обратно, могут сделать это самостоятельно, считают в компании.
Apple выпустила обновление для MacOS Mojave и сообщила, что клиенты компании, особенно требовательные к безопасности, могут отключить Hyper-Threading самостоятельно.
Microsoft заявила, что выпустила патчи для своего программного обеспечения, чтобы сократить вероятность использования MDS, но также отметила, что клиенты должны дополнительно получить обновление прошивок от своих производителей ПК.
В связи с тем, что по большей части поставщики операционных систем решили оставить Hyper-Threading включенным, угроза ZombieLoad, очевидно, не так серьезна, как это казалось еще сутки назад. К тому же, до сих пор нет ни одного известного случая использования уязвимости в реальной атаке.
При этом использование патчей без отключения технологии Hyper-Threading почти не снижает производительность процессоров Intel.
Но вы не поверите, если посмотрите на результаты тестирования Intel влияния патчей безопасности на производительность при отключенном Hyper-Threading. Компания утверждает, что исправления безопасности вместе с отключением Hyper-Threading оказывают подозрительно небольшое влияние на производительность.
Портал PCWorld категорически не согласен с мнением Intel о том, что отключение Hyper-Threading не представляет особой проблемы, хотя Intel и демонстрирует в своем документе, что производительность практически не изменилась. Проблема состоит в искусственности тестов Intel при отключении Hyper-Threading, поскольку компания не тестировала специфичные многопоточные нагрузки. Если бы Intel взяла тесты Blender, Cinebench или другие, рассчитанные на многоядерные и многопоточные процессоры, мы бы сразу увидели мощный провал в быстродействии.
Чтобы подчеркнуть, насколько важна технология Hyper-Threading, можно просто посмотреть на процессоры Intel i9-9900K за $500 и i7-9700K за $375, главное отличие которых заключается как раз в поддержке Hyper-Threading. Отключение Hyper-Threading на процессорах Intel - это невероятный удар для всех, кому важна многопоточная производительность.
Но есть и хорошая новость для тех, кто использует новейшие процессоры Intel. Как заявили в компании, многие из ее последних процессоров 8-го и 9-го поколения уже имеют исправления аппаратного микрокода, поэтому владельцам i9-9900K нет никаких причин отключать Hyper-Threading. Опасность ZombieLoad, очевидно, выше для более старых процессоров. Владельцы этих систем должны будут полагаться на обновления операционной системы и программного обеспечения, а также на работу используемых ими антивирусных решений, чтобы снизить риск получения вредоносного кода. А также еще раз напомним тот факт, что до сих пор не известно ни об одной атаке, использующей ZombieLoad.
