cpu开启超线程linux,Linux开发人员声称除非禁用超线程否则可以利用英特尔CPU

如果英特尔处理器运行超线程，则它们很容易受到利用，并且如果您想为CPU提供全面的安全性，则应禁用该功能(在某些情况下，这显然会降低性能)。

这是Linux内核开发人员Greg Kroah-Hartman的观点，他在里昂的欧洲开源峰会(今天结束)上分享了他对安全性的想法，正如The Register所强调的那样。

Kroah-Hartman以及其他一些人所概述的问题是，由于可以在MDS或微体系结构数据采样中利用的错误，超线程是危险的领域。

如果听起来很熟悉，您可能已经在5月的ZombieLoad情节中记住了它，该情节与其他基于MDS的漏洞(包括Fallout和RIDL)一起首次亮相。

要真正免受这些潜在威胁的侵害，唯一的方法就是关闭超线程。Kroah-Hartman在谈到OpenBSD(一种以开源安全性为重点的OS)时说：“一年前，他们说禁用超线程，这里将会有很多问题。他们比其他任何人都更早选择了安全而不是性能。禁用超线程。这是解决其中一些问题的唯一方法。我们正在减缓您的工作量。抱歉。”

僵尸缓解

您可能还记得，当ZombieLoad偶然发现时，Apple建议Mac用户确保“完全缓解”攻击的唯一方法不仅是应用相关的安全补丁，而且还要禁用超线程(苹果估计，某些用户的性能下降了40%。

对于没有经验的人来说，超线程是将CPU内核分为两个虚拟内核(或线程)的地方，它可以在需要多个内核的较重任务和工作负载中提供很大帮助(AMD称为同时多线程或SMT)。

但是，以这种方式在内核之间分配任务可能会导致潜在的问题，正如Kroah-Hartman解释的那样：“ MDS是一个程序可以读取另一个程序的数据的地方。当您在诸如云计算之类的共享环境中运行时，即使在浏览器选项卡之间，这也是一件坏事。

“您可以跨很多虚拟机边界。MDS利用了CPU是超线程的事实，CPU在同一裸片上具有共享高速缓存的多个内核。共享缓存时，您可以检测到另一个CPU内核在做什么。”

简而言之，利用这些漏洞实际上可以使攻击者从其他应用程序无法访问的应用程序中窃取数据。

更令人担忧的是，其中存在许多潜在的问题以及投机执行攻击的变体，以至于需要在相当恒定的基础上进行大量修补-实际上，两年前仍在为最初的Spectre错误部署修补程序。

这就是为什么您需要拥有适用于您的OS的所有最新安全补丁以及最新的BIOS版本的原因，尽管即便如此，在运行超线程的情况下，仍有可能尚未发现潜在漏洞，而这些漏洞仍在后台潜伏。

因此，关于真正安全的所有建议都指向禁用超线程。

Kroah-Hartman补充说：“如果您不使用受支持的发行版或稳定的长期内核，则系统不安全。就这么简单。所有那些未更新的嵌入式设备，都非常容易损坏。”