Meltdown、Spectre漏洞對于業(yè)界及用戶帶來的影響？

亂序執(zhí)行（Out-of-order Execution）、推測執(zhí)行（Speculative Execution）和分支預(yù)測（Branch Prediction）三大CPU采用的技術(shù)是造成漏洞產(chǎn)生的根本原因。簡單理解，Meltdown破壞了位于用戶應(yīng)用和操作系統(tǒng)之間的基本隔離，導(dǎo)致程序可能訪問其他程序和操作系統(tǒng)內(nèi)存，從而產(chǎn)生敏感信息會被竊取的可能性。Spectre則是破壞了不同應(yīng)用程序之間的隔離， 處理器會推測在未來有用的數(shù)據(jù)并執(zhí)行計算，當(dāng)這些數(shù)據(jù)被需要時可立即使用。但是處理器沒有很好地將低權(quán)限的應(yīng)用程序與訪問內(nèi)核內(nèi)存分開，這意味著攻擊者可以使用惡意應(yīng)用程序來獲取應(yīng)該被隔離的私有數(shù)據(jù)。

從對于業(yè)界應(yīng)用的影響來看，英特爾確認(rèn)性能損失取決于工作負(fù)載。比如常見的OLTP應(yīng)用，為了提升效率，往往需要將資料緩存到內(nèi)存中，所有的OLTP操作都是由內(nèi)核來完成，如果不使用Meltdown和Spectre的補丁，應(yīng)用很容易被黑客攻擊；如果使用補丁，根據(jù)第三方測試數(shù)據(jù)，應(yīng)用性能可能會有8% 到19%的損失。對于一些內(nèi)核層和用戶層很少通訊的應(yīng)用來講，性能影響就會小些甚至不受影響。

為什么說目前的修補緩解措施并不是最佳的方案？它對于應(yīng)用性能帶來哪些影響？

由于預(yù)測執(zhí)行技術(shù)已經(jīng)被廣泛用于各種CPU中，要想解決這個問題的最根本方法是有新的CPU體系架構(gòu)。目前的補丁技術(shù)只能是使用軟件來降低黑客利用預(yù)測執(zhí)行來入侵內(nèi)核內(nèi)存，主要的補丁是將每個進(jìn)程的內(nèi)核地址和用戶地址共享映射表改為內(nèi)核地址和用戶地址各有自己獨立的映射表PGD（Page Global Directory），這樣一來在用戶空間根本沒有內(nèi)核空間的映射表，即使漏洞存在，黑客也不會從內(nèi)核獲得數(shù)據(jù)。但是這樣的代價就是每次系統(tǒng)調(diào)用或者中斷發(fā)生時都需要切換映射表，這無疑會影響應(yīng)用的性能。使用犧牲性能的方式來解決問題，無疑不是一個好的方案。

從長遠(yuǎn)來看，能夠規(guī)避此類漏洞產(chǎn)生的方法是什么？

由于Meltdown和Spectre問題來源于CPU，最根本的解決辦法就是改變CPU從內(nèi)存和磁盤讀取數(shù)據(jù)的方式，實現(xiàn)既不損失性能又有安全保障。但是這是一個很艱巨的任務(wù)，很難在短期內(nèi)實現(xiàn)。當(dāng)前的最佳解決方案就是盡量做到CPU Offload，減少內(nèi)核層和用戶層之間的溝通， 比如使用RDMA技術(shù)來Bypass CPU，使用NVMe over Fabric Offload來將CPU操作的內(nèi)核拷貝跳過，使用GPU Direct RDMA技術(shù)跳過GPU內(nèi)存和CPU內(nèi)存的拷貝等。另外使用網(wǎng)卡硬件來做應(yīng)用和應(yīng)用之間的安全隔離來避免使用CPU來做軟件隔離，也是預(yù)防漏洞的有效方法之一。

RDMA提供了新的解決Meltdown、Spectre漏洞的思路，背后的原理及邏輯是什么？

解決Meltdown和Spectre問題的關(guān)鍵就是減少CPU和應(yīng)用的溝通，RDMA和智能網(wǎng)卡做的就是讓CPU盡量只做計算，所有通訊和安全的操作由網(wǎng)絡(luò)來做，從而切斷黑客訪問應(yīng)用的途徑。此外，還包括DPDK技術(shù)，它們實際是把原來由內(nèi)核操作的很多工作放到用戶態(tài)去做，這樣很多操作就跟內(nèi)核態(tài)沒有關(guān)系了。通過在用戶態(tài)之間建立應(yīng)用和應(yīng)用之間隔離，避免和內(nèi)核態(tài)之間的交互，來降低這些漏洞帶來的風(fēng)險。現(xiàn)在RDMA技術(shù)已經(jīng)被廣泛應(yīng)用到了各種各樣的應(yīng)用當(dāng)中，從很多采用RDMA的應(yīng)用來看，可以看到它被Meltdown和Spectre這兩個漏洞影響的機會非常小，而且對性能的影響非常低，甚至做到?jīng)]有影響。

所以，這在另一個層面又回到了卸載技術(shù)與加載技術(shù)的爭論。卸載技術(shù)尋求克服CPU的性能瓶頸，主要方式是對在集群內(nèi)移動的數(shù)據(jù)執(zhí)行各種網(wǎng)絡(luò)功能以及復(fù)雜的通信操作，如協(xié)同操作和數(shù)據(jù)聚集操作。以Mellanox為代表的網(wǎng)絡(luò)廠商推出了卸載技術(shù)（如 RDMA 和 DPDK），將處理TCP/IP和存儲堆棧的重任轉(zhuǎn)移至網(wǎng)絡(luò)適配器，緩解主要系統(tǒng)處理器的壓力。這樣可以提升性能，并緩解了修補Spectre 和Meltdown 后通常造成的性能損失。