Que montre réellement la section «bugs» de / proc / cpuinfo?

Sur un système Debian Stretch et testing / Buster avec un noyau actuel et un microcode installé, je vois toujours la fusion et le spectre répertoriés comme bogues dans /proc/cpuinfo.

Cependant, l'exécution des spectre-meltdown-checkerspectacles n'est pas vulnérable.

Je me demande donc ce que /proc/cpuinfocela montre. S'agit-il uniquement des vulnérabilités de ce processeur et celles-ci seront-elles toujours répertoriées malgré un système corrigé?

L'intention du champ «bugs» dans /proc/cpuinfoest décrite dans le message de validation qui l'a introduit :

x86/cpufeature: Ajouter des indicateurs de bogues à /proc/cpuinfo

Vider les indicateurs qui indiquent que nous avons détecté et / ou appliqué des solutions de contournement de bogues au processeur sur lequel nous exécutons, de la même manière que les indicateurs de fonctionnalité.

L'avantage est que ceux-ci ne s'accumulent pas au fil du temps comme les fonctionnalités du CPU.

Auparavant, les bogues matériels détectés par le noyau étaient répertoriés comme des fonctionnalités distinctes ( par exemple, le tristement célèbre bogue F00F, qui a sa propre f00f_bugentrée dans /proc/cpuinfoles systèmes x86 32 bits). L'entrée «bugs» a été introduite pour les contenir dans une seule fonctionnalité à l'avenir, dans le même style que les drapeaux CPU x86 .

En ce qui concerne la signification des entrées dans la pratique, comme vous pouvez le voir dans le message, tout ce qui est garanti est que le noyau a détecté un bogue matériel. Vous devrez chercher ailleurs (messages de démarrage ou /procentrées spécifiques ou /sysentrées telles que les fichiers /sys/devices/system/cpu/vulnerabilities/) pour déterminer si les problèmes sont traités.

L'utilité des entrées «bugs» est limitée de deux manières. La première est que les vrais négatifs ne peuvent pas être distingués des inconnus: si le champ ne spécifie pas "cpu_meltdown", vous ne pouvez pas savoir (juste à partir du champ) si cela signifie que le noyau ne connaît pas Meltdown, ou que votre CPU n'est pas affecté par Meltdown. La seconde est que la détection peut être trop simpliste; il fait preuve de prudence, il peut donc signaler que votre processeur est vulnérable lorsqu'il ne l'est pas. Parce que la «détection» est pilotée par table, sa précision dépend de la version du noyau que vous exécutez.

Dans le cas des bugs Meltdown et Spectre, le processus de détection qui alimente les valeurs dans /proc/cpuinfo fonctionne comme suit , sur x86:

• si le CPU n'effectue aucune spéculation (classe 486, classe Pentium, certains atomes), il n'est pas marqué comme affecté par Meltdown ou Spectre;
• tous les CPU restants sont marqués comme affectés par les variantes 1 et 2 de Spectre (indépendamment de la révision du microcode, etc.);
• si le CPU n'est pas répertorié comme non sensible au contournement spéculatif du magasin , si son microcode ne prétend pas atténuer SSB, et si le CPU ne prétend pas atténuer SSB, alors il est marqué comme affecté par SSB;
• si le CPU n'est pas répertorié comme non sensible à Meltdown (AMD), et si son microcode ne prétend pas atténuer Meltdown, il est marqué comme affecté par Meltdown.

Les vulnérabilités de Meltdown / Spectre concernent la conception / l'architecture du chipset CPU, et à moins d'acheter du nouveau matériel futur, les correctifs sont une belle illusion de sécurité à long terme . De nouvelles méthodes d'exploitation des failles pourraient faire surface avec le temps et contourner les correctifs actuels.

En bref, les correctifs logiciels / microcodes actuels atténuent les problèmes par rapport aux méthodes connues de la famille d'exploits Spectre / Meltdown, mais ne résolvent pas les problèmes de conception de processeur sous-jacents qui les autorisent en premier lieu. Les CPU concernés (plusieurs générations) n'ont pas cessé d'être vulnérables à long terme (et ne le seront probablement jamais).

Cependant, comme l'indique correctement @Gilles, avoir cet avertissement ne signifie pas que les méthodes connues des exploits Spectre / Meltdown fonctionneront; ils ne fonctionneront pas si les correctifs sont installés.

Dans le cas mentionné dans la question, le noyau vérifie uniquement les modèles de CPU connus pour être affectés par Spectre / Meltdown (tous les CPU x86 pour l'instant si nous ne parlons que de x86), et donc ceux cpu-insecurequi sont toujours répertoriés dans la section des bogues / line in /proc/cpuinfo.

Allez vérifier votre /proc/cpuinfo. Il contiendra cpu_insecure si votre noyau a le patch KPTI

J'ai trouvé que le patch KPTI a ce morceau de code:

   /* Assume for now that ALL x86 CPUs are insecure */
   setup_force_cpu_bug(X86_BUG_CPU_INSECURE);

Et après la mise à jour du noyau, vous obtenez:

bugs      : cpu_insecure

PS. Il y avait déjà une série de mises à jour pour une nouvelle méthode d'exploitation des "bogues" Spectre / Meltdown. Ce ne sera probablement pas la dernière fois.