O que a seção "bugs" de / proc / cpuinfo realmente mostra?

Em um sistema Debian Stretch e testing / Buster com um kernel atual e microcódigo instalado, ainda vejo o colapso e o espectro listados como bugs /proc/cpuinfo.

No entanto, executando os spectre-meltdown-checkershows não vulneráveis.

Então, eu estou querendo saber o /proc/cpuinfoque mostra. Essas são apenas as vulnerabilidades deste CPU e serão sempre listadas apesar de haver um sistema corrigido?

A intenção do campo "bugs" /proc/cpuinfoé descrita na mensagem de confirmação que o introduziu :

x86/cpufeature: Adicione sinalizadores de bug ao /proc/cpuinfo

Despeje os sinalizadores que indicam que detectamos e / ou aplicamos soluções alternativas de erros à CPU na qual estamos executando, de maneira semelhante aos sinalizadores de recursos.

A vantagem é que eles não estão se acumulando ao longo do tempo, como os recursos da CPU.

Anteriormente, os bugs de hardware detectados pelo kernel eram listados como recursos separados ( por exemplo, o infame bug F00F, que tem sua própria f00f_bugentrada nos /proc/cpuinfosistemas x86 de 32 bits). A entrada "bugs" foi introduzida para mantê-los em um único recurso, no mesmo estilo dos sinalizadores da CPU x86 .

Quanto ao significado das entradas na prática, como você pode ver na mensagem, tudo o que é garantido é que o kernel detectou um erro de hardware. Você precisará procurar em outro lugar (mensagens de inicialização ou /procentradas específicas ou /sysentradas como os arquivos /sys/devices/system/cpu/vulnerabilities/) para determinar se os problemas foram tratados.

A utilidade das entradas "bugs" é limitada de duas maneiras. A primeira é que os verdadeiros negativos não podem ser distinguidos dos desconhecidos: se o campo não especificar "cpu_meltdown", você não poderá saber (apenas a partir do campo) se isso significa que o kernel não sabe sobre o Meltdown ou que sua CPU não é afetada pelo Meltdown. A segunda é que a detecção pode ser muito simplista; cometer erros por precaução, por isso pode relatar que sua CPU está vulnerável quando não está. Como a "detecção" é orientada por tabela, sua precisão depende de qual versão do kernel você está executando.

No caso dos erros Meltdown e Spectre, o processo de detecção que alimenta os valores /proc/cpuinfo funciona da seguinte maneira , em x86:

• se a CPU não realizar nenhuma especulação (classe 486, classe Pentium, alguns átomos), não será sinalizada como afetada por Meltdown ou Spectre;
• todas as CPUs restantes são sinalizadas como afetadas pelas variantes 1 e 2 do Spectre (independentemente da revisão do microcódigo etc.);
• se a CPU não estiver listada como não suscetível a desvio de armazenamento especulativo , se o seu microcódigo não pretender mitigar o SSB e se a CPU não pretender mitigar o SSB, será sinalizado como afetado pelo SSB;
• se a CPU não estiver listada como não suscetível ao Meltdown (AMD) e se seu microcódigo não pretender mitigar o Meltdown, será sinalizado como afetado pelo Meltdown.

As vulnerabilidades Meltdown / Spectre estão no design / arquitetura do chipset da CPU e, além de comprar novos hardwares futuros, os patches são uma boa ilusão de segurança a longo prazo . Novos métodos de exploração das falhas podem surgir com o tempo, capazes de ignorar os patches atuais.

Em resumo, os patches de software / microcódigo atuais atenuam os problemas dos métodos conhecidos da família de explorações Spectre / Meltdown, mas não resolvem os problemas subjacentes de design da CPU que os permitem em primeiro lugar. Os afetados (várias gerações) de CPUs não deixaram de ser vulneráveis ​​a longo prazo (e provavelmente nunca o serão).

No entanto, como o @Gilles afirma corretamente, ter esse aviso não significa que as explorações atuais conhecidas dos métodos Spectre / Meltdown funcionarão; eles não funcionarão se os patches estiverem instalados.

No caso mencionado na pergunta, o kernel está apenas checando os modelos de CPU afetados pelo Spectre / Meltdown (todas as CPUs x86 por enquanto, se falamos apenas do x86) e, portanto, cpu-insecureainda está listado na seção de erros / line in /proc/cpuinfo.

Vá verificar o seu /proc/cpuinfo. Ele conterá cpu_insecure se o seu kernel tiver o patch KPTI

Descobri que o patch KPTI tem este pedaço de código:

   /* Assume for now that ALL x86 CPUs are insecure */
   setup_force_cpu_bug(X86_BUG_CPU_INSECURE);

E após a atualização do kernel, você obtém:

bugs      : cpu_insecure

PS. Já havia uma rodada de atualizações para um novo método para explorar os "bugs" do Spectre / Meltdown. Provavelmente não será a última vez.