De afgelopen uren hebben verschillende gespecialiseerde portals melding gemaakt van de release van nieuwe beveiligingspatches voor Windows, macOS en Linux als reactie op een ernstige kwetsbaarheid in alle Intel-processoren van de afgelopen tien jaar. Het goede nieuws is dat deze noodpatches de meest kritieke aspecten van de bug verhelpen. Het slechte nieuws is dat de chips, afhankelijk van de toepassing, tot 30 of 40 procent aan prestaties kunnen verliezen.
Als 2017 het jaar was waarin Intel opnieuw de druk van legitieme concurrentie voelde, dan lijkt 2018 nog veel erger te worden. Hardwarefouten zijn onvermijdelijk, en geen enkele generatie silicium is er volledig aan ontsnapt. In het beste geval kan een nieuwe microcode-update of extra functies in de BIOS van het moederbord het probleem verhelpen of de negatieve effecten isoleren, maar dit keer gaat het om iets complexers en delicaters: een als “fundamenteel” beschouwde fout in de processors die Intel de afgelopen tien jaar op de markt bracht, heeft ontwikkelaars gedwongen tot noodpatches die tevens een structurele verandering betekenen voor de werking van besturingssystemen.
De bug, passend geïdentificeerd als Meltdown, stelt processen in de user space (het geheugengebied dat is gereserveerd voor de uitvoering van programma’s en sommige stuurprogramma’s) in staat om tot op zekere hoogte het formaat of de inhoud van de beveiligde gebieden van de kernel te onderscheiden of te herkennen (wat neerkomt op een datalek), terwijl dat normaal niet zou mogen gebeuren. De kernel is onzichtbaar voor programma’s, en onder normale omstandigheden zou dat voldoende zijn, maar de bug in Intels silicium vereist een stap verder: in plaats van onzichtbaar te blijven tegenover een draaiend proces, is de oplossing dat deze er niet direct is. Die absolute scheiding staat bekend als KPTI of “Kernel Page Table Isolation”, hoewel het team achter de Linux-kernel de term “Forcefully Unmap Complete Kernel With Interrupt Trampolines” gebruikte, ofwel FUCKWIT.
De bug lijkt ingedamd, maar net als bij veel medicijnen hebben de patches ook hun kleine lettertjes. Het feit dat voor elke systeemoproep van de ene ruimte naar de andere moet worden overgeschakeld, betekent dat de processor gegevens uit zijn cache moet weggooien en opnieuw uit het geheugen moet lezen, wat een aanzienlijke overhead veroorzaakt. Met andere woorden: de getroffen processors zullen langzamer werken. Hoe hard is de klap? Het uiteindelijke aantal hangt af van zowel de werkomgeving als de natuurlijke capaciteiten van de chips, maar het meest optimistische aantal is 5 procent, terwijl het aan de andere kant 40 procent kan bereiken. Wat gebeurt er met AMD-processoren? Volgens ingenieur Tom Lendacky lijdt de hardware van Sunnyvale niet aan deze kwetsbaarheid en vereist deze ook geen KPTI, maar we moeten afwachten. Alles hangt af van hoe goed de patches worden geïmplementeerd en de storm van benchmarks zal meedogenloos zijn. Wordt vervolgd…
Update 1: Hier is de officiële verklaring van Intel. Het bedrijf gaf aan samen te werken met AMD en ARM om het probleem “op een constructieve manier” op te lossen, omdat het niet exclusief is voor hun hardware, en dat de prestatie-impact voor de gemiddelde gebruiker “niet significant zal zijn”. Bovendien voegde het toe dat het plan was om het bestaan van de bug binnen een week te onthullen, maar ze besloten dit naar voren te halen vanwege “onnauwkeurige rapporten” van de pers.
Update 2: De CEO van Intel, Brian Krzanich, verkocht eind november $24 miljoen aan aandelen van het bedrijf, maanden nadat hij informatie over de kwetsbaarheid had ontvangen.
Bron: The Register en Ars Technica
