11 KiB
meltdown 和 spectre 影响下的 Linux 内核状况
截止到目前为止，每个人都知道一件关乎电脑安全的“大事”发生了，真见鬼，等每日邮报报道的时候，你就知道什么是糟糕了...
不管怎样，我不打算去跟进这个问题被报道出来的细节，除了告诉你问题涉及范围内的精彩的零日文章，他们应该直接发布 2018 的 Pwnie award 奖，这非常好。
如果你想了解我们如何在内核中解决这些问题的技术细节，你可以持续关注了不起的 lwn.net，他们会把这些细节写成文章。
以此同时，很多的厂商发出了相关的公告，这有一条很好的关于这些公告的摘要。
至于这些涉及的公司是如何处理这些问题的，这可以说是如何适当的与 Linux 内核社区保持距离的教科书般的例子。这件事涉及到的人和公司都知道发生了什么，我确定这件事最终会出现，但是目前我需要去关注的是如何修复这些涉及到的问题，然后不要去点名指责，不管我有多么的想去这么做。
你现在能做什么
如果你的 Linux 系统正在运行一个正常的 Linux 分布式系统，那么升级你的内核。它们都应该已经更新了，然后在接下来的几个星期里保持更新。我们会统计大量在极端情况下出现的 bug ，这个情况的测试范围是复杂的，包括庞大的受影响的各种各样的系统和工作量。如果你的 Linux 发行版没有内核升级，我坚决的建议你马上更换你使用的 Linux 发行版。
然而有很多的系统因为各种各样的原因（它们比起相对“传统”的公司的分布式系统更加特殊）不是在运行“正常的”Linux 分布式系统。它们依靠长期支持版本的内核升级，或者是正常稳定的内核升级，或者是内部的 franken-kernels。对于这部分人，这个状况是在你能使用的上游的内核中关于这个混乱正在发生的。
Meltdown – x86
现在，Linux 内核树包含所有我们当前知道的为 x86 架构解决 meltdown 漏洞的修复。去开启 CONFIG_PAGE_TABLE_ISOLATION 这个内核构建选项，然后进行重构和重启，所有的设备应该就安全了。
然而，Linux 的代码树分支在 4.15-rc6 这个版本加上一些出色的补丁。4.15-rc7 版本要明天才会推出，里面的一些补丁会解决一些问题。但是大部分的人不会运行 -rc kernel 在一个“正常”的环境里。
因为这个原因，x86 内核开发者在页表隔离代码开发过程中做了一个非常好的工作，好到以至于移植到了最新推出的稳定内核，4.14，对我们要做的事而言几乎是微不足道的了。这意味着最新的 4.14版本（现在是 4.14.12 版本），是你应该正在运行的版本，4.14.13 会在接下来的几天里推出，这个更新里有一些额外的修复补丁，这些补丁是一些运行 4.14.12 内核且有启动时间问题（这是一个显而易见的问题，如果它不启动，手动把这些补丁加入更新排队中）的系统所需要的。
我个人要去感谢 Andy Lutomirski, Thomas Gleixner, Ingo Molnar, Borislav Petkov, Dave Hansen, Peter Zijlstra, Josh Poimboeuf, Juergen Gross, 和 Linus Torvalds。他们开发出了这些修复补丁，并且为了让我们能简单地更新到稳定版本来正常工作，还把这些补丁用一张表单融合到了上游分支里。没有这些工作，我甚至不会想要去思考到底发生了什么。
对于老的长期支持内核，我大量地依靠 Hugh Dickins, Dave Hansen, Jiri Kosina 和 Borislav Petkov 优秀的工作所带来的针对 4.4 到 4.9 稳定内核代码树分支的相同功能。我同样在追踪讨厌的bug和缺失的补丁方面从 Guenter Roeck, Kees Cook, Jamie Iles,以及其他很多人那里得到了极大的帮助。我要感谢 David Woodhouse, Eduardo Valentin, Laura Abbott, 和 Rik van Riel 在反向移植和集成方面的帮助，他们的帮助在许多棘手的地方是必不可少的。
这些长期支持版本的内核同样有 CONFIG_PAGE_TABLE_ISOLATION 这个内核构建选项，你应该开启它来获得全方面的保护。
主要版本 4.14 和 4.15 的移植是非常不一样的，他们会出现不同的 bug，我们现在知道了一些在工作中遇见的 VDSO 上的问题。一些特殊的虚拟机安装的时候会报一些奇怪的错，但这是只是现在出现的少部分情况，这中情况不会阻止你进行全部的升级，请让我们在稳定内核邮件列表中知道这件事。
如果你依赖 4.4 和 4.9 以外的内核代码树分支或是现在的 4.14，并且没有分布式支持你的话，你就太不幸了。比起你当前版本内核包含的上百个已知的漏洞和 bug，缺少补丁去解决 meltdown 问题算是一个小问题了。你现在最需要考虑的就是马上把你的系统升级到最新。
以此同时，臭骂那些强迫你运行一个已被废弃且不安全的内核版本的人，他们是那些需要知道这是完全不顾后果的行为的人中的一份子。
Meltdown – ARM64
现在 ARM64 为解决 Meltdown 问题而开发的补丁还没有并入 Linux 的代码树分支，一旦 4.15 在接下来的几周里成功发布，他们就准备阶段式地并入 4.16-rc1，因为这些补丁还没有在一个已发布的 Linux 内核中，我不能把它们移植进一个稳定的内核版本里（额。。我们有这个规矩是有原因的）
由于它们还没有在一个已发布的内核版本中，如果你的系统是用的 ARM64 的芯片（例如 Android ），我建议你在现在所有并入 3.18,4.4 和 4.9 分支的 ARM64 补丁中选择 Android 公共内核代码树分支。
我强烈建议你关注这些分支，看随着时间的过去，由于测试了已并入补丁的已发布的上游内核版本，会不会有更多的修复补丁被补充进来，特别是我不知道这些补丁会在什么时候加进稳定的长期支持内核版本里。
对于 4.4 到 4.9 的长期支持内核版本，这些补丁有很大概率永远不会并入它们，因为需要大量的依赖性补丁。而所有的这些依赖性补丁长期以来都一直在 Android 公共内核版本中测试和合并，所以我认为现在对于 ARM 系统来说，仅仅依赖这些内核分支而不是长期支持的发行版是一个更好的主意。
同样需要注意的是，我合并所有的长期支持内核版本的更新到这些分支后通常会在一天之内或者这个时间点左右进行发布，所以你无论如何都要关注这些分支，来确保你的 ARM 系统是最新且安全的。
Spectre
现在，事情变得“有趣”了...
再一次，如果你正在运行一个发行版的内核。一些内核融入了各种各样的声称能缓解目前大部分问题的补丁，你的内核可能就被包含在其中。如果你担心这一类的攻击的话，我建议你更新并测试看看。
对于上游来说，很好，现状就是仍然没有任何的上游代码树分支有合并这些类型的问题相关的修复补丁。有很多的邮件列表在讨论如何去解决这些问题的解决方案，大量的补丁在这些邮件列表中广为流传，但是它们被压在了沉重的开发下，一些补丁系列甚至没有被构建或者应用到任何已知的代码树，这些系列彼此之间相互冲突，这是常见的混乱。
这是由于 Spectre 问题是最近被内核开发者解决的。我们所有人都在 Meltdown 问题上工作，我们没有精确的 Spectre 问题全部的真实信息，也没有比公开发布更糟糕的情形下什么补丁会广为流传的的真实信息。
因为所有的这些原因，我们打算在内核社区里花上几个星期去解决这些问题并把它们合并到内核中去。修复补丁会进入到所有内核的各种各样的子系统中，而且在它们被合并后，会集成并在稳定内核的更新中发布，所以再次提醒，你最好是在你使用的内核发行版和长期支持稳定的内核发行版中选择一个并保持更新到最新版。
这不是最好的新闻，我知道，但是这就是现实。如果它是任意的安慰的话，它就不会显得其他的操作系统也为这些问题准备了完整的解决方案，现在整个产业都在同一条船上，我们只需要等待，并让开发者尽他们所能快地解决这些问题。
计划解决方案已经不重要了，但是它们中的一些还是非常好的。一些新概念会被创造出来来帮助解决这些问题，Paul Turner 提出的 Retpoline 方法就是其中的一个例子。这将是未来大量研究的一个领域，想出方法去减轻硬件中涉及的潜在问题，想在它发生前就去预言它。
其他的 arches 芯片
现在，我没有看见任何 x86 和 arm64 架构以外的芯片架构的补丁，有一些谣传的补丁在一些企业为其他类型的处理器准备的分配方案中广为流传。希望他们在这几周里能在表面上适当地合并到开发者那里，这件事发生的时候我不知道，如果你使用着一个特殊的架构，我建议在 arch-specific 邮件列表上问这件事来得到一个直接的回答。
结论
再次，更新你的内核，不要耽搁，不要停止。更新会在很长的一段时间里持续地解决这些问题。同样的，稳定和长期支持内核发行版里仍然有很多其他的bug和安全问题，他们和问题的类型无关，所以一直保持更新始终是一个好主意。
现在，这里有很多非常劳累、坏脾气、缺少睡眠的人，他们通常会生气地让内核开发人员竭尽全力地解决这些问题，即使这些问题完全不是他们自己造成的。请关爱这些可怜的程序猿。他们需要爱、支持和我们可以为他们免费提供的他们最爱的饮料，以此来确保我们都可以尽可能快地结束修补系统。
via: http://kroah.com/log/blog/2018/01/06/meltdown-status/
作者：Greg Kroah-Hartman 译者：hopefully2333 校对：校对者ID