Aislamiento de la tabla de páginas del kernel

El aislamiento de la tabla de páginas del kernel ( KPTI o PTI , ^{[ 1 ]} anteriormente llamado KAISER ) ^{[ 2 ] [ 3 ]} es una característica del kernel de Linux que mitiga la vulnerabilidad de seguridad Meltdown (que afecta principalmente a las CPU x86 de Intel ) ^{[ 4 ]} y mejora el endurecimiento del kernel contra los intentos de eludir la aleatorización del diseño del espacio de direcciones del kernel (KASLR). Funciona aislando mejor la memoria del espacio de usuario y del espacio del kernel. ^{[ 5 ] [ 6 ]} KPTI se fusionó con la versión 4.15 del kernel de Linux, ^{[ 7 ]} y se adaptó a versiones anteriores de los kernels de Linux 4.14.11, 4.9.75 y 4.4.110. ^{[ 8 ] [ 9 ] [ 10 ]} Windows ^{[ 11 ]} y macOS ^{[ 12 ]} lanzaron actualizaciones similares. KPTI no aborda la vulnerabilidad Spectre relacionada . ^{[ 13 ]}

Los parches KPTI se basaron en KAISER (acrónimo de Kernel Address Isolation to have Side-channels Efficiently Removed, aislamiento de direcciones del kernel para eliminar eficazmente los canales laterales ), ^{[ 6 ]} una técnica concebida en 2016 ^{[ 14 ]} y publicada en junio de 2017, cuando aún no se conocía Meltdown. KAISER dificulta la elusión de KASLR, una solución de 2014 para un problema mucho menos grave.

En 2014, el kernel de Linux adoptó la aleatorización del diseño del espacio de direcciones del kernel (KASLR), ^{[ 15 ]} lo que dificulta la explotación de otras vulnerabilidades del kernel, ^{[ 16 ]} que dependen de que las asignaciones de direcciones del kernel permanezcan ocultas para el espacio de usuario. ^{[ 17 ]} A pesar de prohibir el acceso a estas asignaciones del kernel, resulta que existen varios ataques de canal lateral en los procesadores modernos que pueden filtrar la ubicación de esta memoria, lo que permite eludir KASLR. ^{[ 6 ] [ 18 ] [ 19 ] [ 20 ]}

KAISER abordó estos problemas en KASLR eliminando algunas fuentes de fuga de direcciones. ^{[ 6 ]} Mientras que KASLR solo evita la fuga de asignaciones de direcciones, KAISER también evita la fuga de datos, cubriendo así el caso Meltdown. ^{[ 21 ]}

KPTI se basa en KAISER. Sin KPTI habilitado, al ejecutar código de espacio de usuario (aplicaciones), Linux mantendría toda su memoria del kernel mapeada en tablas de páginas , aunque protegida del acceso. La ventaja es que cuando la aplicación realiza una llamada al sistema del kernel o se recibe una interrupción , las tablas de páginas del kernel siempre están presentes, por lo que se pueden evitar la mayoría de las sobrecargas relacionadas con el cambio de contexto ( vaciado de la TLB , intercambio de tablas de páginas, etc.). ^{[ 5 ]}

En enero de 2018, se publicó la vulnerabilidad Meltdown , conocida por afectar a las CPU x86 de Intel y ARM Cortex-A75 . ^{[ 4 ] [ 13 ]} Era una vulnerabilidad mucho más grave que la omisión de KASLR que KAISER pretendía solucionar originalmente: se descubrió que también se podía filtrar el contenido de la memoria del kernel, no solo las ubicaciones de las asignaciones de memoria, como se pensaba anteriormente.

KPTI (basado conceptualmente en KAISER) previene el Meltdown al impedir que la mayoría de las ubicaciones protegidas se asignen al espacio de usuario.

Actualmente no se sabe que los procesadores AMD x86 se vean afectados por Meltdown y no necesitan KPTI para mitigarlo. ^{[ 13 ] [ 22 ]} Sin embargo, los procesadores AMD siguen siendo susceptibles a la omisión de KASLR cuando KPTI está deshabilitado. ^{[ 20 ]}

KPTI corrige estas fugas separando completamente las tablas de páginas del espacio de usuario y del espacio del kernel. Un conjunto de tablas de páginas incluye direcciones tanto del espacio del kernel como del espacio de usuario, al igual que antes, pero solo se utiliza cuando el sistema se ejecuta en modo kernel. El segundo conjunto de tablas de páginas, para uso en modo usuario, contiene una copia del espacio de usuario y un conjunto mínimo de asignaciones del espacio del kernel que proporciona la información necesaria para entrar o salir de llamadas al sistema, interrupciones y excepciones. ^{[ 5 ]}

En los procesadores que admiten los identificadores de contexto de proceso (PCID), se puede evitar el vaciado del búfer de traducción anticipada (TLB), ^{[ 5 ]} pero incluso así conlleva un coste de rendimiento significativo, particularmente en cargas de trabajo con muchas llamadas al sistema e interrupciones. ^{[ 23 ]}

La sobrecarga se midió en 0,28% según los autores originales de KAISER; ^{[ 6 ]} un desarrollador de Linux la midió en aproximadamente 5% para la mayoría de las cargas de trabajo y hasta 30% en algunos casos, incluso con la optimización PCID; ^{[ 5 ]} para el motor de base de datos PostgreSQL el impacto en las pruebas de solo lectura en un procesador Intel Skylake fue de 7–17% (o 16–23% sin PCID), ^{[ 24 ]} mientras que una prueba de rendimiento completa perdió 13–19% ( Coffee Lake vs. Broadwell-E ). ^{[ 25 ]} Phoronix ha realizado muchas pruebas de rendimiento , ^{[ 26 ] [ 27 ] [ 1 ]} Redis se ralentizó en 6–7%. ^{[ 25 ]} La compilación del kernel de Linux se ralentizó en 5% en Haswell . ^{[ 28 ]}

KPTI puede deshabilitarse parcialmente con la opción de arranque del kernel "nopti". También se crearon disposiciones para deshabilitar KPTI si los procesadores más recientes corrigen las fugas de información. ^{[ 2 ]}

• 17. Aislamiento de tabla de páginas (PTI) - Documentación del kernel de Linux
• Parche de documentación de KPTI