修补漏洞对应用性能造成的影响
时间：2022-03-31 22:36:01 | 来源：行业动态
时间：2022-03-31 22:36:01 来源：行业动态
为了不对安全带来影响，解决Meltdown和Spectre漏洞最直接的方法就是打补丁。然而这一方法却导致应用性能显着下降，这也是英特尔等公司备受诟病与压力的原因。
这里有必要再提下Meltdown和Spectre漏洞产生的原因，其中乱序执行（Out-of-order Execution）、推测执行（Speculative Execution）和分支预测（Branch Prediction）三大CPU采用的技术是造成漏洞产生的根本原因。简单理解，Meltdown破坏了位于用户应用和操作系统之间的基本隔离，导致程序可能访问其他程序和操作系统内存，从而产生敏感信息会被窃取的可能性。Spectre则是破坏了不同应用程序之间的隔离， 处理器会推测在未来有用的数据并执行计算，当这些数据被需要时可立即使用。但是处理器没有很好地将低权限的应用程序与访问内核内存分开，这意味着攻击者可以使用恶意应用程序来获取应该被隔离的私有数据。
然而为了应对这一问题，目前的补丁技术只能是使用软件来降低黑客利用预测执行来入侵内核内存，主要的补丁是将每个进程的内核地址和用户地址共享映射表改为内核地址和用户地址各有自己独立的映射表PGD（Page Global Directory），这样一来在用户空间根本没有内核空间的映射表，即使漏洞存在，黑客也不会从内核获得数据。但是这样的代价就是每次系统调用或者中断发生时都需要切换映射表，这无疑会影响应用的性能。
因为Meltdown和Spectre主要是产生于用户态和内核态交互之间，黑客利用用户态和内核态之间的短暂未保护状态的瞬间窃取信息。所以从应用角度来看，如果应用有很多用户态和内核态之间的交互，显然受漏洞影响就比较大。如果应用在内核态和用户态之间的操作比较少，它受漏洞的影响也就比较小。
从对于业界应用的影响来看，英特尔确认性能损失取决于工作负载。比如常见的OLTP应用，为了提升效率，往往需要将资料缓存到内存中，所有的OLTP操作都是由内核来完成，如果不使用Meltdown和Spectre的补丁，应用很容易被黑客攻击；如果使用补丁，根据第三方测试数据，应用性能可能会有8% 到19%的损失。对于一些内核层和用户层很少通讯的应用来讲，性能影响就会小些甚至不受影响。
根据业内分析发现，应用修复所产生的系统性能影响如下所示：
模拟常见企业和云工作负载的基准测试显示， 性能降低 2% 至 5%。
数据库分析和Java VM 基准测试显示，性能降低 3% 至 7%。
在线交易类的 OLTP 基准测试显示，性能降低 8% 至 19%。
使用了支持加速器技术（包括 DPDK、RDMA 等） 网卡的应用性能退化微乎其微，甚至完全不受影响。
（图）修复后的不同类型应用的平均性能损失
所以，总体看来，使用牺牲性能的方式来解决问题，无疑不是一个好的方案。
在线咨询
