如何不在安全与性能之间二选一
时间：2022-03-31 22:36:01 | 来源：行业动态
时间：2022-03-31 22:36:01 来源：行业动态
由于Meltdown和Spectre问题来源于CPU，最根本的解决办法就是改变CPU从内存和磁盘读取数据的方式，实现既不损失性能又有安全保障。但是这是一个很艰巨的任务，很难在短期内实现。
Mellanox公司亚太及中国区市场开发高级总监宋庆春在接受至顶网采访时表示，当前的最佳解决方案就是尽量做到CPU Offload，减少内核层和用户层之间的沟通， 比如使用RDMA技术来Bypass CPU，使用NVMe over Fabric Offload来将CPU操作的内核拷贝跳过，使用GPU Direct RDMA技术跳过GPU内存和CPU内存的拷贝等。另外使用网卡硬件来做应用和应用之间的安全隔离来避免使用CPU来做软件隔离，也是预防漏洞的有效方法之一。
所以，解决Meltdown和Spectre问题的关键就是减少CPU和应用的沟通，RDMA和智能网卡做的就是让CPU尽量只做计算，所有通讯和安全的操作由网络来做，从而切断黑客访问应用的途径。此外，还包括DPDK技术，它们实际是把原来由内核操作的很多工作放到用户态去做，这样很多操作就跟内核态没有关系了。通过在用户态之间建立应用和应用之间隔离，避免和内核态之间的交互，来降低这些漏洞带来的风险。现在RDMA技术已经被广泛应用到了各种各样的应用当中，从很多采用RDMA的应用来看，可以看到它被Meltdown和Spectre这两个漏洞影响的机会非常小，而且对性能的影响非常低，甚至做到没有影响。 宋庆春说。
所以，这在另一个层面又回到了卸载技术与加载技术的争论。卸载技术寻求克服CPU的性能瓶颈，主要方式是对在集群内移动的数据执行各种网络功能以及复杂的通信操作，如协同操作和数据聚集操作。以Mellanox为代表的网络厂商推出了卸载技术（如 RDMA 和 DPDK）， 将处理TCP/IP和存储堆栈的重任转移至网络适配器，缓解主要系统处理器的压力。这样可以提升性能，并缓解了修补Spectre 和Meltdown 后通常造成的性能损失。
在线咨询
