![[ウェビナー] Build 2018 アップデート ～ データ プラットフォーム/IoT編 ～](https://cdn.slidesharecdn.com/ss_thumbnails/20180614azuredataiotwebinar-180614083401-thumbnail.jpg?width=560&fit=bounds)
![[Japan Tech summit 2017] CLD 019](https://cdn.slidesharecdn.com/ss_thumbnails/techsummit2017pdfcld019-171115032130-thumbnail.jpg?width=560&fit=bounds)
More Related Content
What's hot (19)
Similar to How to use PTI & IBRS patch (20)
More from Yuichiro Naito (20)
How to use PTI & IBRS patch
- 1. PTI と IBRS パッチの使い方 PTI と IBRS パッチの使い方について 2018 年 3 月 30 日 （株）創夢 内藤 祐一郎
- 2. FreeBSD-SA-18:03 ● 2018/03/14 にリリースされたセキュリティパッチ ● FreeBSD-SA-18:03.speculative_execution ● いわゆる Meltdown & Spectre への対策 ● 正確には以下の対策を含み – CVE-2017-5754 (Meltdown) – CVE-2017-5715 (Spectre V2) ● 以下の対策を含まない – CVE-2017-5753 (Spectre V1)
- 3. CVE-2017-5754 (Meltdown) 対策 ● Page Table Isolation を導入した。 ● ユーザプロセスのメモリ空間にカーネルのメモリをマップ するのを（ほとんど）やめた。（参考：Wikipediaの記事） ● 元々は Intel がシステムコールの性能向上のために、ユー ザプロセスにもカーネルのメモリをマップしておくことが 推奨されていた。 – カーネルページが TLB から追い出されるのを防ぐ – カーネルページはアクセス保護で守られるので問題な かった
- 4. CVE-2017-5715 (Spectre V2) 対策 ● Indirect Branch Restricted Speculation を有効にできるよ うにした。 ● 間接分岐命令実行時に投機的実行を制限するように、 Intel がマイクロコードのアップデートをリリースした。 ? この機能を有効にするためのパッチ。
- 5. 対策パッチを使うには 1.FreeBSD 11.1R-p8 にアップデートする。 2.PTI (Page Table Isolation) はデフォルトで有効。 3.bios アップデートまたは ports/sysutils/devcpu_data をイ ンストールする。 4.devcpu_data を入れた場合は、 sysrc microcode_update_enable="YES" を実行しておく。 5./etc/sysctl.conf に hw.ibrs_disable=0 を書き込む。 6. 以上を行ったらリブートする。
- 6. 対策が有効かどうかの確認 ● PTI (Page Table Isolation) – sysctl vm.pmap.pti で 1 が表示されること ● IBRS (Indirect Branch Restricted Speculation) – sysctl hw.ibrs_active で 1 が表示されること
- 7. やっぱり無効にしたい場合 ● PTI (Page Table Isolation) – /boot/loader.conf に vm.pmap.pti = 0 を書き込む ● IBRS (Indirect Branch Restricted Speculation) – /etc/sysctl.conf に hw.ibrs_disable=1 を書き込む – （ /boot/loader.conf に書き込むでも可） ● 以上を設定後にリブートする。
- 8. どのくらい性能に影響するのか？ ● 試しに UnixBench を実行してみた。 ● UnixBench はアプリケーションの性能に影響を及ぼしそう な項目ごとにベンチマークを出してくれる。 ● PTI, IBRS がどういった処理に影響するのかが分かる。 ● 逆に一般的なアプリケーションのワークロードではないた め、ベンチマークの結果から一般的なアプリケーションの 性能を予測するのは難しい。
- 9. 使用したハードウェア 目項 値 CPU Intel(R) Core(TM) i7-6700 CPU @ 3.40GHz (Skylake) コア / スレッド数 4/8 メモリ量 16GB (DDR3L) HDD 128GB SSD (SATA3 接続 ) File System ZFS (version 5)
- 10. 結果 (index 値 ) PTI on PTI off ベンチマ クのー 種類 IBRS on IBRS off IBRS on IBRS off Dhrystone 2 using register variables 2562.2 4748.0 2841.7 4771.0 Double-Precision Whetstone 1194.6 1300.6 1195.3 1306.1 Execl Throughput 706.9 885.6 743.4 945.0
- 11. 結果 (index 値 ) PTI on PTI off ベンチマ クのー 種類 IBRS on IBRS off IBRS on IBRS off File Copy 1024 bufsize 2000 maxblocks 367.8 544.3 382.5 567.6 File Copy 256 bufsize 500 maxblocks 220.3 318.6 231.9 344.1 File Copy 4096 bufsize 8000 maxblocks 932.8 1297.8 971.5 1375.8
- 12. 結果 (index 値 ) PTI on PTI off ベンチマ クのー 種類 IBRS on IBRS off IBRS on IBRS off Pipe Throughput 481.8 1176.1 567.3 1862.7 Pipe-based Context Switching 374.7 454.5 419.2 570.3 Process Creation 788.5 913.3 857.6 1030.8
- 13. 結果 (index 値 ) PTI on PTI off ベンチマ クのー 種類 IBRS on IBRS off IBRS on IBRS off Shell Scripts (1 concurrent) 1612.5 2291.9 1671.4 2372.7 Shell Scripts (8 concurrent) 5139.7 6538.3 5289.5 6787.8 System Call Overhead 190.2 559.7 229.5 1157.6
- 14. 結果 (index 値 ) PTI on PTI off ベンチマ クのー 種類 IBRS on IBRS off IBRS on IBRS off System Benchmarks Index Score 759.2 1144.3 818.2 1335.9
- 15. buildworld + buildkernel ● 現実的なアプリケーションの例として FreeBSD 11.1R-p8 を make buildworld buildkernel した 時間を測定した。 ● PTI on & IBRS on の場合は 1901 秒。 ● PIT off & IBRS off の場合は 1811 秒。 ? 5% 遅くなった。
- 16. まとめ ● 予想通りシステムコールの性能は劣化する。 ● しかし、多くのアプリケーションはシステムコールを頻繁 に呼び出すことを避けるように作られている。 ● IBRS は Dhrystone や Whetstone のように CPU の演算性 能に影響を及ぼすため、多くのアプリケーションに影響を 与えると考えられる。 ● 対策が必要な環境であれば止むを得ないが、必要のない環 境であればパッチを無効化してしまうのもありだと思う。