【操作系统百科】KASLR 与内核缓解措施

2018 年 Meltdown/Spectre 公开后，内核为每次系统调用多做了大量安全工作——这些缓解措施的代价是什么？

一、先看图

flowchart TD
    VULN[CPU 漏洞] --> MELTDOWN[Meltdown<br/>内核内存泄露]
    VULN --> SPECTRE[Spectre v1/v2<br/>分支预测攻击]
    VULN --> MDS[MDS/L1TF/BHI<br/>微架构攻击]

    MELTDOWN --> KPTI[KPTI<br/>页表隔离]
    SPECTRE --> RETPO[retpoline<br/>间接跳转保护]
    SPECTRE --> IBRS[IBRS/eIBRS<br/>硬件缓解]
    MDS --> FLUSH[缓冲区刷新]

    classDef vuln fill:#f8514922,stroke:#f85149,color:#adbac7;
    classDef mit fill:#388bfd22,stroke:#388bfd,color:#adbac7;
    class VULN,MELTDOWN,SPECTRE,MDS vuln
    class KPTI,RETPO,IBRS,FLUSH mit

二、KASLR

Kernel Address Space Layout Randomization：

每次启动 → 内核加载地址随机 → 攻击者无法预测地址

# 检查 KASLR
grep -i kaslr /proc/cmdline
dmesg | grep "KASLR"

配合 kptr_restrict=1 → /proc/kallsyms 对非 root 隐藏地址。

三、KPTI（Meltdown 缓解）

3.1 原理

用户态和内核态使用不同的页表 → 用户态页表不映射内核内存。

3.2 开销

每次 syscall / 中断 → 切换页表（CR3）→ TLB flush。

PCID（Process Context ID）减轻开销：不同页表使用不同 PCID → 避免全量 TLB flush。

3.3 硬件修复

新 CPU（Intel 10代+）硬件修复 Meltdown → KPTI 可关闭。

四、Retpoline（Spectre v2 缓解）

; retpoline: 用 return 替代间接 call/jmp
call retpoline_trampoline
retpoline_trampoline:
    pause
    lfence
    jmp retpoline_trampoline  ; 永远不执行

间接分支预测被引导到无限循环 → 推测执行无法泄露数据。

五、IBRS / eIBRS

硬件缓解 Spectre v2：

eIBRS 在新 CPU 上 → 可以不用 retpoline → 性能更好。

六、其他缓解

七、性能影响

# 查看当前缓解状态
grep . /sys/devices/system/cpu/vulnerabilities/*

典型开销：

八、mitigations= 参数

# 关闭所有缓解（不推荐生产使用）
mitigations=off

# 自动（默认）
mitigations=auto

# 自动 + SMT 可能被禁用
mitigations=auto,nosmt

九、观察

# 漏洞与缓解状态
grep . /sys/devices/system/cpu/vulnerabilities/*

# 当前使用的 spectre 缓解
dmesg | grep -i spectre
dmesg | grep -i "page table isolation"

# 性能对比
perf stat -e instructions,cycles -- ./workload
# 对比 mitigations=off（仅测试环境！）

十、小结

• KASLR 随机化内核地址 → 增加攻击难度
• KPTI 隔离用户态/内核态页表 → 缓解 Meltdown
• retpoline 保护间接分支 → 缓解 Spectre v2
• eIBRS 硬件缓解更高效
• 缓解措施有真实性能开销 → 新硬件逐步降低

参考文献

• Documentation/admin-guide/hw-vuln/
• arch/x86/mm/pti.c（KPTI）
• arch/x86/lib/retpoline.S
• Jonathan Corbet, “The current state of kernel page-table isolation.” LWN 2018

工具

• /sys/devices/system/cpu/vulnerabilities/
• dmesg
• spectre-meltdown-checker

上一篇：完整性验证 下一篇：容器隔离