PTI & IBRS patch for FreeBSD

1. PTI と IBRS パッチの使い方
PTI と IBRS パッチの使い方について
2018 年 3 月 30 日
（株）創夢 内藤 祐一郎

2. FreeBSD-SA-18:03
● 2018/03/14 にリリースされたセキュリティパッチ
● FreeBSD-SA-18:03.speculative_execution
● いわゆる Meltdown & Spectre への対策
● 正確には以下の対策を含み
– CVE-2017-5754 (Meltdown)
– CVE-2017-5715 (Spectre V2)
● 以下の対策を含まない
– CVE-2017-5753 (Spectre V1)

3. CVE-2017-5754 (Meltdown) 対策
● Page Table Isolation を導入した。
● ユーザプロセスのメモリ空間にカーネルのメモリをマップ
するのを（ほとんど）やめた。（参考：Wikipediaの記事）
● 元々は Intel がシステムコールの性能向上のために、ユー
ザプロセスにもカーネルのメモリをマップしておくことが
推奨されていた。
– カーネルページが TLB から追い出されるのを防ぐ
– カーネルページはアクセス保護で守られるので問題な
かった

4. CVE-2017-5715 (Spectre V2) 対策
● Indirect Branch Restricted Speculation を有効にできるよ
うにした。
● 間接分岐命令実行時に投機的実行を制限するように、
Intel がマイクロコードのアップデートをリリースした。
➔ この機能を有効にするためのパッチ。

5. 対策パッチを使うには
1.FreeBSD 11.1R-p8 にアップデートする。
2.PTI (Page Table Isolation) はデフォルトで有効。
3.bios アップデートまたは ports/sysutils/devcpu_data をイ
ンストールする。
4.devcpu_data を入れた場合は、
sysrc microcode_update_enable="YES"
を実行しておく。
5./etc/sysctl.conf に hw.ibrs_disable=0 を書き込む。
6. 以上を行ったらリブートする。

6. 対策が有効かどうかの確認
● PTI (Page Table Isolation)
– sysctl vm.pmap.pti で 1 が表示されること
● IBRS (Indirect Branch Restricted Speculation)
– sysctl hw.ibrs_active で 1 が表示されること

7. やっぱり無効にしたい場合
● PTI (Page Table Isolation)
– /boot/loader.conf に vm.pmap.pti = 0 を書き込む
● IBRS (Indirect Branch Restricted Speculation)
– /etc/sysctl.conf に hw.ibrs_disable=1 を書き込む
– （ /boot/loader.conf に書き込むでも可）
● 以上を設定後にリブートする。

8. どのくらい性能に影響するのか？
● 試しに UnixBench を実行してみた。
● UnixBench はアプリケーションの性能に影響を及ぼしそう
な項目ごとにベンチマークを出してくれる。
● PTI, IBRS がどういった処理に影響するのかが分かる。
● 逆に一般的なアプリケーションのワークロードではないた
め、ベンチマークの結果から一般的なアプリケーションの
性能を予測するのは難しい。

9. 使用したハードウェア
目項 値
CPU Intel(R) Core(TM) i7-6700 CPU @ 3.40GHz (Skylake)
コア / スレッド数 4/8
メモリ量 16GB (DDR3L)
HDD 128GB SSD (SATA3 接続 )
File System ZFS (version 5)

10. 結果 (index 値 )
PTI on PTI off
ベンチマ クのー 種類 IBRS on IBRS off IBRS on IBRS off
Dhrystone 2 using
register variables
2562.2 4748.0 2841.7 4771.0
Double-Precision
Whetstone
1194.6 1300.6 1195.3 1306.1
Execl Throughput 706.9 885.6 743.4 945.0

11. 結果 (index 値 )
PTI on PTI off
ベンチマ クのー 種類 IBRS on IBRS off IBRS on IBRS off
File Copy 1024
bufsize 2000
maxblocks
367.8 544.3 382.5 567.6
File Copy 256
bufsize 500
maxblocks
220.3 318.6 231.9 344.1
File Copy 4096
bufsize 8000
maxblocks
932.8 1297.8 971.5 1375.8

12. 結果 (index 値 )
PTI on PTI off
ベンチマ クのー 種類 IBRS on IBRS off IBRS on IBRS off
Pipe Throughput 481.8 1176.1 567.3 1862.7
Pipe-based Context
Switching
374.7 454.5 419.2 570.3
Process Creation 788.5 913.3 857.6 1030.8

13. 結果 (index 値 )
PTI on PTI off
ベンチマ クのー 種類 IBRS on IBRS off IBRS on IBRS off
Shell Scripts (1
concurrent)
1612.5 2291.9 1671.4 2372.7
Shell Scripts (8
concurrent)
5139.7 6538.3 5289.5 6787.8
System Call
Overhead
190.2 559.7 229.5 1157.6

14. 結果 (index 値 )
PTI on PTI off
ベンチマ クのー 種類 IBRS on IBRS off IBRS on IBRS off
System Benchmarks
Index Score
759.2 1144.3 818.2 1335.9

15. buildworld + buildkernel
● 現実的なアプリケーションの例として
FreeBSD 11.1R-p8 を make buildworld buildkernel した
時間を測定した。
● PTI on & IBRS on の場合は 1901 秒。
● PIT off & IBRS off の場合は 1811 秒。
➔ 5% 遅くなった。

16. まとめ
● 予想通りシステムコールの性能は劣化する。
● しかし、多くのアプリケーションはシステムコールを頻繁
に呼び出すことを避けるように作られている。
● IBRS は Dhrystone や Whetstone のように CPU の演算性
能に影響を及ぼすため、多くのアプリケーションに影響を
与えると考えられる。
● 対策が必要な環境であれば止むを得ないが、必要のない環
境であればパッチを無効化してしまうのもありだと思う。