Jak sprawdzić, czy jądro Linuksa jest włączone „Retpoline”, czy nie?

Jeśli chodzi o lukę w zabezpieczeniach „Spectre”, „Retpoline” została wprowadzona jako rozwiązanie zmniejszające ryzyko. Jednak przeczytałem post, w którym wspomniano:

Jeśli zbudujesz jądro bez niego CONFIG_RETPOLINE, nie będziesz mógł budować modułów za pomocą retpoliny, a następnie oczekiwać, że się załadują - ponieważ symbole zgubne nie są eksportowane.

Jeśli zbudować jądro z retpoline choć, może z powodzeniem załadować moduły, które nie są zbudowane z retpoline. ( Źródło )

Czy istnieje prosty i powszechny / ogólny / zunifikowany sposób sprawdzenia, czy jądro ma włączoną funkcję „Retpoline”? Chcę to zrobić, aby mój instalator mógł użyć właściwej kompilacji modułu jądra do zainstalowania.

linux kernel linux-kernel

— Weishan Yang
źródło

Odpowiedzi:

Jeśli używasz jądra głównego lub jądra większości głównych dystrybucji, najlepszym sposobem sprawdzenia pełnej obsługi retpoliny ( tj . Jądro zostało skonfigurowane CONFIG_RETPOLINEi zostało zbudowane z kompilatorem obsługującym retpolinę) jest poszukiwanie „pełnej ogólnej retpoliny” ”w /sys/devices/system/cpu/vulnerabilities/spectre_v2. W moim systemie:

$ cat /sys/devices/system/cpu/vulnerabilities/spectre_v2
Mitigation: Full generic retpoline, IBPB, IBRS_FW

Jeśli chcesz bardziej kompleksowych testów, aby wykryć retpoliny w jądrach bez spectre_v2pliku systree, sprawdź, jak to działa spectre-meltdown-checker.

— Stephen Kitt
źródło

Aby sprawdzić inne luki związane z krachem / widmem, uruchom $ grep . /sys/devices/system/cpu/vulnerabilities/*, co sugeruje blog Grega Kroah-Hartmana .

— Alex Vong,

Dzięki @Alex; Odpowiedziałem na konkretne pytanie, ale jest to przydatne - chociaż wolę head /sys/devices/system/cpu/vulnerabilities/*siebie ;-). Obejmuje to obecnie luki w zabezpieczeniach Meltdown / Spectre, ale powinno również obejmować wszelkie przyszłe luki o podobnym charakterze (przestrzeń nazw jest celowo ogólna).

— Stephen Kitt,

@StephenKitt Tak, headdaje ładniejszy sformatowany wynik.

— Alex Vong,

Odpowiedź Stephena Kitta jest bardziej wyczerpująca w tym konkretnym przypadku, ponieważ obsługa retpoliny wymaga również nowej wersji kompilatora.

Ale w ogólnym przypadku większość dystrybucji ma plik konfiguracyjny jądra dostępny w jednej z następujących lokalizacji:

/boot/config-4.xx.xx-...
/proc/config.gz

Więc możesz po prostu zgrep CONFIG_RETPOLINE /boot/config* /proc/config.gz

— jpa
źródło

Odradzam włączanie /boot/config*, ponieważ może to znaleźć się CONFIG_RETPOLINEw obrazie jądra, który jest zainstalowany, ale obecnie nie działa, dając fałszywe poczucie bezpieczeństwa. Badanie /proc/config.gzlub /sys/...jest bezpieczne, ale wiele dystrybucji Linuksa kompiluje jądro bez /proc/config.gz.

— pkt

Czy możesz uczynić logikę nieco mądrzejszą i użyć uname (lub równoważnego syscall), aby uzyskać aktualnie działające jądro, a następnie sprawdzić ten konkretny plik / boot / config?

— Adam Luchjenbroers,

@pts /boot/config-$(uname -r), więc?

— muru

Użycie również /boot/config-$(uname -r)nie jest głupie: nadal nie gwarantuje, że config pasuje do działającego jądra. Jądra Distro pozostają takie same uname -rw wielu wersjach, o ile ABI jądra się nie zmienia.

— Stephen Kitt,

Dziękuję wszystkim za odpowiedź. Twoja odpowiedź i wiadomość są pomocne.

— Weishan Yang,