Az AMD kiadott egy friss tájékoztatót, amelynek keretén belül arról számolt be a cég, hol tart a biztonsági rések elleni harcban. Először is fontos leszögezni: a Meltdown bug továbbra sem érinti az AMD processzorait, hála az architektúra sajátosságainak, így nincs szükség javításra. A Spectre első variánsát operációs rendszer szintjén foltozták be a fejlesztők – pontosabban jelentősen csökkentették a támadási felület nagyságát, mert a támadásforma ellen valójában nincs 100%-os védelem.
A Spectre bug második variánsa viszont, ami CVE-2017-5715 kódnéven is ismert, már veszélyezteti a rendszer biztonságát, így mindenképpen védekezni kell ellene. A védekezésnek két lépcsőfoka van: az egyiket az operációs rendszerhez érkező patchek képviselik, míg a másik a mikrokód alapú frissítés, ami ugye UEFI Firmware update formájában érhető el.
Operációs rendszer terén néhány órája megjelent keddi Windows 10-es frissítőcsomag, ami a 1709-es kiadáshoz készült, és már védelmet nyújt az AMD modern processzorainak. Rövidesen a Windows Server 2016 esetében is érkezik hasonló frissítés, ahogy a hitelesítési és tesztelési folyamat véget ér.
A frissítés az elágazás-becslő működését kontrollálja, így védelmet nyújt a spekulatív végrehajtás sajátosságait támadó kártékony kódok ellen. Az AMD szerint a teljesítményt is figyelembe véve erre a legjobb módszer az Indirect Branch Prediction Barrier használata, amihez az adott processzor részéről IBPB támogatás is szükséges. Ez a funkció gyakorlatilag annyit tesz, hogy egy korlátot húz a régi és az új végrehajtási feladatokhoz tartozó indirekt elágazás-becslések közé, így a régi feladatok során keletkező adatok nem lehetnek hatással az újakra.
Az elágazás-becslő működését persze egyéb módszerekkel is lehet kontrollálni, ilyen például az Indirect Branch Restricted Speculation bit, ami korlátozza az indirekt elágazás-becslés működését, de ott van még a Single Thread Indirect Branch Predictors (STIBP) funkció is, ami a testvérszálak számára biztosít védelmet azoknál a processzoroknál, amelyeknél szükség van a testvérszálak indirekt elágazás-becslésének védelmére. Ezt a két alternatív módszert – teljesítménnyel kapcsolatos megfontolások miatt – nem ajánlott alkalmazni. Az AMD szerint az IBPB a legjobb módszer. A felsorolt technikák minden fontos részletre kiterjedő ismertetését ez a dokumentum tartalmazza.
A Linux vagy Windows operációs rendszerekhez készített frissítések mellett az adott alaplap UEFI Firmware-ét is érdemes frissíteni, ugyanis ezzel lesz teljes értékű a védelem. Ami igazából nem is teljes körű védelem, hanem csak a támadók esélyeit próbálja jelentős mértékben rontani, de ez is éppen elég. Az AMD az OEM partnerek számára már elküldte a szükséges mikrokód frissítéseket, így érdemes felkeresni az adott alaplap gyártójának weboldalát, ugyanis onnan lehet beszerezni az új UEFI Firmware-t. A javítások csak pár százalékos lassulást okozhatnak – nagyjából 3% körüli lassulás várható a mindennapi feladatvégzés esetében, mint például a JavaScript teljesítménynél, ami webböngészés közben lehet apró érvágás.
A mikrokód frissítések az első Bulldozer processzorokig visszamenőleg minden frissebb AMD processzorhoz és APU egységhez elkészültek, így érdemes beszerezni őket az adott alaplap gyártójának hivatalos weboldaláról.
