TECH

안녕하세요 

오늘은 boot parameter에서 보안취약점 설정을 할 때  spectre, Meltdown등 따로 했었는데 이제 그렇게 안하고

mitigations 옵션 하나만 사용하면 되는것에 대해 설명드리고자 합니다. 

mitigations 설정은 주로 리눅스 커널 부트 파라미터에서 사용되며,

CPU의 보안 취약점(Spectre, Meltdown 등)에 대한 완화(mitigation) 기능을 어떻게 적용할지를 제어하는 옵션입니다.

1. mitigations란?

CPU의 사이드 채널 공격 취약점을 막기 위해 커널이 적용하는 보안 대책들을 통칭합니다.

대표적인 취약점:

Spectre v1 / v2

Meltdown

L1TF

MDS

TAA

Retbleed 등

이 완화 기능들은 보안은 강화하지만, 성능 저하가 발생할 수 있습니다.

=> 이 의미는 보안에는 강화되지만 이 설정으로 인해 성능에 이슈가 발생될수가있다라는 얘기인데

실제로 고객사에서 발생한 사례가 있습니다. 그래서 폐쇄망에서 서비스하는 서버들은 mitigations=off 를 사용하여

성능을 우선으로 한다는 것입니다. 

---------------------------------------------------

>설명

mitigations=

[X86,PPC,S390,ARM64,EARLY] Control optional mitigations for

CPU vulnerabilities.  This is a set of curated,

arch-independent options, each of which is an

aggregation of existing arch-specific options.

Note, "mitigations" is supported if and only if the

kernel was built with CPU_MITIGATIONS=y.

off   // 고객사에서 이 옵션을 가장 많이 사용합니다. 

Disable all optional CPU mitigations.  This

improves system performance, but it may also

expose users to several CPU vulnerabilities.

Equivalent to: if nokaslr then kpti=0 [ARM64]

      gather_data_sampling=off [X86]

      indirect_target_selection=off [X86]

      kvm.nx_huge_pages=off [X86]

      l1tf=off [X86]

      mds=off [X86]

      mmio_stale_data=off [X86]

      no_entry_flush [PPC]

      no_uaccess_flush [PPC]

      nobp=0 [S390]

      nopti [X86,PPC]

      nospectre_bhb [ARM64]

      nospectre_v1 [X86,PPC]

      nospectre_v2 [X86,PPC,S390,ARM64]

      reg_file_data_sampling=off [X86]

      retbleed=off [X86]

      spec_rstack_overflow=off [X86]

      spec_store_bypass_disable=off [X86,PPC]

      spectre_bhi=off [X86]

      spectre_v2_user=off [X86]

      srbds=off [X86,INTEL]

      ssbd=force-off [ARM64]

      tsx_async_abort=off [X86]

---------------------------------------------------

2. mitigations 커널 파라미터

부트 시 커널에 전달되는 옵션입니다.

mitigations=옵션값

>  mitigations=off

- 모든 CPU 보안 완화 비활성화

- 성능은 가장 좋음

- 보안 취약점에 완전히 노출

> 권장되지 않음

- 인터넷 연결 서버

- 멀티테넌트 환경

- 클라우드 / 가상화 환경

> mitigations=auto,nosmt

- 자동 완화 + SMT(하이퍼스레딩) 비활성화

- 보안 강화 (특히 MDS 계열)

- 성능 하락 큼

3. 현재 시스템 설정 확인

- 부트 파라미터 확인

# cat /proc/cmdline

- 적용된 완화 상태 확인

#cat /sys/devices/system/cpu/vulnerabilities/*

긴글 읽어주셔서 감사합니다~