IntelプロセッサのSpectreおよびMeltdownハードウェアの脆弱性を特定することで、同社のアーキテクトは最も困難なタスクを設定しました。CPUのマイクロアーキテクチャに変更を加えて、プロセッサパフォーマンスを維持および改善しながら、完全な実行セキュリティを確保します。 6か月後、この作業の結果を共有する時間です。 もちろん、すべてではなく、Intel Top Secretではない部分だけです。
セキュリティの専門家によると、コンピューターを含むあらゆる分野で完全に安全なシステムを作成することは不可能です。 防御を破ることのコストがそれが保護するもののコストを超えるように、防御を行うことのみが可能です。 そして、このタスクは非常に実行可能です。 問題は1つだけです。高いセキュリティと高いパフォーマンスの要件は、相互に非常に互換性がありません。
したがって、前述のように、セキュリティと高性能CPUを組み合わせるタスクは非常に困難です。 そして、Intelのエンジニアがそれを解決する方法の1つは、SEO-Search Engine Optimization-検索エンジン最適化のような一見無関係な分野によってもたらされました。
実際、プロセッサと検索エンジンの原則には多くの類似点があります。 検索エンジンで最も人気のあるサイトが検索結果の最初のページに該当する場合、プロセッサで最も人気のあるデータと命令がキャッシュメモリに入ります。 インデックス付きサイトとプログラムコードの両方で、サイトのキーワードとプロセッサのプリフェッチ命令を使用して、手動で「プロモーション」に影響を与える機会があります。 しかし、あちこちで、結果は一般的に予測不可能であり、現代のシステムではそうすることは勧められません。 検索エンジンがページランクを決定するのと同じように、サイトにつながるすべてのリンクを追跡するため、順不同の実行中のプロセッサは、すべての実行可能命令のデータに従ってリンクを追跡します。
数年前、偶然にもページランキングアルゴリズムを完全に開示することのなかった検索エンジンは、「ブラック最適化」に対処する方法を学びました。 また、乱雑な実行（OOO実行）と分岐予測（分岐予測）のアルゴリズムが完全に分類される新しいIntel CPUマイクロアーキテクチャは、Spectre脆弱性のバージョンの1つで使用される分岐予測子の「トリック」の状況に対処できます。
そして今-マイクロアーキテクチャの主な変更について。 検索エンジンでは、プロセッサにまだ類似性がない可能性があります。 これらは検索結果の冒頭に表示される有料広告であり、実際、有料でサイトを大幅に宣伝する機会を提供します。 プロセッサを使用する場合、まず頭に浮かぶのは有料キャッシュです。つまり、一定の期間、単一のアプリケーション用にキャッシュの一部を予約し、その混雑をなくし、最大限のパフォーマンスを確保する機能です。
しかし、残念ながら、一般的なケースでは、この方法でソフトウェア製品の生産性を大幅に向上させることは不可能です。キャッシュは、アプリケーションの速度を保証するチェーンの1つのリンクにすぎません。 そのため、インテルのエンジニアは別のソリューションを見つけました。 つまり、新しいプロセッサに別のコアを追加して、排他モードのどのアプリケーションでも一定時間使用できるようにする予定です。
新しいコアの動作周波数は、残りのプロセッサコアの動作周波数の2倍になります。実際、コアは常にターボブーストモードになり、そのマイクロアーキテクチャは他のコアとは異なります。 主な違いは、カーネル上のアプリケーションの排他的操作が保証されているため、セキュリティ要件の大部分を放棄することが可能になるため、システムコール中のユーザーモードから保護モードへの移行など、パフォーマンスの観点から非常に高価な操作の必要性がなくなることです。 もちろん、イノベーションをサポートするために、対応する変更がオペレーティングシステムに加えられます。
暫定的な見積もりによると、新しいコアを使用するアプリケーションのパフォーマンスは平均3〜4倍になります。
Intel Software Guard Extensions（Intel SGX）アプリケーション構造
特定のアプリケーションにカーネルへの排他的アクセスを提供するために、Intel SGX 1.04のアップグレードバージョンが使用されます。 実際、コア全体がセキュアなSGXエンクレーブとなり、現在のレベルの権限に関係なく、他のアプリケーションへのアクセス権はありません。 もちろん、このような作業体系ではOSの大幅な変更が必要になりますが、IntelはXeon Phi向けの同様のコンポーネントの開発でそれに対応した経験を持っています。
もちろん、新しい機能は、その使用が課金されることが予想されるため、ソフトウェアメーカーとエンドユーザーからそれぞれ需要があります。 簡単なオンライン支払いプロセスの後、ユーザーはアプリケーションが新しいコアにアクセスするために必要な生成された電子キーを受け取ります。
インテルはユーザーの個人データの保護に真剣に取り組んでいます。そのため、支払いは従来のお金だけでなく、ビットコインでも可能です。
更新しました。 読むときは、インテルSGXのバージョンまたはこの投稿の作成日に細心の注意を払ってください-ご要望に応じて