各大供應商紛紛宣布，現已無需對Spectre與Meltdown進行修復

幾家SAN供應商宣布其系統已無需針對Spectre與Meltdown漏洞進行修補。於是我們對戴爾與Pure Storage進行了採訪，詢問了雙方有關修復方面的影響與兩家公司的SAN與戴爾方面的超融合（HCI）系統是否需要修補等問題。

記者:您是否同意只運行其供應商代碼的本地外部SAN與文件管理器均具有一定的安全性而無需補丁即可一如既往地執行任務？另外，您能否對您所在的立場稍加解釋？

戴爾方面：對此觀點我們普遍持認同態度。通過訪問平台操作系統以載入外部代碼的作法處於控制之下（在某些情況下，代碼無法接受任何改編），因此其所報告的漏洞不會給客戶環境帶來任何額外的安全風險——只要客戶遵循我方所推薦的最佳實踐用例以保護高特權賬戶的訪問。

Pure Storage:目前已知的Meltdown與Spectre漏洞需要在已受攻擊的CPU上運行合成代碼。因為Pure公司的系統運行一套固定的Purity Operating Environment，所以我們希望其能夠一如既往地運行而無需修補。

記者:那麼，對於已交付與專為運行於單獨購買的商品硬體（即伺服器）所設計的存儲軟體而言，情況會有所不同嗎？這些伺服器是否必須打補丁？

戴爾方面:在大多數情況下，答案是肯定的。大部分的存儲軟體自己能夠抵禦這些漏洞，但運行這些軟體的主機伺服器/設備仍然需要打補丁。某些軟體的虛擬設備安裝甚至需要其所關聯的虛擬機及其虛擬機管理程序也進行修補。

Pure Storage:Pure Storage公司不提供純軟體解決方案，而該問題天然不估影響到Pure Storage所推出的系列解決方案。此外，FlashArray與FlashBlade平台都是基於設備的解決方案，其硬體與軟體之間存在緊密耦合且都由Pure方面控制。

記者:超融合系統在這方面的情況有何不同？

戴爾方面：HCI設備可能比商品化伺服器具有更多的限制性訪問許可權；然而，由CI/HCI系統組合而成的伺服器需要連同管理程序乃至任何客戶操作系統組件一齊進行修補。

Pure Storage:Pure方面不存在這種情況。

記者:貴公司修復由其自身共享的外部存儲系統產品的意圖何在？

戴爾方面：戴爾公司的大部分外部存儲系統受已報告漏洞風險影響的幾率幾乎為零，抑或是極其有限。

Pure Storage:我方並沒有修補自身存儲系統產品的計劃。隨著了解的深入，我們將對該類問題保持一定關注度。

記者:當這些系統進行修補時，性能將會受到怎樣的影響？

戴爾方面：我們將對任何需要進行修補的系統進行性能測試，但我們認為修補不會對這些存儲系統產品造成任何性能影響。

記者:最後，您會對貴公司的HCI產品進行修補嗎？

戴爾方面：是的。我們正在對這些系統中易受攻擊的組件進行修復……目前，我們正在對系統性能進行測試以評估修復完成後是否會存在任何潛在的性能影響。

在經補丁修復的虛擬機管理程序中運行的存儲軟體

Infinidat方面聲稱，從另一方面看來，非設備存儲軟體將可能需要進行修補。

Infinidat公司的首席技術官Brian Carmody表示：「假想您的產品屬於運行在經補丁修復的虛擬機管理程序中的『軟體定義存儲』（SDS）方案，那麼您將會受限於性能表現。假若您提供的是允許第三方代碼運行的存儲設備，您也將受到性能的影響。」

「唯一能夠不執行該內核補丁的架構是那些採用可阻止第三方代碼攻擊的物理CPU的設備。」

這裡所指的包括那些來自於戴爾公司、HPE、日立Vantara 、華為公司、Kaminario 、NetApp 、Pure Storage 以及Tintri 等供應商的SAN與文件管理方案。

如果一套陣列允許客戶代碼運行其中，那麼即可推定該套陣列是需要進行修補的。

Carmody表示其懷疑在管理程序中運行的SDS或將受到影響。對此，Carmody 在引用了一篇微軟公司發布的相關博客之後補充道：「如果運行一套管理程序，對這套管理程序進行了修復與系統調用，那麼其運行速度就會如同其他虛擬化應用程序一樣變慢。」

同時，這篇博客還指出：「對於Windows Server而言，管理員應確保其在物理伺服器級別上具有一定的緩解措施以實現伺服器上虛擬化工作負載的隔離……無論是在本地或雲端運行Windows Server的客戶，也需要對是否要在每套Windows Server虛擬機或物理實例中應用額外的安全緩解措施進行評估。而當您在Windows Server實例中運行不受信任的代碼時，這些緩解措施應成為一種強制性要求。」

影響Windows Server性能的因素主要來自用以消除危險情況下的分支推測並完成微代碼更新的Spectre Variant 2 Windows Change。

這意味著來自對象存儲供應商的純軟體存儲產品將會受到影響。對此，我們正在與其聯繫以進一步核對消息的準確性。

與此同時，谷歌方面宣布其已經找到了能夠修復Variant 2 Spectre漏洞的方法，並且該方法不會對性能造成任何不利影響。

通告內容如下：

使用Retpoline，我們不再需要禁用推測執行或其他硬體功能。相反，此套解決方案能夠通過修改程序以規避攻擊者的影響。通過使用Retpoline，我們可以在編譯時保護我們的基礎架構而無需修改源代碼。

此外，對於該功能的測試結果——特別是當其與軟體分支預測提示等優化功能相結合後——顯示這種保護功能幾乎不會造成性能損失……Retpoline完全可以在不影響我們所有平台上客戶性能的情況下實現Variant 2的防禦功能。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！