Казалось бы, какое отношение китайцы имеют к процессорами Intel Xeon? Да ещё к защите от атак? Не их ли обвиняют во всех грехах и запрещают подвоз серверных процессоров Intel в Поднебесную? Как оказалось, Intel весьма плотно сотрудничала с Университетом Цинхуа (Tsinghua University) в процессе создания технологии аппаратной защиты серверных процессоров от любых потенциально возможных атак и уязвимостей. Неужели такое возможно? Утверждается, что да.
На конференции Hot Chips 31 группа Jintide представила однокорпусное решение размером с процессор Skylake, но очень непростое внутри (все представленный слайды с сайта AnandTech). В корпус процессора оказались заключены три кристалла: обычный Xeon с числом ядер до 24 штук и два 28-нм чипа разработки Jintide. Также в системе используются модифицированные модули памяти, хотя сами слоты памяти — обычные LRDIMM. Заявлено, что вся эта комплексная система теряет не больше 10 % производительности, но зато она минимально уязвима для всех известных и ещё неизвестных уязвимостей как аппаратных (архитектурных), так и программных.
Идея разработки заключается в том, что все вычислительные потоки в процессоре и в памяти находятся под постоянным наблюдением специальных блоков (чипов). Трассировка происходит в самом процессоре и в буферах памяти. Частота выборки 1 Гц, длительность выборки ― 100 мкс.
Любая враждебная активность, отклонение от ожидаемого поведения или другое ненормальное поведение вычислительных потоков немедленно изолируются или доводятся до сведения пользователю (системе). Современные процессоры настолько сложны, утверждают разработчики, что защитить их от всех векторов атак невозможно в принципе. Чтобы вычисления считать доверенными, необходимо только одно ― наблюдать, следить и контролировать все вычислительные потоки.
За мониторингом вычислительных потоков в процессоре следят встроенные чипы RCP (re-configurable processor, процессор с изменяемой конфигурацией) и ITR (трассировка ввода/вывода). Соответствующие буферы и решения для трассировки обращения к памяти также встроены в чипы и модули памяти DDR4.
Кстати, одного-единственного сценария на все виды уязвимостей не существует. Но возможность перепрограммировать RCP и ITR позволит защитить процессор от обнаруженных новых уязвимостей без снижения производительности, что невозможно для современных решений с программными патчами.
Чипы и вычислительные ядра соединяются линиями PCIe 3.0. Всего поддерживаются до 48 линий PCIe 3.0, что допускает конфигурации до 4 Xeon на одной плате. Уровень TDP решения: от 145 до 205 Вт. Процессор поддерживается обычным чипсетом Intel C620. Готовые системы предлагает компания Lenovo.
ServerNews
🔥 VPS до 5.7 ГГц под любые задачи с AntiDDoS в 7 локациях
Виртуальные VPS серверы в РФ и ЕС
