<div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><br><br><div class="gmail_quote"><div dir="ltr">On Mon, Sep 17, 2018 at 2:58 PM Wes Turner <<a href="mailto:wes.turner@gmail.com">wes.turner@gmail.com</a>> wrote:</div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div><br></div><div>I thought I read that RH has a kernel flag for userspace?</div></blockquote><div><br></div><div>"Controlling the Performance Impact of Microcode and Security Patches for CVE-2017-5754 CVE-2017-5715 and CVE-2017-5753 using Red Hat Enterprise Linux Tunables"<br></div><div><a href="https://access.redhat.com/articles/3311301">https://access.redhat.com/articles/3311301</a><br></div><div><br></div><div>> Indirect Branch Restricted Speculation (ibrs)</div><div>> [...] When ibrs_enabled is set to 1 (spectre_v2=ibrs) the kernel runs with indirect branch restricted speculation, which protects the kernel space from attacks (even from hyperthreading/simultaneous multi-threading attacks). When IBRS is set to 2 (spectre_v2=ibrs_always), both userland and kernel runs with indirect branch restricted speculation. This protects userspace from hyperthreading/simultaneous multi-threading attacks as well, and is also the default on certain old AMD processors (family 10h, 12h and 16h). This feature addresses CVE-2017-5715, variant #2.</div><div>> [...]</div><div>> echo 2 > /sys/kernel/debug/x86/ibrs_enabled<br></div><div> </div><div><a href="https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SpectreAndMeltdown/MitigationControls">https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SpectreAndMeltdown/MitigationControls</a></div><div>> echo 2 > /proc/sys/kernel/ibrs_enabled will turn on IBRS in both userspace and kernel<br></div><div><br></div><div>...</div><div>On Mon, Sep 17, 2018 at 5:26 AM Antoine Pitrou <<a href="mailto:solipsis@pitrou.net">solipsis@pitrou.net</a>> wrote:<br></div><div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">If you want to push this forward, I suggest you measure performance of<br>Python compiled with and without the Spectre mitigation options, and<br>report the results here.  That will help vendors and packagers decide<br>whether they want to pursue the route of enabling those options.</blockquote></div><div><br></div><div>"Speculative Execution Exploit Performance Impacts - Describing the performance impacts to security patches for CVE-2017-5754 CVE-2017-5753 and CVE-2017-5715"<br></div><div><a href="https://access.redhat.com/articles/3307751">https://access.redhat.com/articles/3307751</a><br></div><div><br></div><div>- Revised worst-case peformance impact: 4-8%</div></div></div></div></div></div></div></div></div></div></div></div></div></div></div>