Cómo mitigar las vulnerabilidades de procesadores Intel en Mac

Apple ha publicado actualizaciones de seguridad para mitigar las nuevas vulnerabilidades de procesadores Intel en Mac, pero, cuidado, la pérdida de rendimiento puede alcanzar hasta el 40% en determinadas situaciones de uso.

Las nuevas vulnerabilidades en procesadores Intel son un grave problema para la industria y el consumidor por lo que suponen en materia de seguridad y también por la pérdida de rendimiento que (poco o mucho) irremediablemente se produce al mitigarlas vía software. Y hablamos de mitigar porque ya conoces la situación. No hay solución al 100% hasta que no lleguen al mercado nuevas arquitecturas de procesamiento libres de los ataques de canal lateral que aprovechan las debilidades actuales de la función conocida como ejecución especulativa.

Cuando la semana pasada conocimos las nuevas vulnerabilidades (CVE-2018-12126, CVE-2018-12127, CVE-2018-12130 y CVE-2019-11091) y  los ataques asociados (ZombieLoad, Fallout, RIDL y Store-to-Leak Forwarding), Intel anunció un nuevo  microcódigo para mitigarlas. Es la base utilizada para actualizar firmwares en placas base, sistemas operativos y aplicaciones.

Cómo mitigar las vulnerabilidades de procesadores Intel en Mac

Es lo que ha publicado Apple para el sistema macOS Mojave, recomendando que los usuarios con computadoras Mac «con mayor riesgo» deben permitir una mitigación completa para evitar que ataques informáticos las aprovechen. La actualización ha de realizarse desde la Terminal de la siguiente manera:

• Reinicia el Mac e inmediatamente pulsa y mantén pulsadas las teclas Comando (⌘) y R, o una de las otras combinaciones de teclas para acceder al programa de Recuperación de macOS.
• Abre la Terminal desde el menú de utilidades.
• Ejecuta los siguientes comandos (por separado): nvram boot-args="cwae=2" y nvram SMTDisable=%01
• Reinicia el Mac

Pérdida de rendimiento: un gran problema

La mitigación completa, como explica Apple en la descripción del parche, incluye la desactivación de los subprocesos y ello puede suponer una pérdida de rendimiento enorme (hasta el 40%) cuando los usuarios ejecuten aplicaciones que aprovechen la tecnología de multiproceso simultáneo (SMT), que permite al software ejecutar múltiples hilos de proceso en paralelo aumentando el uso de las unidades de ejecución del procesador.

Para entendernos. La desactivación de esta técnica que Intel denomina comercialmente como Hyper-Threading, es una catástrofe al ejecutar algunas aplicaciones. Cada usuario deberá valorarlo. Tanto Microsoft en Windows como los proveedores de Linux también están publicando actualizaciones de los sistemas sobre el último microcódigo de Intel. Si tu sistema usa un procesador Intel y quieres comprobar si está afectado por cada una de las vulnerabilidades conocidas, puedes usar la herramienta MDS Tool disponible para Windows y Linux.

La pérdida de rendimiento ya fue comentada desde que empezaron a mitigarse las primeras vulnerabilidades conocidas como Meltdown y Spectre. Su nivel varía muchísimo según la aplicación que se ejecute y quién valore la misma. Intel califica de «impacto mínimo» parchear las últimas conocidas, pero algunos medios lo estiman hasta en un 20% y otros lo elevan hasta el 40% al deshabilitar el Hyper-Threading. Hay que mencionar que las sucesivas mitigaciones van acumulando pérdidas.

Si te interesa la cuestión, Phoronix ha publicado un amplísimo artículo donde ha evaluado la pérdida de rendimiento en procesadores Intel y AMD desde que empezaron a aplicarse las mitigaciones. El impacto varía de prácticamente nada a significativo según la aplicación y el procesador. La pérdida de rendimiento de media general de todas las CPUs de Intel analizadas se sitúa en el 15%.

Con la tecnología SMT deshabilitada como recomiendan proveedores como Apple, el impacto general sobre el rendimiento sube al 20% en un Core 7980XE); al 24,8 por ciento en el Core 8700K) y al 20,5% en el Core 6800K. Las mitigaciones en CPUs de AMD, aunque también se produce, no tienen tanto impacto en el rendimiento, teniendo en cuenta que para estos chips no es necesario deshabilitar el SMT, ni están afectados por las últimas vulnerabilidades conocidas.

Más información | Actualizaciones Mac – Soporte Apple | Impacto en rendimiento – Phoronix