幾家SAN供應商宣布其系統已無需針對Spectre與Meltdown漏洞進行修補。于是我們對戴爾與Pure Storage進行了采訪，詢問了雙方有關修復方面的影響與兩家公司的SAN與戴爾方面的超融合(HCI)系統是否需要修補等問題。

記者: 您是否同意只運行其供應商代碼的本地外部SAN與文件管理器均具有一定的安全性而無需補丁即可一如既往地執行任務?另外，您能否對您所在的立場稍加解釋?

戴爾方面：對此觀點我們普遍持認同態度。通過訪問平臺操作系統以加載外部代碼的作法處于控制之下(在某些情況下，代碼無法接受任何改編)，因此其所報告的漏洞不會給客戶環境帶來任何額外的安全風險——只要客戶遵循我方所推薦的最佳實踐用例以保護高特權賬戶的訪問。

Pure Storage: 目前已知的Meltdown與Spectre漏洞需要在已受攻擊的CPU上運行合成代碼。因為Pure公司的系統運行一套固定的Purity Operating Environment，所以我們希望其能夠一如既往地運行而無需修補。

記者: 那么，對于已交付與專為運行于單獨購買的商品硬件(即服務器)所設計的存儲軟件而言，情況會有所不同嗎?這些服務器是否必須打補丁?

戴爾方面: 在大多數情況下，答案是肯定的。大部分的存儲軟件自己能夠抵御這些漏洞，但運行這些軟件的主機服務器/設備仍然需要打補丁。某些軟件的虛擬設備安裝甚至需要其所關聯的虛擬機及其虛擬機管理程序也進行修補。

Pure Storage: Pure Storage公司不提供純軟件解決方案，而該問題天然不估影響到Pure Storage所推出的系列解決方案。此外，FlashArray與FlashBlade平臺都是基于設備的解決方案，其硬件與軟件之間存在緊密耦合且都由Pure方面控制。

記者: 超融合系統在這方面的情況有何不同?

戴爾方面： HCI設備可能比商品化服務器具有更多的限制性訪問權限;然而，由CI/HCI系統組合而成的服務器需要連同管理程序乃至任何客戶操作系統組件一齊進行修補。

Pure Storage: Pure方面不存在這種情況。

記者: 貴公司修復由其自身共享的外部存儲系統產品的意圖何在?

戴爾方面： 戴爾公司的大部分外部存儲系統受已報告漏洞風險影響的幾率幾乎為零，抑或是極其有限。

Pure Storage: 我方并沒有修補自身存儲系統產品的計劃。隨著了解的深入，我們將對該類問題保持一定關注度。

記者: 當這些系統進行修補時，性能將會受到怎樣的影響?

戴爾方面： 我們將對任何需要進行修補的系統進行性能測試，但我們認為修補不會對這些存儲系統產品造成任何性能影響。

記者: 最后，您會對貴公司的HCI產品進行修補嗎?

戴爾方面： 是的。我們正在對這些系統中易受攻擊的組件進行修復……目前，我們正在對系統性能進行測試以評估修復完成后是否會存在任何潛在的性能影響。

在經補丁修復的虛擬機管理程序中運行的存儲軟件

Infinidat方面聲稱，從另一方面看來，非設備存儲軟件將可能需要進行修補。

Infinidat公司的首席技術官Brian Carmody表示：“假想您的產品屬于運行在經補丁修復的虛擬機管理程序中的‘軟件定義存儲’(SDS)方案，那么您將會受限于性能表現。假若您提供的是允許第三方代碼運行的存儲設備，您也將受到性能的影響。”

“唯一能夠不執行該內核補丁的架構是那些采用可阻止第三方代碼攻擊的物理CPU的設備。”

這里所指的包括那些來自于戴爾公司、HPE、日立Vantara 、華為公司、Kaminario 、NetApp 、Pure Storage 以及Tintri 等供應商的SAN與文件管理方案。

如果一套陣列允許客戶代碼運行其中，那么即可推定該套陣列是需要進行修補的。

Carmody表示其懷疑在管理程序中運行的SDS或將受到影響。對此，Carmody 在引用了一篇微軟公司發布的相關博客之后補充道：“如果運行一套管理程序，對這套管理程序進行了修復與系統調用，那么其運行速度就會如同其他虛擬化應用程序一樣變慢。”

同時，這篇博客還指出：“對于Windows Server而言，管理員應確保其在物理服務器級別上具有一定的緩解措施以實現服務器上虛擬化工作負載的隔離……無論是在本地或云端運行Windows Server的客戶，也需要對是否要在每套Windows Server虛擬機或物理實例中應用額外的安全緩解措施進行評估。而當您在Windows Server實例中運行不受信任的代碼時，這些緩解措施應成為一種強制性要求。”

影響Windows Server性能的因素主要來自用以消除危險情況下的分支推測并完成微代碼更新的Spectre Variant 2 Windows Change。

這意味著來自對象存儲供應商的純軟件存儲產品將會受到影響。對此，我們正在與其聯系以進一步核對消息的準確性。

谷歌方面

與此同時，谷歌方面宣布其已經找到了能夠修復Variant 2 Spectre漏洞的方法，并且該方法不會對性能造成任何不利影響。

通告內容如下：

使用Retpoline，我們不再需要禁用推測執行或其他硬件功能。相反，此套解決方案能夠通過修改程序以規避攻擊者的影響。通過使用Retpoline，我們可以在編譯時保護我們的基礎架構而無需修改源代碼。

此外，對于該功能的測試結果——特別是當其與軟件分支預測提示等優化功能相結合后——顯示這種保護功能幾乎不會造成性能損失……Retpoline完全可以在不影響我們所有平臺上客戶性能的情況下實現Variant 2的防御功能。