Soporte técnico
Documentación
Inicio de sesión
Contáctenos
Ir directamente al resumen generado por IA de esta entrada del blog 
En los últimos años, la afluencia constante de vulnerabilidades a nivel de hardware, como Heartbleed, Spectre, Rowhammer y muchas otras, ha puesto a todos los proveedores de CPU bajo escrutinio. Ninguna familia o arquitectura de chips -ya sea Intel, AMD o ARM- ha resultado inmune a estos ataques.
El equipo de desarrollo del núcleo de Linux ha respondido con impresionante rapidez y dedicación, parcheando vulnerabilidades y ofreciendo soluciones. Sin embargo, el coste de estas mitigaciones suele repercutir en el rendimiento.
Ha pasado algo más de un año desde que tratamos este tema en nuestro blog. Puedes consultar el artículo anterior aquí, ya que sigue siendo relevante, pero la historia está lejos de haber terminado.
Mitigación: Un arma de doble filo
Aunque los parches protegen a los sistemas de vulnerabilidades devastadoras, el impacto en el rendimiento es a menudo inevitable. Por ejemplo, vulnerabilidades de ejecución especulativa como Meltdown y Spectre provocaron reducciones del rendimiento de la CPU de hasta el 30 % en algunos casos, en función de la carga de trabajo y la arquitectura.
Se han implementado medidas de mitigación como la desactivación del hyper-threading, la instalación de cercas de memoria adicionales o el aumento de la sobrecarga en el acceso a la memoria, pero degradan el rendimiento de la CPU de forma tan significativa que los usuarios pueden encontrar que sus CPU de última generación rinden a niveles comparables a los del hardware de generaciones anteriores.
La frustración de usuarios y desarrolladores ha ido en aumento. Incluso Linus Torvalds ha expresado su frustración por el estado de los errores de hardware. En sus recientes declaracionesse lamentaba de la creciente carga que supone compensar las implementaciones defectuosas de los proveedores. Esta vez, sus comentarios iban dirigidos a los parches propuestos para proteger las operaciones de copia de memoria, que en teoría podrían explotarse. Anteriormente ya se había explayado sobre fTPM de AMDde AMD, un Trusted Platform Module basado en hardware, que se ha enfrentado a problemas de rendimiento y fallos. Los usuarios experimentan tartamudeos, lo que provoca interrupciones en las actividades cotidianas y hace inútiles las costosas actualizaciones de hardware. Hay una serie de otras situaciones en las que el equipo del Kernel ha intervenido para resolver problemas a nivel de hardware, y esta vez Linus parece estar tomando un enfoque diferente - dejar que las empresas de hardware arreglen sus propios líos (es decir, crear mejores productos).
En cierto modo, es comprensible: cuando tu sistema Linux pierde rendimiento de repente, es tan probable que culpes al sistema operativo como al hardware, cuando en realidad el sistema operativo no tiene ningún problema. Pero también es importante tener en cuenta que los fallos a nivel de hardware no siempre se solucionan con una actualización del microcódigo. Algunos problemas se deben a malas decisiones de arquitectura que no serán reversibles hasta dentro de 3 o 4 años. Y, mientras tanto, sus sistemas están en peligro. ¿O no? Otro de los problemas que menciona en su perorata es que la mayoría de estas vulnerabilidades nunca se han materializado en exploits de producción y siguen siendo ejercicios puramente teóricos. Pero el impacto de las mitigaciones es muy real.
La realidad de las vulnerabilidades de las CPU modernas
Los exploits de seguridad de hardware han pasado de afectar a unos pocos a afectar prácticamente a todas las CPU modernas. Vulnerabilidades como Spectre, Meltdown, Foreshadow y Lazy FPU demuestran la profundidad de los problemas. Los intrincados diseños de las CPU modernas a menudo dan lugar a vulnerabilidades que no solo son difíciles de parchear, sino que, cuando se solucionan, provocan una notable degradación del rendimiento.
La siguiente tabla ilustra el impacto en el rendimiento de las vulnerabilidades comunes de la CPU y las mitigaciones aplicadas por los distintos proveedores:
| Vulnerabilidad | CPU afectadas | Impacto en el rendimiento | Mitigación | Pérdida de rendimiento (aprox.) |
| Spectre/Meltdown | Intel Core, AMD Ryzen | Grave | Actualizaciones del microcódigo | 10%-30% (varía según la carga de trabajo) |
| FPU perezosa | Procesadores Intel x86 | Moderado | Actualizaciones del microcódigo | 5%-10% |
| Prefigure | Intel Core | Alta | Desactivar funciones | Hasta el 30 |
| Martillo en línea | Memoria DDR | Grave | ECC, correcciones de software | Mínimo en algunos casos, notable en otros |
| Heartbleed | Múltiples arquitecturas | Insignificante (CPU) | Bibliotecas de parches | Insignificante |
¿Un futuro de compromiso?
La caída del rendimiento resultante de la mitigación de vulnerabilidades de la CPU lleva a una desagradable constatación: actualizar a la última generación de hardware puede no merecer la pena si la ventaja de rendimiento en el mundo real se ve borrada por los parches de seguridad necesarios. Muchos usuarios, especialmente los que requieren un rendimiento constante -como los jugadores, los profesionales de los medios de comunicación o los operadores de servidores-, ven cómo su costoso hardware se ve obstaculizado por parches de seguridad que no pueden evitar.
El equilibrio entre seguridad y rendimiento es cada vez más precario. Hasta que los proveedores puedan producir arquitecturas resistentes a estos sofisticados ataques, los usuarios finales se verán obligados a llegar a un compromiso: la seguridad a costa del rendimiento. Mientras tanto, parece que la comunidad Linux, bajo el liderazgo de Torvalds, seguirá librando la buena batalla en un mundo de "hardware estúpido".
Siguen apareciendo vulnerabilidades en el hardware y, aunque los desarrolladores del núcleo, como el equipo de Linux, trabajan incansablemente para mitigarlas, el precio es el rendimiento. Para cualquiera que invierta en el hardware más reciente con la esperanza de obtener un aumento significativo del rendimiento, la realidad es aleccionadora. Hasta que los fabricantes de CPU no solucionen estos fallos a nivel de hardware, actualizar el sistema puede no ser tan gratificante como antes.
