Laboratorio de defensa frente a canales laterales entre VM
Cierra canales laterales reales entre VM (L1TF, MDS, Spectre, Meltdown) con las mitigaciones adecuadas, sin sacrificar rendimiento de más.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Cuando dos inquilinos comparten una CPU, un fallo del silicio puede permitir que uno lea los secretos del otro a través de la caché o de los búferes de la CPU: sin red ni malware, solo microarquitectura. Este laboratorio en el navegador trata de cerrar los canales laterales microarquitectónicos ENTRE máquinas virtuales que comparten una CPU (la fuga entre VM, no un fallo de un único host). Cada ronda nombra una clase real (L1TF / Foreshadow (CVE-2018-3646), MDS (RIDL / Fallout / ZombieLoad), Spectre v2, Meltdown) y activas las mitigaciones que cierran ese canal concreto. Se te puntúa por cerrar el canal SIN sacrificar rendimiento de más: si dejas desactivado un control necesario, sigue habiendo fuga; si activas un control que la amenaza no necesita, has quemado rendimiento para nada. La lección difícil es el equilibrio: core scheduling frente a desactivar SMT, vaciado de L1D frente a MD_CLEAR, cuándo un host dedicado es la respuesta limpia y por qué el cifrado de memoria o KPTI son la herramienta equivocada para un canal de caché entre VM. Todo se ejecuta en el cliente, sin subir ni enviar nada, y tras cada ronda ves por qué el conjunto de controles correcto lo es. Es un laboratorio Pro.
- Lee la ronda: qué clase de canal lateral entre VM se plantea (L1TF/Foreshadow, MDS, Spectre v2 o Meltdown).
- Activa del menú las mitigaciones que cierran ese canal concreto, y solo esas.
- Evita las herramientas equivocadas a propósito y los controles que cuestan rendimiento sin necesidad.
- Lee por qué el conjunto de controles correcto lo es y termina por debajo del par para subir de nota.
Preguntas frecuentes
¿Qué es el laboratorio de defensa frente a canales laterales entre VM?
Un ejercicio en el navegador en el que haces de equipo de plataforma del hipervisor. Cada ronda presenta un canal lateral real de ejecución transitoria o microarquitectónico entre VM coinquilinas (L1TF/Foreshadow, MDS, Spectre v2, Meltdown) y un menú de controles: parche de microcódigo y del hipervisor, vaciado de la caché L1D al entrar en la VM, limpieza de búferes de MDS, barreras de predicción de saltos, core scheduling, desactivar SMT por inquilino o en toda la flota, mover a un inquilino a un host dedicado, además de herramientas equivocadas a propósito. Activas las mitigaciones que cierran ese canal con el mínimo coste de rendimiento necesario.
¿Cómo se puntúa?
Cada ronda tiene un único conjunto de controles mínimo y suficiente que se puede defender. Una ronda solo se supera con una coincidencia exacta: todas las mitigaciones necesarias activadas y nada de más. Dejar desactivado un control necesario (el canal sigue con fugas) y activar un control que la amenaza no necesita (rendimiento desperdiciado) se penalizan, porque mitigar de más a costa del rendimiento es un fallo en sí mismo. Termina por debajo del par para obtener una bonificación de velocidad y una nota más alta.
¿Por qué importa desactivar el hyperthreading para estos fallos?
L1TF y MDS filtran a través de recursos que los hermanos de hyperthreading (SMT) comparten en un núcleo físico: la caché de datos L1 y los búferes internos de almacenamiento, carga y llenado. Vaciar esas estructuras resuelve los restos que quedan entre cambios de VM, pero un hermano que se ejecuta al mismo tiempo aún puede muestrearlas, así que también tienes que impedir que un hermano hostil comparta el núcleo: o bien core scheduling (mantener a los hermanos en un mismo dominio de confianza y conservar el rendimiento) o bien desactivar SMT (más fuerte, pero con un coste real de rendimiento). Elegir entre ambos en cada escenario es la habilidad central que entrena el laboratorio.
¿Explota o prueba mi hardware?
No. No se ejecuta nada en tu CPU, no se sube nada y no se lee ningún microcódigo. Los escenarios se han escrito a partir de los hechos públicos y establecidos de cada clase de vulnerabilidad, y el laboratorio se ejecuta por completo en tu navegador, sin instalación. Es un ejercicio de decisiones, no un escáner.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.