Pacote de Microcódigo de Processadores Intel para Linux

Sobre

O Pacote de Atualização de Microcódigo do Processador Intel (MCU) fornece um mecanismo para liberar atualizações para avisos de segurança e problemas funcionais, incluindo erratas. Além disso, os MCUs são responsáveis por iniciar o enclave SGX (em processadores que suportam o recurso SGX), implementar comportamentos complexos (como assists) e muito mais. O método preferido para aplicar MCUs é usar o BIOS do sistema. Para um subconjunto dos processadores da Intel, o MCU também pode ser atualizado em tempo de execução usando o sistema operacional. O Pacote de Microcódigo Intel compartilhado aqui contém atualizações para os processadores que suportam o carregamento de MCUs pelo SO.

Por que atualizar o microcódigo?

Atualizar o microcódigo pode ajudar a mitigar certas vulnerabilidades de segurança potenciais em CPUs, bem como resolver certos problemas funcionais que poderiam, por exemplo, resultar em comportamento imprevisível do sistema, como travamentos, quedas, reinicializações inesperadas, erros de dados, etc. Para saber mais sobre a aplicação de MCUs a um processador Intel, consulte Microcode Update Guidance.

Carregando atualizações de microcódigo

Este pacote é fornecido para distribuidores Linux para inclusão em suas versões de SO. A Intel recomenda obter os MCUs mais recentes usando o mecanismo de atualização do fornecedor do SO. Um bom ponto de partida é Fornecedor de SO e Software. Usuários especialistas podem atualizar seu microcódigo diretamente, fora do mecanismo do fornecedor do SO. No entanto, esse método é complexo e pode resultar em erros se executado incorretamente. Tais erros podem incluir, mas não se limitam a, travamentos do sistema, incapacidade de inicializar, impactos no desempenho, processadores lógicos carregando atualizações diferentes e algumas atualizações não surtindo efeito. Como resultado, esse método deve ser tentado somente por usuários especialistas.

Os MCUs são melhor carregados a partir do BIOS. Certos MCUs devem ser aplicados somente a partir do BIOS. Esses MCUs nunca são incluídos neste pacote, pois não são apropriados para distribuição via SO. Um OEM pode receber pacotes de atualização de microcódigo que são um superconjunto do que está contido neste pacote para inclusão em um BIOS.

Os fornecedores de SO podem optar por fornecer um MCU que o kernel possa consumir para carregamento antecipado. Por exemplo, o Linux pode aplicar um MCU bem no início da sequência de inicialização do kernel. Em situações em que uma atualização de BIOS não está disponível, o carregamento antecipado é a próxima melhor alternativa para atualizar o microcódigo do processador. Os estados do microcódigo são redefinidos em um reset de energia; portanto, é necessário que o MCU seja carregado todas as vezes durante o processo de inicialização.

Recomendação

Recomenda-se usar o método initrd para carregar um MCU, pois esse método carregará o MCU no momento mais inicial possível para a melhor cobertura. Sistemas que não podem tolerar indisponibilidade podem usar o método de carregamento tardio (late-load) para atualizar um sistema em execução sem reinicializar.

Sobre a assinatura do processador, família, modelo, stepping e ID da plataforma

A assinatura do processador é um número que identifica o modelo e a versão de um processador Intel. Ela pode ser obtida usando a instrução CPUID, por meio do comando lscpu ou a partir do conteúdo de /proc/cpuinfo. Geralmente é apresentada como 3 campos: Família, Modelo e Stepping.

Por exemplo, se um processador retornar um valor de "0x000906eb" a partir da instrução CPUID:

O nome de arquivo formatado correspondente no Linux será "06-9e-0b", onde:

• Família Estendida + Família = 0x06
• Modelo Estendido + Número do Modelo = 0x9e
• ID do Stepping = 0xb

Um processador pode ser implementado para vários tipos de plataforma. Os processadores Intel têm um campo Platform ID de 3 bits no MSR(17H) que especifica o tipo de plataforma para até 8 tipos. Um arquivo MCU para um modelo de processador especificado pode suportar várias plataformas. Os Platform IDs suportados por um MCU são uma máscara de 8 bits em que cada bit definido indica um tipo de plataforma que o MCU suporta. O Platform ID de um processador pode ser lido no Linux usando rdmsr do msr-tools.

Instruções de atualização do microcódigo

O diretório intel-ucode contém arquivos MCU binários nomeados no formato family-model-stepping. Esse formato de arquivo é suportado pela maioria das distribuições Linux modernas. Geralmente está localizado no diretório /lib/firmware e pode ser atualizado por meio da interface de recarga de microcódigo seguindo as instruções de atualização de carregamento tardio abaixo.

Atualização de carregamento antecipado (early-load)

Para atualizar o initrd de carregamento antecipado, consulte sua distribuição Linux sobre como empacotar arquivos MCU para carregamento antecipado. Algumas distribuições usam update-initramfs ou dracut. Use o método recomendado pelo fornecedor do SO para ajudar a garantir que o arquivo MCU seja atualizado para carregamento antecipado antes de tentar o procedimento de carregamento tardio abaixo.

Atualização de carregamento tardio (late-load)

Para atualizar o pacote intel-ucode no sistema:

1. Garanta a existência de /sys/devices/system/cpu/microcode/reload
2. Baixe o firmware de microcódigo mais recente
   $ git clone https://github.com/intel/Intel-Linux-Processor-Microcode-Data-Files.git ou
   $ wget https://github.com/intel/Intel-Linux-Processor-Microcode-Data-Files/archive/main.zip
3. Copie o diretório intel-ucode para /lib/firmware, sobrescrevendo os arquivos em /lib/firmware/intel-ucode/
4. Grave a interface de recarga com o valor 1 para recarregar os arquivos de microcódigo, por exemplo.
   $ echo 1 > /sys/devices/system/cpu/microcode/reload
   As atualizações de microcódigo serão aplicadas automaticamente sem reinicializar o sistema.
5. Atualize um initramfs existente para que na próxima vez ele seja carregado pelo kernel:
   $ sudo update-initramfs -u
$ sudo reboot
6. Verifique se o microcódigo foi atualizado na inicialização ou recarregado pelo comando echo:
   $ dmesg | grep microcode ou
   $ cat /proc/cpuinfo | grep microcode | sort | uniq

Se você estiver usando o método do fornecedor do SO para aplicar um MCU, as etapas acima podem ter sido feitas automaticamente durante o processo de atualização.

O diretório intel-ucode-with-caveats contém MCUs que precisam de tratamento especial. O MCU BDX-ML é fornecido neste diretório porque requer commits especiais no kernel Linux; caso contrário, atualizá-lo pode resultar em comportamento inesperado do sistema. Os fornecedores de SO devem garantir que os patches do carregador tardio (fornecidos em linux-kernel-patches) estejam incluídos na distribuição antes de empacotar o MCU BDX-ML para carregamento tardio.

O diretório linux-kernel-patches consiste em patches de kernel que abordam vários problemas relacionados à aplicação de MCUs.

Notas

• Você só pode atualizar para uma versão MCU superior (o downgrade não é possível com as instruções fornecidas)
• Para calcular Família-Modelo-Stepping, use o comando Linux:
  $ printf "%x\n" <number_to_convert_to_hex>
• Há várias maneiras de verificar o número da versão do MCU ANTES da atualização. Após clonar este repositório de atualização de microcódigo da Intel, execute o seguinte:
  • $ iucode_tool -l intel-ucode | grep -wF sig (o pacote iucode_tool é necessário)
  • $ od -t x4 <Family-Model-Stepping> lerá os primeiros 16 bytes do cabeçalho binário do microcódigo especificado em <Family-Model-Stepping>. O terceiro bloco é a versão do microcódigo. Por exemplo: $ od -t x4 06-55-04
0000000 00000001 *02000065* 09052019 00050654

Licença

Consulte o arquivo license para obter detalhes.

Política de Segurança

Consulte o arquivo security.md para obter detalhes.

Nota de versão

Consulte o arquivo releasenote.md para obter detalhes.

Avisos Legais

Os recursos e benefícios das tecnologias da Intel dependem da configuração do sistema e podem exigir ativação de hardware, software ou serviço. O desempenho varia de acordo com a configuração do sistema. Verifique com o fabricante ou revendedor do seu sistema ou saiba mais em www.intel.com.

Nenhum produto ou componente pode ser absolutamente seguro.

Todas as informações fornecidas aqui estão sujeitas a alterações sem aviso prévio. Entre em contato com seu representante da Intel para obter as especificações e os roteiros mais recentes dos produtos Intel.

Os produtos e serviços descritos podem conter defeitos ou erros conhecidos como erratas, que podem causar desvios das especificações publicadas. As erratas caracterizadas atuais estão disponíveis mediante solicitação.

A Intel fornece estes materiais no estado em que se encontram, sem garantias expressas ou implícitas.

© Intel Corporation. Intel, o logotipo da Intel e outras marcas da Intel são marcas registradas da Intel Corporation ou de suas subsidiárias.

*Outros nomes e marcas podem ser reivindicados como propriedade de terceiros.