七問英特爾芯片高危漏洞：為何主流系統(tǒng)設(shè)備全中招

　　一場由英特爾芯片漏洞衍生出的安全問題，波及了全球所有桌面系統(tǒng)、電腦、智能手機(jī)及云計算服務(wù)器。

　　兩個漏洞萌萌噠圖

　　1月4日，國外安全研究機(jī)構(gòu)公布了兩組CPU漏洞：Meltdown(熔斷)和Spectre(幽靈)。

　　雖然目前全球還沒有發(fā)現(xiàn)利用漏洞進(jìn)行的真實(shí)攻擊，但理論上，這次曝出的漏洞讓所有能訪問虛擬內(nèi)存的CPU都可能被人惡意訪問，理應(yīng)受保護(hù)的密碼、應(yīng)用程序密匙等重要信息因此面臨風(fēng)險。

　　從目前了解情況來看，1995年以來大部分量產(chǎn)的處理器均有可能受上述漏洞的影響，且涉及大部分通用操作系統(tǒng)。雖然是英特爾為主，但ARM、AMD等大部分主流處理器芯片也受到漏洞影響。相應(yīng)的，采用這些芯片的Windows、Linux、macOS、Android等主流操作系統(tǒng)和電腦、平板電腦、手機(jī)、云服務(wù)器等終端設(shè)備都受上述漏洞的影響。

　　糟糕的是，英特爾公司本身無法采用固件升級的方式解決這一漏洞，導(dǎo)致微軟、蘋果等操作系統(tǒng)開發(fā)商各自尋求修補(bǔ)方法。

　　1月4日，中國國家信息安全漏洞共享平臺(China National Vulnerability Database)收錄了這兩個漏洞，并對該漏洞的綜合評級為“高危”。

　　隨后各地網(wǎng)絡(luò)安全部門發(fā)出安全提醒。1月5日，上海市網(wǎng)信辦向本市各關(guān)鍵信息基礎(chǔ)設(shè)施主管和運(yùn)營單位發(fā)出預(yù)警通報，要求各單位啟動網(wǎng)絡(luò)安全應(yīng)急預(yù)案，并采取應(yīng)對措施。

　　網(wǎng)絡(luò)安全專家表示，雖然漏洞影響范圍廣泛，并引起全球關(guān)注，但受影響最大的主要是云服務(wù)廠商，對于普通用戶來說，大可不必過于恐慌。

　　Q：漏洞是如何展開攻擊的?

　　通常情況下，正常程序無法讀取其他程序存儲的數(shù)據(jù)，但惡意程序可以利用Meltdown和Spectre來獲取存儲在其他運(yùn)行程序內(nèi)存中的私密信息。

　　具體而言，據(jù)騰訊電腦管家安全團(tuán)隊(duì)的專家向澎湃新聞記者介紹：利用Meltdown漏洞，低權(quán)限用戶可以訪問內(nèi)核的內(nèi)容，獲取本地操作系統(tǒng)底層的信息;當(dāng)用戶通過瀏覽器訪問了包含Spectre惡意利用程序的網(wǎng)站時，用戶的如賬號、密碼、郵箱等個人隱私信息可能會被泄漏;在云服務(wù)場景中，利用Spectre可以突破用戶間的隔離，竊取其他用戶的數(shù)據(jù)。

　　目前漏洞的驗(yàn)證代碼(PoC)已經(jīng)公布，技術(shù)細(xì)節(jié)在此不作贅述。騰訊安全團(tuán)隊(duì)經(jīng)過實(shí)際驗(yàn)證，漏洞可在Windows、Linux、Mac OS等操作系統(tǒng)下，成功讀取任意指定內(nèi)存地址的內(nèi)容。

　　Q：漏洞的原理是什么?

　　這兩組漏洞來源于芯片廠商為了提高CPU性能而引入的新特性。

　　現(xiàn)代CPU為了提高處理性能，會采用亂序執(zhí)行(Out-of-Order Execution)和預(yù)測執(zhí)行(Speculative Prediction)。亂序執(zhí)行是指CPU并不是嚴(yán)格按照指令的順序串行執(zhí)行，而是根據(jù)相關(guān)性對指令進(jìn)行分組并行執(zhí)行，最后匯總處理各組指令執(zhí)行的結(jié)果。預(yù)測執(zhí)行是CPU根據(jù)當(dāng)前掌握的信息預(yù)測某個條件判斷的結(jié)果，然后選擇對應(yīng)的分支提前執(zhí)行。

　　亂序執(zhí)行和預(yù)測執(zhí)行在遇到異常或發(fā)現(xiàn)分支預(yù)測錯誤時，CPU會丟棄之前執(zhí)行的結(jié)果，將CPU的狀態(tài)恢復(fù)到亂序執(zhí)行或預(yù)測執(zhí)行前的正確狀態(tài)，然后選擇對應(yīng)正確的指令繼續(xù)執(zhí)行。這種異常處理機(jī)制保證了程序能夠正確的執(zhí)行，但是問題在于，CPU恢復(fù)狀態(tài)時并不會恢復(fù)CPU緩存的內(nèi)容，而這兩組漏洞正是利用了這一設(shè)計上的缺陷進(jìn)行測信道攻擊。

　　Q：驚天漏洞為何隱藏這么久?

　　該漏洞至少2016年年初就已經(jīng)被安全研究人員發(fā)現(xiàn)，但英特爾直到今年年初才最終承認(rèn)這一漏洞。華爾街日報援引安全專家的話直指，英特爾在事件的披露方面做得亂七八糟。

　　2016年8月，在美國拉斯維加斯的Black Hat網(wǎng)絡(luò)安全大會上，兩位研究者安德斯·福格(Anders Fogh)和丹尼爾·格拉斯(Daniel Gruss)演示了漏洞的早期跡象。福格在去年7月還就此發(fā)表博文，鼓勵其他的研究者去展開調(diào)查。

　　與此同時，谷歌內(nèi)部的安全研究團(tuán)隊(duì)Project Zero的雅恩·霍恩(Jann Horn)早已揭開該問題，并通知了英特爾。最終，來自全球各地的三個其他的研究團(tuán)隊(duì)就同樣的問題聯(lián)系英特爾，英特爾接著與他們一道交流和撰寫論文。

　　然而這種芯片漏洞至少可追溯到2010年，帶來這種漏洞的通用架構(gòu)原則有幾十年歷史了。那為什么英特爾沒有更早發(fā)現(xiàn)漏洞呢?英特爾沒有正面回應(yīng)這一問題。

　　上海交通大學(xué)網(wǎng)絡(luò)空間安全學(xué)院孟魁博士表示，這次安全漏洞事件在這個時間點(diǎn)全面爆發(fā)可能有兩個原因，第一是英特爾的修復(fù)效率低下，進(jìn)展過慢，引起業(yè)界的施壓;第二是因?yàn)槁┒吹男畔⑿孤稌r間過長可能將導(dǎo)致被攻擊者利用。因此必須立即采取措施?！?/p>

　　Q：目前有沒有已經(jīng)報告的惡意攻擊?

　　騰訊和360等安全廠商都表示，目前沒有任何已知的利用這些漏洞進(jìn)行攻擊的案例被發(fā)現(xiàn)。

　　英國國家網(wǎng)絡(luò)安全中心表示，目前還沒有證據(jù)表明Meltdown和Spectre正在被用來竊取數(shù)據(jù)，但攻擊的本質(zhì)使他們難以察覺。

　　360核心安全事業(yè)部總經(jīng)理、Vulcan團(tuán)隊(duì)負(fù)責(zé)人鄭文彬告訴澎湃新聞記者，攻擊者雖可利用該漏洞竊取隱私，但無法控制電腦、提升權(quán)限或者突破虛擬化系統(tǒng)的隔離。此外，該漏洞不能被遠(yuǎn)程利用，更無法像“永恒之藍(lán)”漏洞一樣，在用戶沒有任何交互操作時就實(shí)現(xiàn)攻擊。

　　騰訊安全專家表示，雖然漏洞細(xì)節(jié)以及PoC已經(jīng)公開，但是并不能直接運(yùn)用于攻擊。漏洞運(yùn)用于真實(shí)攻擊還有許多細(xì)節(jié)問題需要解決，目前也沒有一個穩(wěn)定通用，同時可以造成明顯嚴(yán)重后果(竊取賬號密碼等)的漏洞利用代碼。

　　Q：漏洞修復(fù)情況如何?

　　根據(jù)英國衛(wèi)報的說法，由于漏洞是芯片底層設(shè)計上的缺陷導(dǎo)致的，修復(fù)起來會非常復(fù)雜，同時難以完美修復(fù)。

　　鄭文彬表示，CPU硬件的漏洞修復(fù)高難度， 僅通過CPU廠商進(jìn)行安全更新(例如升級CPU微碼)是無法解決這一問題，修復(fù)這些漏洞需要操作系統(tǒng)廠商、虛擬化廠商、軟硬件分銷商、瀏覽器廠商、CPU廠商一起協(xié)作并進(jìn)行復(fù)雜且極其深入的修改，才能徹底解決問題。

　　漏洞曝光之后，各家芯片廠商、操作系統(tǒng)廠商、瀏覽器廠商，以及云服務(wù)廠商，都已先后作出回應(yīng)，積極采取措施，發(fā)布安全公告，并及時推出緩解措施和修復(fù)補(bǔ)丁。

　　英特爾建議關(guān)注后續(xù)的芯片組更新、主板BIOS更新;針對Meltdown漏洞，Linux已經(jīng)發(fā)布了KAISER;macOS從10.13.2予以了修復(fù);谷歌稱已經(jīng)修復(fù);Win10 Insider去年底修復(fù);Win10秋季創(chuàng)意者更新發(fā)布了KB4056892，將強(qiáng)制自動安裝;亞馬遜AWS隨后也公布了指導(dǎo)方案;對于難度更高的Spectre漏洞，各廠商目前也仍在攻堅(jiān)中。

　　針對該漏洞，上海市網(wǎng)信辦采取了應(yīng)急處置措施。一是密切跟蹤該漏洞的最新情況，及時評估漏洞對本單位系統(tǒng)的影響。二是對芯片廠商、操作系統(tǒng)廠商和安全廠商等發(fā)布的補(bǔ)丁及時跟蹤測試，在做好全面審慎的評估工作基礎(chǔ)上，制定修復(fù)工作計劃，及時安裝。三是進(jìn)一步加強(qiáng)關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全防護(hù)工作，加強(qiáng)網(wǎng)絡(luò)安全防護(hù)和威脅情報收集工作，發(fā)生網(wǎng)絡(luò)安全事件及時向市網(wǎng)信辦報告。

　　Q：普通用戶如何防范漏洞?

　　目前，網(wǎng)民可以通過以下安全策略進(jìn)行防護(hù)：

　　1、升級最新的操作系統(tǒng)和虛擬化軟件補(bǔ)?。耗壳拔④?、Linux、MacOSX、XEN等都推出了對應(yīng)的系統(tǒng)補(bǔ)丁，升級后可以阻止這些漏洞被利用;

　　2、升級最新的瀏覽器補(bǔ)?。耗壳拔④汭E、Edge和Firefox都推出了瀏覽器補(bǔ)丁，升級后可以阻止這些漏洞被利用;

　　3、等待或要求你的云服務(wù)商及時更新虛擬化系統(tǒng)補(bǔ)丁;

　　4、安裝安全軟件。

　　騰訊安全專家表示，漏洞可造成的主要危害在于用瀏覽器訪問了一個帶有漏洞利用代碼的網(wǎng)頁，導(dǎo)致敏感信息(賬號密碼等)泄露。只要養(yǎng)成良好的上網(wǎng)習(xí)慣，不輕易點(diǎn)擊陌生人發(fā)來的鏈接，基本不會受到漏洞影響。同時，瀏覽器針對漏洞發(fā)布的補(bǔ)丁和緩解措施簡單有效，而且不會造成性能下降或兼容性問題，用戶可以選擇將瀏覽器升級到最新版本，從而避免受到漏洞攻擊。

　　Q：“打補(bǔ)丁將導(dǎo)致CPU性能損耗30%”的說法是真的嗎?

　　修復(fù)程序本身的確存在諸多問題。

　　騰訊安全專家介紹，以Windows 10為例，微軟于北京時間1月4日凌晨緊急發(fā)布了1月份系統(tǒng)安全更新，但補(bǔ)丁存在明顯的性能和兼容性的問題：一方面，更新可能會讓受影響的系統(tǒng)性能下滑30%。另一方面，更新可能會導(dǎo)致部分軟件(安全軟件等)不兼容從而致使系統(tǒng)藍(lán)屏。

　　不過根據(jù)騰訊安全團(tuán)隊(duì)的實(shí)際測試，性能問題對于普通用戶來說，影響并不大：只有在極端的測試下，才會出現(xiàn)明顯的性能問題;而正常的使用過程中一般不會出現(xiàn)。

　　360鄭文彬也表示，這種說法比較片面，30%的性能損失是在比較極端的專門測試情況下出現(xiàn)的。通常的用戶使用情況下，尤其在用戶的電腦硬件較新的情況下(例如絕大部分在售的Mac電腦和筆記本、32位X86操作系統(tǒng))，這些補(bǔ)丁的性能損失對用戶來說是幾乎可以忽略不計。接下來包括微軟、Intel在內(nèi)的廠商還會進(jìn)一步推出針對性的補(bǔ)丁，進(jìn)一步降低補(bǔ)丁對性能的損耗。

　　但是騰訊安全團(tuán)隊(duì)提醒，兼容性問題確實(shí)比較嚴(yán)重：在有安全軟件，以及一些游戲的電腦上，安裝補(bǔ)丁比較容易出現(xiàn)藍(lán)屏現(xiàn)象。這也使得眾多安全廠商采取了比較保守的策略，暫時不主動推送微軟的補(bǔ)丁，避免造成用戶電腦無法正常使用。