|
进入 2018 年后，要论发生在科技圈内的第一个大新闻，一定非英特尔 CPU 漏洞事件莫属。市面上几乎所有处理器都卷入这个事件，漏洞造成了比较严重的后果，并引发了一些恐慌。 那么，此次的 CPU 漏洞是如何形成的？怎么被发现？会对用户和厂商造成怎样的影响呢？今天，我们带着这几个问题来梳理下这个大事件的来龙去脉。 事件起因和漏洞原理 英特尔 CPU 漏洞事件被公开，开始被大众所知晓是在 1 月 2 日知名科技媒体 The Register 报道之后。但这个漏洞其实谷歌的 Project Zero 团队在去年就已经发现了，并通知了英特尔。被媒体曝光后，谷歌也提前公布了漏洞信息。 谷歌发现的漏洞具体可以归为三类：CVE-2017-5754（Meltdown）、CVE-2017-5753 （Spectre Variant 1）和CVE-2017-5715（Spectre Variant 2）。 其中 Meltdown 指 CPU 上存在的恶意的数据缓存载入漏洞，Spectre 指绕过边界检查漏洞和分支目标注入漏洞。目前中高端 CPU 具有预测执行的功能来提高效率，即处理器会“记忆”之前执行过的指令，下次指令要读取的数据会被提前加入达到缓存中。黑客可以根据内存和缓存访问的速度差异推测出内核数据存在的内存块，从而非法读取数据，用户的密码、住址等各项重要信息都会被暴露。 各大厂商如何应对？ 理论上来说，此次的漏洞几乎会对所有处理器造成影响，英特尔、AMD 和 ARM 都被卷入其中。
其中英特尔最为严重，三条漏洞全中，1 月 3 日，英特尔在官网公布了受到 Spectre 变体 2 影响的 CPU 型号，最早可以追溯到 45nm 的酷睿系列。 近期，英特尔的股票也出现的大跌。耐人寻味的是，英特尔 CEO 科再奇在去年 11 月底也就是 CPU 漏洞事件曝光前抛售了 3900 万美元的股票，只保留了法定的最低数额。华尔街日报撰文称，科再奇的这项异常行为很可能会被金融监管部门盯上。 目前英特尔给出的方案为打补丁，但 CPU 漏洞的根源在硬件设计时就已经存在了，补救会对 CPU 性能造成影响。近日，英特尔公开承认，CPU 性能会下降 2%-14%。
鉴于事态严重，AMD 近日针对此次 CPU 漏洞事件，做出了官方说明，表示由于 AMD 处理器的特殊架构，Meltdown 和 Spectre 变体 2 不会对 AMD 产生影响，Spectre 则可以通过软件升级解决，对性能影响很小。 目前 AMD 已经向微软等厂商提交了升级文件，以修补漏洞。
ARM 架构处理器也被这些漏洞波及，目前 ARM 官方公布了可能受到影响的具体架构型号。受到 Meltdown 影响的为 A75 架构，最新的猎户座 9810 和骁龙 845 都受到影响。 对手机处理器来说，修补这个漏洞比较棘手，因为相对来说，手机处理器每代提升都比较有限，性能也远没有到可以说过剩的地步。要性能还是要安全成为摆在厂商和用户面前的一道难题。
在系统层面，微软、苹果都已经推送了最新的系统版本或补丁，修复了问题；谷歌则更新了浏览器，以封堵漏洞，并对安卓更新了补丁。以苹果为例，它近日向用户推送了 iOS 11.2.2 系统，以修复 Spectre 漏洞，不过也造成了一定的性能下降。 其实这次漏洞事件中受伤害最严重的是云服务厂商，毕竟普通用户的电脑不会时时刻刻满载运行，但很多服务器都是长期处于高负荷状态，性能损失、系统升级都会造成影响。 目前腾讯云已经在 1 月 10 号凌晨完成了平台的升级和修复。此外，腾讯玄武安全实验室在 1 月 8 日上线了一款检测浏览器是否容易被 Spectre 漏洞攻击的工具。 普通用户应该怎么做？ 首先要说明的是，此次谷歌团队发现的漏洞暴露出处理器产品存在严重的安全问题，但目前来说，这个漏洞只在大神云集的实验室中被发现，目前还没有被黑客所利用，也没有造成严重的后果。不法分子想利用这个漏洞，技术难度还是非常高的，因此不用过于恐慌。 此外，此次的处理器漏洞需要通过木马、病毒等方式才能利用，因此系统安全防范是第一道安全门。在使用电脑和手机时尽量不安装来源不明的软件、不随便点击不安全的网站，并且尽量把系统升级到最新版本。 另外，在此次处理器漏洞事件中，AMD 处理器的安全问题比英特尔要少得多，修复漏洞也不会对性能产生太大影响。如果你对电脑的安全问题非常在意的话，可以选择 AMD 的处理器，毕竟 Ryzen 无论是性能还是价格目前都能满足主流的需求。 当然，目前各大厂商采取的封堵此次处理器漏洞的措施都很难称得上完美，硬件层面的设计问题恐怕还要等到下一代处理器产品才会得到真正解决。 |
|
|
