七問(wèn)英特爾芯片高危漏洞：為何主流系統設備全中招

　　一場(chǎng)由英特爾芯片漏洞衍生出的安全問(wèn)題，波及了全球所有桌面系統、電腦、智能手機及云計算服務(wù)器。

　　兩個(gè)漏洞萌萌噠圖

　　1月4日，國外安全研究機構公布了兩組CPU漏洞：Meltdown(熔斷)和Spectre(幽靈)。

　　雖然目前全球還沒(méi)有發(fā)現利用漏洞進(jìn)行的真實(shí)攻擊，但理論上，這次曝出的漏洞讓所有能訪(fǎng)問(wèn)虛擬內存的CPU都可能被人惡意訪(fǎng)問(wèn)，理應受保護的密碼、應用程序密匙等重要信息因此面臨風(fēng)險。

　　從目前了解情況來(lái)看，1995年以來(lái)大部分量產(chǎn)的處理器均有可能受上述漏洞的影響，且涉及大部分通用操作系統。雖然是英特爾為主，但ARM、AMD等大部分主流處理器芯片也受到漏洞影響。相應的，采用這些芯片的Windows、Linux、macOS、Android等主流操作系統和電腦、平板電腦、手機、云服務(wù)器等終端設備都受上述漏洞的影響。

　　糟糕的是，英特爾公司本身無(wú)法采用固件升級的方式解決這一漏洞，導致微軟、蘋(píng)果等操作系統開(kāi)發(fā)商各自尋求修補方法。

　　1月4日，中國國家信息安全漏洞共享平臺(China National Vulnerability Database)收錄了這兩個(gè)漏洞，并對該漏洞的綜合評級為“高?！?。

　　隨后各地網(wǎng)絡(luò )安全部門(mén)發(fā)出安全提醒。1月5日，上海市網(wǎng)信辦向本市各關(guān)鍵信息基礎設施主管和運營(yíng)單位發(fā)出預警通報，要求各單位啟動(dòng)網(wǎng)絡(luò )安全應急預案，并采取應對措施。

　　網(wǎng)絡(luò )安全專(zhuān)家表示，雖然漏洞影響范圍廣泛，并引起全球關(guān)注，但受影響最大的主要是云服務(wù)廠(chǎng)商，對于普通用戶(hù)來(lái)說(shuō)，大可不必過(guò)于恐慌。

　　Q：漏洞是如何展開(kāi)攻擊的?

　　通常情況下，正常程序無(wú)法讀取其他程序存儲的數據，但惡意程序可以利用Meltdown和Spectre來(lái)獲取存儲在其他運行程序內存中的私密信息。

　　具體而言，據騰訊電腦管家安全團隊的專(zhuān)家向澎湃新聞?dòng)浾呓榻B：利用Meltdown漏洞，低權限用戶(hù)可以訪(fǎng)問(wèn)內核的內容，獲取本地操作系統底層的信息;當用戶(hù)通過(guò)瀏覽器訪(fǎng)問(wèn)了包含Spectre惡意利用程序的網(wǎng)站時(shí)，用戶(hù)的如賬號、密碼、郵箱等個(gè)人隱私信息可能會(huì )被泄漏;在云服務(wù)場(chǎng)景中，利用Spectre可以突破用戶(hù)間的隔離，竊取其他用戶(hù)的數據。

　　目前漏洞的驗證代碼(PoC)已經(jīng)公布，技術(shù)細節在此不作贅述。騰訊安全團隊經(jīng)過(guò)實(shí)際驗證，漏洞可在Windows、Linux、Mac OS等操作系統下，成功讀取任意指定內存地址的內容。

　　Q：漏洞的原理是什么?

　　這兩組漏洞來(lái)源于芯片廠(chǎng)商為了提高CPU性能而引入的新特性。

　　現代CPU為了提高處理性能，會(huì )采用亂序執行(Out-of-Order Execution)和預測執行(Speculative Prediction)。亂序執行是指CPU并不是嚴格按照指令的順序串行執行，而是根據相關(guān)性對指令進(jìn)行分組并行執行，最后匯總處理各組指令執行的結果。預測執行是CPU根據當前掌握的信息預測某個(gè)條件判斷的結果，然后選擇對應的分支提前執行。

　　亂序執行和預測執行在遇到異?；虬l(fā)現分支預測錯誤時(shí)，CPU會(huì )丟棄之前執行的結果，將CPU的狀態(tài)恢復到亂序執行或預測執行前的正確狀態(tài)，然后選擇對應正確的指令繼續執行。這種異常處理機制保證了程序能夠正確的執行，但是問(wèn)題在于，CPU恢復狀態(tài)時(shí)并不會(huì )恢復CPU緩存的內容，而這兩組漏洞正是利用了這一設計上的缺陷進(jìn)行測信道攻擊。

　　Q：驚天漏洞為何隱藏這么久?

　　該漏洞至少2016年年初就已經(jīng)被安全研究人員發(fā)現，但英特爾直到今年年初才最終承認這一漏洞。華爾街日報援引安全專(zhuān)家的話(huà)直指，英特爾在事件的披露方面做得亂七八糟。

　　2016年8月，在美國拉斯維加斯的Black Hat網(wǎng)絡(luò )安全大會(huì )上，兩位研究者安德斯·福格(Anders Fogh)和丹尼爾·格拉斯(Daniel Gruss)演示了漏洞的早期跡象。福格在去年7月還就此發(fā)表博文，鼓勵其他的研究者去展開(kāi)調查。

　　與此同時(shí)，谷歌內部的安全研究團隊Project Zero的雅恩·霍恩(Jann Horn)早已揭開(kāi)該問(wèn)題，并通知了英特爾。最終，來(lái)自全球各地的三個(gè)其他的研究團隊就同樣的問(wèn)題聯(lián)系英特爾，英特爾接著(zhù)與他們一道交流和撰寫(xiě)論文。

　　然而這種芯片漏洞至少可追溯到2010年，帶來(lái)這種漏洞的通用架構原則有幾十年歷史了。那為什么英特爾沒(méi)有更早發(fā)現漏洞呢?英特爾沒(méi)有正面回應這一問(wèn)題。

　　上海交通大學(xué)網(wǎng)絡(luò )空間安全學(xué)院孟魁博士表示，這次安全漏洞事件在這個(gè)時(shí)間點(diǎn)全面爆發(fā)可能有兩個(gè)原因，第一是英特爾的修復效率低下，進(jìn)展過(guò)慢，引起業(yè)界的施壓;第二是因為漏洞的信息泄露時(shí)間過(guò)長(cháng)可能將導致被攻擊者利用。因此必須立即采取措施?！?/p>

　　Q：目前有沒(méi)有已經(jīng)報告的惡意攻擊?

　　騰訊和360等安全廠(chǎng)商都表示，目前沒(méi)有任何已知的利用這些漏洞進(jìn)行攻擊的案例被發(fā)現。

　　英國國家網(wǎng)絡(luò )安全中心表示，目前還沒(méi)有證據表明Meltdown和Spectre正在被用來(lái)竊取數據，但攻擊的本質(zhì)使他們難以察覺(jué)。

　　360核心安全事業(yè)部總經(jīng)理、Vulcan團隊負責人鄭文彬告訴澎湃新聞?dòng)浾?，攻擊者雖可利用該漏洞竊取隱私，但無(wú)法控制電腦、提升權限或者突破虛擬化系統的隔離。此外，該漏洞不能被遠程利用，更無(wú)法像“永恒之藍”漏洞一樣，在用戶(hù)沒(méi)有任何交互操作時(shí)就實(shí)現攻擊。

　　騰訊安全專(zhuān)家表示，雖然漏洞細節以及PoC已經(jīng)公開(kāi)，但是并不能直接運用于攻擊。漏洞運用于真實(shí)攻擊還有許多細節問(wèn)題需要解決，目前也沒(méi)有一個(gè)穩定通用，同時(shí)可以造成明顯嚴重后果(竊取賬號密碼等)的漏洞利用代碼。

　　Q：漏洞修復情況如何?

　　根據英國衛報的說(shuō)法，由于漏洞是芯片底層設計上的缺陷導致的，修復起來(lái)會(huì )非常復雜，同時(shí)難以完美修復。

　　鄭文彬表示，CPU硬件的漏洞修復高難度， 僅通過(guò)CPU廠(chǎng)商進(jìn)行安全更新(例如升級CPU微碼)是無(wú)法解決這一問(wèn)題，修復這些漏洞需要操作系統廠(chǎng)商、虛擬化廠(chǎng)商、軟硬件分銷(xiāo)商、瀏覽器廠(chǎng)商、CPU廠(chǎng)商一起協(xié)作并進(jìn)行復雜且極其深入的修改，才能徹底解決問(wèn)題。

　　漏洞曝光之后，各家芯片廠(chǎng)商、操作系統廠(chǎng)商、瀏覽器廠(chǎng)商，以及云服務(wù)廠(chǎng)商，都已先后作出回應，積極采取措施，發(fā)布安全公告，并及時(shí)推出緩解措施和修復補丁。

　　英特爾建議關(guān)注后續的芯片組更新、主板BIOS更新;針對Meltdown漏洞，Linux已經(jīng)發(fā)布了KAISER;macOS從10.13.2予以了修復;谷歌稱(chēng)已經(jīng)修復;Win10 Insider去年底修復;Win10秋季創(chuàng )意者更新發(fā)布了KB4056892，將強制自動(dòng)安裝;亞馬遜AWS隨后也公布了指導方案;對于難度更高的Spectre漏洞，各廠(chǎng)商目前也仍在攻堅中。

　　針對該漏洞，上海市網(wǎng)信辦采取了應急處置措施。一是密切跟蹤該漏洞的最新情況，及時(shí)評估漏洞對本單位系統的影響。二是對芯片廠(chǎng)商、操作系統廠(chǎng)商和安全廠(chǎng)商等發(fā)布的補丁及時(shí)跟蹤測試，在做好全面審慎的評估工作基礎上，制定修復工作計劃，及時(shí)安裝。三是進(jìn)一步加強關(guān)鍵信息基礎設施網(wǎng)絡(luò )安全防護工作，加強網(wǎng)絡(luò )安全防護和威脅情報收集工作，發(fā)生網(wǎng)絡(luò )安全事件及時(shí)向市網(wǎng)信辦報告。

　　Q：普通用戶(hù)如何防范漏洞?

　　目前，網(wǎng)民可以通過(guò)以下安全策略進(jìn)行防護：

　　1、升級最新的操作系統和虛擬化軟件補?。耗壳拔④?、Linux、MacOSX、XEN等都推出了對應的系統補丁，升級后可以阻止這些漏洞被利用;

　　2、升級最新的瀏覽器補?。耗壳拔④汭E、Edge和Firefox都推出了瀏覽器補丁，升級后可以阻止這些漏洞被利用;

　　3、等待或要求你的云服務(wù)商及時(shí)更新虛擬化系統補丁;

　　4、安裝安全軟件。

　　騰訊安全專(zhuān)家表示，漏洞可造成的主要危害在于用瀏覽器訪(fǎng)問(wèn)了一個(gè)帶有漏洞利用代碼的網(wǎng)頁(yè)，導致敏感信息(賬號密碼等)泄露。只要養成良好的上網(wǎng)習慣，不輕易點(diǎn)擊陌生人發(fā)來(lái)的鏈接，基本不會(huì )受到漏洞影響。同時(shí)，瀏覽器針對漏洞發(fā)布的補丁和緩解措施簡(jiǎn)單有效，而且不會(huì )造成性能下降或兼容性問(wèn)題，用戶(hù)可以選擇將瀏覽器升級到最新版本，從而避免受到漏洞攻擊。

　　Q：“打補丁將導致CPU性能損耗30%”的說(shuō)法是真的嗎?

　　修復程序本身的確存在諸多問(wèn)題。

　　騰訊安全專(zhuān)家介紹，以Windows 10為例，微軟于北京時(shí)間1月4日凌晨緊急發(fā)布了1月份系統安全更新，但補丁存在明顯的性能和兼容性的問(wèn)題：一方面，更新可能會(huì )讓受影響的系統性能下滑30%。另一方面，更新可能會(huì )導致部分軟件(安全軟件等)不兼容從而致使系統藍屏。

　　不過(guò)根據騰訊安全團隊的實(shí)際測試，性能問(wèn)題對于普通用戶(hù)來(lái)說(shuō)，影響并不大：只有在極端的測試下，才會(huì )出現明顯的性能問(wèn)題;而正常的使用過(guò)程中一般不會(huì )出現。

　　360鄭文彬也表示，這種說(shuō)法比較片面，30%的性能損失是在比較極端的專(zhuān)門(mén)測試情況下出現的。通常的用戶(hù)使用情況下，尤其在用戶(hù)的電腦硬件較新的情況下(例如絕大部分在售的Mac電腦和筆記本、32位X86操作系統)，這些補丁的性能損失對用戶(hù)來(lái)說(shuō)是幾乎可以忽略不計。接下來(lái)包括微軟、Intel在內的廠(chǎng)商還會(huì )進(jìn)一步推出針對性的補丁，進(jìn)一步降低補丁對性能的損耗。

　　但是騰訊安全團隊提醒，兼容性問(wèn)題確實(shí)比較嚴重：在有安全軟件，以及一些游戲的電腦上，安裝補丁比較容易出現藍屏現象。這也使得眾多安全廠(chǎng)商采取了比較保守的策略，暫時(shí)不主動(dòng)推送微軟的補丁，避免造成用戶(hù)電腦無(wú)法正常使用。