據(jù)國(guó)外科技媒體The Register北京時(shí)間1月3日的報(bào)道，英特爾公司旗下處理器芯片的一個(gè)根本性設(shè)計(jì)缺陷，迫使Windows、Linux內(nèi)核需要進(jìn)行大規(guī)模重新設(shè)計(jì)，以解決芯片級(jí)安全漏洞。s1eesmc

不過(guò)，Windows、Linux的系統(tǒng)更新將會(huì)影響英特爾產(chǎn)品的性能，導(dǎo)致英特爾芯片速度放慢5%至30%。s1eesmc

據(jù)了解，Intel CPU漏洞問(wèn)題衍生出來(lái)的安全事件已經(jīng)波及全球幾乎所有的手機(jī)、電腦、云計(jì)算產(chǎn)品，ARM確認(rèn) Cortex-A架構(gòu)中招。這一次由Intel服務(wù)器CPU產(chǎn)品誘發(fā)的安全事故現(xiàn)在規(guī)模正式擴(kuò)大，確認(rèn)波及到ARM和AMD，也就是說(shuō)，近二十年來(lái)生產(chǎn)的幾乎一切手機(jī)、電腦、云計(jì)算產(chǎn)品都在風(fēng)險(xiǎn)之列。不過(guò)AMD表示從目前的研究來(lái)看，他們受影響最小，可視為零風(fēng)險(xiǎn)。s1eesmc

安全人員將兩個(gè)新的漏洞命名為Meltdown（熔斷）和Spectre（幽靈），前者允許低權(quán)限、用戶級(jí)別的應(yīng)用程序“越界”訪問(wèn)系統(tǒng)級(jí)的內(nèi)存，從而造成數(shù)據(jù)泄露。s1eesmc

1、哪些系統(tǒng)受影響？s1eesmc

Windows、Linux、macOS、亞馬遜AWS、谷歌安卓均中招。s1eesmc

2、除了Intel處理器，還波及哪些硬件？s1eesmc

ARM的Cortex-A架構(gòu)和AMD處理器。Cortex-A目前廣泛用于手機(jī)SoC平臺(tái)，包括高通、聯(lián)發(fā)科、三星等等。s1eesmc

雖然AMD稱基于谷歌研究的三種攻擊方式，自己的處理器基本免疫。但Spectre（幽靈）漏洞的聯(lián)合發(fā)現(xiàn)者Daniel Gruss（奧地利格拉茨技術(shù)大學(xué)）稱，他基于AMD處理器的Spectre代碼攻擊模擬相當(dāng)成功，絕不能低估。s1eesmc

3、如何修復(fù)？s1eesmc

Intel建議關(guān)注后續(xù)的芯片組更新、主板BIOS更新，但首先，應(yīng)該把OS級(jí)別的補(bǔ)丁打上。s1eesmc

對(duì)于Meltdown漏洞：Linux已經(jīng)發(fā)布了KAISER、macOS從10.13.2予以了修復(fù)、谷歌號(hào)稱已經(jīng)修復(fù)，Win10 Insider去年底修復(fù)、Win10秋季創(chuàng)意者更新今晨發(fā)布了KB4056892，將強(qiáng)制自動(dòng)安裝。
亞馬遜也公布了指導(dǎo)方案。s1eesmc

對(duì)于難度更高的Spectre漏洞，目前仍在攻堅(jiān)。s1eesmc

4、Windows 7/XP受影響不？s1eesmc

微軟承諾，將在下一個(gè)補(bǔ)丁日幫助Win7修復(fù)，但是否惠及XP沒(méi)提。s1eesmc

5、打補(bǔ)丁性能受到影響？s1eesmc

研究者Gruss稱對(duì)此，他無(wú)法給出確切結(jié)論，但從Intel聲明的措辭中可以確認(rèn)會(huì)有性能損失。s1eesmc

福布斯稱，性能影響較大的是Intel 1995年到2013年的老處理器，最高可達(dá)50%，從Skylake這一代之后就幾乎察覺(jué)不到了。s1eesmc

6、那么這些漏洞造成什么損失了？s1eesmc

由于兩個(gè)漏洞都是越級(jí)訪問(wèn)系統(tǒng)級(jí)內(nèi)存，所以可能會(huì)造成受保護(hù)的密碼、敏感信息泄露。s1eesmc

但福布斯了解到，目前，尚未有任何一起真實(shí)世界攻擊，所有的推演都來(lái)自于本地代碼模擬。s1eesmc

所以，看似很嚴(yán)重但其實(shí)也可以理解為一次安全研究的勝利。研究者稱，漏洞要在個(gè)人電腦上激活需要依附與具體的進(jìn)程等，比如通過(guò)釣魚軟件等方式植入。s1eesmc

以下為英特爾聲明全文：

英特爾和其他技術(shù)公司對(duì)最近媒體報(bào)道的一項(xiàng)安全研究已經(jīng)了解。這一研究中描述的軟件分析方法，當(dāng)被用于惡意目的時(shí)，有可能從被操縱的計(jì)算設(shè)備中不當(dāng)?shù)厥占舾袛?shù)據(jù)。英特爾認(rèn)為，這些攻擊沒(méi)有可能損壞、修改或刪除數(shù)據(jù)。s1eesmc

最近的報(bào)道還稱，這些破壞是由“漏洞”或“缺陷”造成的，并且是英特爾產(chǎn)品所獨(dú)有的——這是不正確的。根據(jù)迄今的分析，許多類型的計(jì)算設(shè)備（有來(lái)自許多不同供應(yīng)商的處理器和操作系統(tǒng)）都會(huì)容易受到類似攻擊。s1eesmc

英特爾致力于為產(chǎn)品和客戶安全提供保障，并與許多其他技術(shù)公司（包括 AMD、ARM 控股和多個(gè)操作系統(tǒng)供應(yīng)商）密切合作，以制定用于全行業(yè)的方法，迅速、有建設(shè)性地解決這一問(wèn)題。英特爾已開(kāi)始提供軟件和固件更新來(lái)抵御這些破壞。與某些報(bào)道中指出的恰恰相反，不同負(fù)載受影響程度不同。對(duì)于一般的計(jì)算機(jī)用戶來(lái)說(shuō)影響并不顯著，而且會(huì)隨著時(shí)間的推移而減輕。s1eesmc

英特爾致力于提供業(yè)界最佳實(shí)踐，負(fù)責(zé)任地披露潛在的安全問(wèn)題，這就是英特爾和其他供應(yīng)商原本計(jì)劃在下周發(fā)布更多軟件和固件更新的原因。但由于當(dāng)前媒體不準(zhǔn)確的報(bào)道，英特爾今天特此發(fā)表聲明。s1eesmc

請(qǐng)與您的操作系統(tǒng)供應(yīng)商或系統(tǒng)制造商聯(lián)系，并盡快采納任何可用的更新。日常遵循抵御惡意軟件的安全操作，也有助于在應(yīng)用更新之前防止可能的破壞。s1eesmc

英特爾相信其產(chǎn)品在世界上是最安全的，并且在合作伙伴的支持下，當(dāng)前對(duì)這一問(wèn)題的解決方案，能為客戶提供最佳的安全保障。s1eesmc

編輯點(diǎn)評(píng)：此次漏洞的最大受害者是數(shù)據(jù)中心以及企業(yè)用戶，普通消費(fèi)者受影響有限，然而數(shù)據(jù)中心是Intel大單生意的主要來(lái)源，這次損失可慘重了。s1eesmc

s1eesmc