近日，Google安全團隊 Project Zero 公布了多個高危漏洞，稱這些漏洞幾乎影響到了市面上所有的微處理器，由于漏洞與硬件相關，因此不同的操作系統都要從內核層面對該漏洞進行修復，最高可能會使處理器的性能降低30%。
驚天漏洞是怎么一回事？
為了確保計算機的安全，在操作系統中，不同的程序有著不同的安全權限。其中，內核是最基本的程序，為系統提供一些必要的基礎功能。因此，在Linux、Windows等操作系統中，內核會常駐系統內存，并擁有最高級別的權限。
（圖片來源：Ars Technica）
最近曝光的多個漏洞，就跟內核息息相關。這些漏洞最早可以追溯到1995年。Project Zero的研究員Jann Horn稱：“惡意程序可以通過這些漏洞來訪問本應無法訪問系統內存，從而竊取存儲在系統中的敏感信息。測試表明，通過該漏洞可以讓虛擬主機訪問物理主機的內存，甚至還能訪問其他虛擬主機的內存。”
這些高危漏洞被歸為兩類，分別命名為「Meltdown」（熔毀）和「Spectre」（幽靈）。Meltdown能夠打破應用程序與操作系統之間的基本隔閡，讓惡意程序能夠訪問系統內存；而Spectre則可以通過欺騙其他應用程序來訪問系統內存的任意位置。Spectre相比Meltdown更復雜、更難運用，但也更不好被解決。
（圖片來源：Meltdown Attack）
這些漏洞會產生什么影響？
目前，Meltdown只在英特爾處理器中得到驗證，而Spectre由于涉及微處理器的一項常用技術，因此波及范圍更廣。Project Zero的測試結果表明，無論是AMD、ARM還是英特爾的處理器都難以幸免，圍繞這些處理器打造的操作系統和硬件設備也會受到影響。
換言之，近二十年來，常見的電腦、云服務器、智能手機都有可能被利用，無論是Windows還是macOS又或者是Linux系統。
（圖片來源：IT Pro）
紅帽操作系統平臺副總裁Denise Dumas 表示：“簡而言之，這些漏洞可能會使惡意行為者從任何計算機，移動設備或云部署中竊取敏感信息。”
要解決這些漏洞，目前的辦法是操作系統廠商更新安全補丁，將內核常駐的系統內存與普通進程完全分開，但這將導致處理器的性能降低5%到30%。
Linux內核開發人員Dave Hansen稱，Linux內核中進行的修補將會影響所有的操作系統工作，大部分軟件運行將會出現「一位數下滑」（10%以下），典型的性能下降幅度為5%；英國媒體The Register則認為，目前的修復方式會讓處理器性能降低5%到30%。
廠商們是怎么回應的？
漏洞曝光之后，各大處理器廠商都已先后作出回應。
AMD表示，由于其處理器架構與英特爾有所不同，因此受到這些漏洞的影響幾乎為零。
不過，英特爾的說法和AMD則有所出入。英特爾認為，根據迄今的分析，許多類型的計算設備（有來自許多不同供應商的處理器和操作系統）都會容易受到類似攻擊。但這些攻擊沒有可能損壞、修改或刪除數據，也不會對一般用戶的計算機性能造成顯著影響。尤其是Skylake之后的產品，受到本次漏洞的影響微乎其微。
同時，英特爾還表示，已經與AMD、ARM、蘋果、微軟等技術公司密切合作，以制定用于全行業的方法，迅速、有建設性地解決這一問題。
（圖片來源：Fortune）
ARM則發表聲明稱，確實有部分Cortex-A處理器受到影響，Cortex-A廣泛用于手機SoC平臺，高通、三星、聯發科都采用了相關的技術。ARM的公關總監稱，ARM一直在與英特爾和AMD合作，以尋求解決辦法。
普通消費者們該怎么辦？
目前，并沒有黑客利用該漏洞進行攻擊的案例出現，而不少廠商都已這些漏洞提出了解決方案：
? Linux發布了KAISER補丁
? 蘋果則是在macOS 10.3.2中修復了該漏洞
? Google號稱最新版本的Android系統不受影響
? 微軟Windows 10也緊急發布了更新補丁KB4056892，將強制安裝
? 亞馬遜AWS也發布了解決問題的指導方法
因此，只要將你的電腦或手機更新到最新系統，就可以規避這一漏洞。雖然對計算機性能多少都會受到一些影響，但由于個人計算機的負載并不高，因此也不需要太過擔心因為打了補丁，就導致電腦「吃不了雞」。
（圖片來源：The Verge）
實際上，Meltdown和Spectre對性能的拖累才是讓人頭疼的問題——不打補丁的話，數據安全得不到保障；而打了補丁之后，對性能的拖累又會對云計算業務造成不小的影響。
在更好的解決方案出來之前，云計算廠商們似乎也是毫無辦法。
最后，附上英特爾的官方聲明供讀者參考：
“ 英特爾和其他技術公司對最近媒體報道的一項安全研究已經了解。這一研究中描述的軟件分析方法，當被用于惡意目的時，有可能從被操縱的計算設備中不當地收集敏感數據。英特爾認為，這些攻擊沒有可能損壞、修改或刪除數據。
最近的報道還稱，這些破壞是由「漏洞」或「缺陷」造成的，并且是英特爾產品所獨有的——這是不正確的。根據迄今的分析，許多類型的計算設備（有來自許多不同供應商的處理器和操作系統）都會容易受到類似攻擊。
英特爾致力于為產品和客戶安全提供保障，并與許多其他技術公司（包括AMD、ARM控股和多個操作系統供應商）密切合作，以制定用于全行業的方法，迅速、有建設性地解決這一問題。英特爾已開始提供軟件和固件更新來抵御這些破壞。與某些報道中指出的恰恰相反，不同負載受影響程度不同。對于一般的計算機用戶來說影響并不顯著，而且會隨著時間的推移而減輕。
英特爾致力于提供業界最佳實踐，負責任地披露潛在的安全問題，這就是英特爾和其他供應商原本計劃在下周發布更多軟件和固件更新的原因。但由于當前媒體不準確的報道，英特爾今天特此發表聲明。
請與您的操作系統供應商或系統制造商聯系，并盡快采納任何可用的更新。日常遵循抵御惡意軟件的安全操作，也有助于在應用更新之前防止可能的破壞。
英特爾相信其產品在世界上是最安全的，并且在合作伙伴的支持下，當前對這一問題的解決方案，能為客戶提供最佳的安全保障。
”
看此文章的還看過:《不少CPU可能會降速 Intel芯片漏洞事件詳解》由筆記本電腦排行榜原創提供，轉載請注明：http://www.maaba.cn/html/527.html
