“熔斷”“幽靈”出沒，該如何應對？

逄丹

這并不是一場嚴重的網絡攻擊，然而它引起的安全恐慌卻在全球蔓延，持續發酵。

恐慌源自谷歌Project Zero安全團隊披露的CPU安全隱患。報告指出，“Meltdown”（熔斷）和“Spectre”（幽靈）兩大CPU漏洞，一旦被利用，將造成用戶信息泄露。從個人電腦、服務器、云計算機服務器到移動端的智能手機，都將受到這兩組硬件漏洞的影響。

由于波及面之廣，繼2000年的“千年蟲”危機后，“熔斷”和“幽靈”也被認為是計算機史上的最大安全事件。

何謂“熔斷”和“幽靈”？

芯片廠商一直致力于提高CPU的性能，而“熔斷”和“幽靈”恰恰來源于芯片廠商為了提高CPU性能而引入的新特性。

騰訊安全聯合實驗室指出，現代CPU為了提高處理性能，會采用亂序執行（Out-of-Order Execution）和預測執行（SpeculativePrediction）。

亂序執行和預測執行在遇到異常或發現分支預測錯誤時，CPU會丟棄之前執行的結果，將CPU的狀態恢復到亂序執行或預測執行前的正確狀態，然后選擇對應正確的指令繼續執行。

這種異常處理機制保證了程序能夠正確執行，但是問題在于，CPU恢復狀態時并不會恢復CPU緩存的內容，而這兩組漏洞正是利用了這一設計上的缺陷進行測信道攻擊。

騰訊安全聯合實驗室指出，利用“熔斷”漏洞，低權限用戶可以訪問內核的內容，獲取本地操作系統底層的信息；當用戶通過瀏覽器訪問了包含惡意利用程序的網站時，用戶的如賬號、密碼、郵箱等個人隱私信息可能會被泄露；在云服務場景中，利用“熔斷”可以突破用戶間的隔離，竊取其他用戶的數據。

“熔斷”漏洞影響幾乎所有的英特爾CPU和部分ARM CPU，而“幽靈”則影響所有的英特爾CPU和AMD CPU，以及主流的ARM CPU。

誰之過？

一場源自計算機體系架構弊端的漏洞卻擊穿了英特爾、AMD、ARM、微軟等芯片、操作系統巨頭的神經。

不少聲音直指英特爾和其他幾家巨頭“知情不報”。這是因為，早在2017年6月，谷歌Project Zero安全團隊便發現了這一漏洞，并告知了英特爾以及其他幾家芯片生產商，但他們都沒有向業界公布。

直到2018年1月2日，科技媒體The Register發表文章《Kernel-memory-leaking Intel processor design flaw forces Linux， Windows redesign》，問題才被曝光。

緊接著，1月3日，英特爾對這一事件作出回應。英特爾稱，致力于業界最佳做法，負責披露潛在的安全問題， 這就是英特爾和其他供應商計劃在下星期發布更多軟件和固件更新時，披露此問題的原因。

“但是，由于當前媒體報告不準確，英特爾因此選擇在今天發表了這份聲明。”在1月3日的這份回應中指出。與此同時，英特爾公布最新安全研究結果及受影響的處理器產品清單。

有消息指出，英特爾在接到谷歌的報告后就已經開始聯合上下游來解決此問題，但問題難度之大，超乎想象。因聯盟成員之間達成了保密協議，延遲公開，贏得時間研發解決方案，確保公布漏洞后能夠萬無一失。原計劃為1月9日公布，The Register的踢爆，讓英特爾只好提前進行了系列公告。

其后，各路芯片廠商紛紛作出回應。1月4日，IBM公布這一漏洞對POWER系列處理器的潛在影響。1月5日，ARM承認芯片存安全漏洞，安卓iOS設備都有影響；AMD發布聲明，承認部分處理器存在安全漏洞；高通則表示正在修復芯片漏洞，但未指明受影響芯片。

與此同時，蘋果、微軟、阿里云、騰訊云、百度云、華為云等廠商都發布了修補漏洞的辦法。

《中國電子報》資深記者李佳師指出，從這件事情上，廠商們應該吸取教訓，用戶和業界需要知情權，業界需要更開放。

她表示，英特爾在這個事件上的被動局面，看似偶然，其實也暴露了一個行業問題，在協同上下游及時解決問題的同時，究竟是選擇合適的時間公布，還是一開始就讓全世界都知道，需要業界重新思考。

另一個被業界詬病的是，英特爾等針對兩大漏洞所做出的軟件更新會顯著影響系統性能。

有報道指出，對熔斷漏洞的修復需要對操作系統如Linux和Windows進行大量改動，并有嚴重的性能影響。一些消費產品的基準數據鮮少受到影響，但一些數據庫和云相關的基準數據表現出5%～30%的性能影響。

對此，英特爾聯合合作伙伴展開了廣泛的測試，以評估近期發布的安全更新對系統性能的影響。

蘋果、亞馬遜、谷歌和微軟都已評估并表示，該安全更新對性能影響很小甚至沒有影響。蘋果稱，我們的GeekBench 4基準測試以及Speedometer、JetStream和ARES-6等常見的Web瀏覽基準測試表明，2017年12月的更新沒有顯著降低macOS和iOS設備的性能。

微軟稱，絕大多數Azure客戶不會感受到此次更新對性能的影響。我們已經優化了CPU和磁盤I/O路徑，在采納更新后沒有看到對性能產生明顯的影響。

英特爾表示，對于性能影響的初步評估結果，英特爾已經與業界分享了某些客戶端平臺的更新數據。他們將持續公布最新進展，計劃在未來幾天內公布有關服務器平臺的初步數據。

合力解決是正道

雖然當前還沒有任何黑客們從漏洞中獲取利益，但由于“熔斷”和“幽靈”兩大漏洞源自現代計算芯片體系問題，在短時間內無法從根本上消除漏洞。因此，專家指出，當下產業鏈更需要攜手解決。

英特爾CEO科再奇在CES2018的主題演講中沒有回避這一問題，而是在開場白就直接表明態度。他表示：“如此多的公司攜起手來共同應對這個涉及整個行業、跨越多個不同處理器架構的安全問題，這確實很了不起。”

他進一步說道，我們正夜以繼日地努力解決這些問題，以確保用戶數據的安全。

據了解，在本周內，英特爾發布的更新預計將覆蓋過去5年內推出的90%以上的產品，而針對其他產品的更新將在今年1月底前發布。

同時，ARM、AMD、蘋果、谷歌等企業以及產業鏈相關企業也在積極修復和更新軟件，應對漏洞存在的安全威脅。

正如漏洞的發現者——谷歌安全團隊的Horn表示，要想應對這次“危機”，就需要CPU廠商的固件修復、操作系統修復和應用廠商的共同協作。endprint