最全解读 | 英特尔等内核处理器爆发高危漏洞,所有人都逃不掉

摘要

所有的系统,所有的设备均不能幸免,及时打补丁是关键。

近日,英特尔芯片级安全漏洞被曝光,这引起了大家的恐慌。这个漏洞是怎么回事,影响有多大,我们该怎么办?极客公园在本文中为大家一一道来。

据外媒 The Rigister 报道,安全研究人员发现,英特尔处理器底层设计上存在重大漏洞,这意味着 Linux 和 Windows 的内核需要被大幅度重新设计,以解决这次的芯片级安全漏洞。

漏洞是什么?

这次被公布的漏洞是谷歌的 Project Zero 团队在去年发现的。这两个漏洞被称为「Meltdown(熔断)」和「Specter(幽灵)」,英特尔在电话会议上将其正式定名为「旁路分析利用」漏洞。这些漏洞能允许恶意程序从其它程序的内存中窃取信息,这意味着恶意程序可以窃取密码、账户信息、加密密钥或理论上存储在进程中的任何内容。

其中,「Meltdown」可以影响英特尔的处理器,它打破了用户应用程序和操作系统之间最基本的隔离。这种攻击允许程序访问其它程序和操作系统的内存,这可能导致数据泄露。

而「Spectre」则除了能影响英特尔的处理器外,还能影响 AMD 和 ARM 架构的处理器,也就是说,智能手机等设备也可能受到影响。它打破了不同应用程序之间的隔离,这意味着,攻击者可以使用恶意程序来获取被隔离的私有数据。它比「Meltdown」更难被利用,但也更难以被解决。

漏洞有何影响?

从理论层面来说,这些漏洞可以影响到 1995 年发布的处理器。由于这个漏洞是架构上的缺陷,因此,无论你使用什么样的系统(Windows、IOS、Android)、什么样的设备(电脑、手机、服务器)都可能受到影响。

目前,受到影响最大的是云计算厂商。他们大量使用了英特尔的 CPU,安天应急处理中心认为,该漏洞是一个足以动摇全球云计算基础设施根基的漏洞。

极客公园试图询问云厂商该漏洞对它们的影响,但都没有得到正面回答。

事实上,这个漏洞并非英特尔独有,其它供应商的处理器和操作系统也会有这个问题。英特尔在公告中声明,许多类型的计算设备(具有许多不同的供应商的处理器和操作系统)都会受到这些攻击。AMD 发表声明予以否认,但事实上,AMD 也会受到影响。Google 对外透露,这些漏洞影响到了所有芯片制造商,包括来自 AMD、ARM 和英特尔的芯片制造商。

360 官方表示,虽然漏洞影响范围极广,但漏洞本身的危害却并不十分严重,此前也没有任何已知的利用这些漏洞进行攻击的案例被发现。攻击者虽可利用该漏洞窃取隐私,但无法控制电脑、提升权限或者突破虚拟化系统的隔离。

但安天应急处理中心却不这么看,虽然这一漏洞本身只能读取数据,不能修改数据,但由于其获取的数据中有可能包括口令、证书和其它关键数据,因此这个漏洞比一般性的虚拟机逃逸对云的危害更大。

Mozilla 确认了人们最担心的一件事,那就是,「Meltdown」和「Spectre」都可能受到通过网页传送的、嵌入普通 JavaScript 的攻击代码的远程攻击。在此前公布的研究中,谷歌并没有提供利用漏洞进行攻击的具体方式,但是许多阅读过「Meltdown」和「Specter」相关论文的安全专家说,基于网络的攻击是可能的。

Mozilla 确认了人们最担心的一件事,那就是「Meltdown」和「Spectre」都可以被远程利用。

Mozilla 基金会的软件工程师 Luke Wagner 表示:「我们的内部实验证实,可以使用类似于 Web 内容的技术来读取不同来源之间的私人信息。」

图 / 来自 BleepingComputer

与时间赛跑的漏洞修复

在这次漏洞中,不存在「召回」,如果仅仅影响一种或一类设备,如三星 Note 7 的电池事件,召回是能解决问题的。而在这次事件中,会有无数台设备受到影响,召回几乎是不可能的,只能对漏洞进行修复。

值得庆幸的是,这个漏洞目前还没有消息证明已经被黑客利用,这给了大家修复的时间。

但这个漏洞的修复非常难,据 360 官方介绍,修复这些漏洞需要操作系统厂商、虚拟化厂商、软硬件分销商、浏览器厂商、CPU 厂商共同协作,并进行复杂且极其深入的修改,才能彻底解决问题。

英特尔官方表示,在接下来的数周内将有补丁发布。另外,尽管大多数普通 PC 用户不会因此受到影响,但这批补丁会带来 0% 到 30% 之间的性能降级。

对此,有网友表示担心:打了补丁性能下降那么多,是否还要打补丁?对此,360 安全中心表示,这种说法比较片面,30% 的性能损失是在比较极端的专门测试情况下出现的,在通常的用户使用情况下,尤其在用户的电脑硬件较新的情况下(例如绝大部分在售的 Mac 电脑和笔记本),这些补丁造成的性能损失对用户来说几乎可以忽略不计。

对于普通用户来说,修复漏洞可能不会对性能有太大的影响。据 AppleInsider 报道,他们正在利用一台 2017 年款 MacBook Pro 测试补丁是否会影响性能,从初期的测试结果来看,运行打了补丁的 macOS High Sierra 10.13.2 比 10.13.1 在性能上没有明显下降。

图 / 微软还发布了Powershell检测程序,用来检测你是否需要更新(来自 BleepingComputer)

微软发布声明表示,目前已经和芯片厂商展开合作,通过各种方式保护用户以及发布更新,同时也在为云服务商部署安全解决方案。

安天应急处理中心表示,尽管当前全球主要云服务商均在积极应对这一漏洞的影响,但鉴于这些云服务体系的庞大、复杂,以及大面积补丁本身所面临的复杂度和风险,同时漏洞利用 POC(为观点提供证据的验证程序)已经发布并验证成功,因此这次漏洞修补已经成为一场时间赛跑。在这个过程中,攻击者所获取到的数据,将会沉淀出关键数据和隐私的泄露、登陆凭证被窃取导致连锁攻击等次生灾害。

目前,很多云厂商都正在积极修复这个漏洞,阿里云发布公告称,在漏洞被披露前,阿里云已与英特尔同步关键安全信息,并持续就修复方案做验证。目前,阿里云已经启动了云平台底层基础架构的漏洞修复更新,最迟将于北京时间 1 月 12 日 24 点之前完成。该方案由于采用了热升级方式,正常情况下不会对客户业务带来影响。

腾讯云则表示,他们将于北京时间 2018 年 1 月 10 日凌晨 01:00-05:00 通过热升级技术对硬件平台和虚拟化平台进行后端修复,期间客户业务不会受到影响。

除了腾讯云和阿里云,其它公司或组织也在积极修复漏洞,截至发稿时,Linux、MacOS 中的「Meltdown」漏洞已经被修复,安卓系统也已发布更新,「Spectre」的修复仍在进行中。

头图来源:视觉中国

责任编辑:双筒猎枪

最新文章

极客公园

用极客视角,追踪你最不可错过的科技圈。

极客之选

新鲜、有趣的硬件产品,第一时间为你呈现。

顶楼

关注前沿科技,发表最具科技的商业洞见。