2018年伊始,整個IT界陷入了英特爾CPU漏洞帶來的恐慌之中。
Google旗下的Project Zero團隊發(fā)現(xiàn)了英特爾CPU存在兩大嚴重漏洞:Spectre(幽靈)和Meltdown(熔斷)。漏洞是因為先天性的架構(gòu)設計缺陷所導致,可以讓非特權(quán)用戶訪問系統(tǒng)內(nèi)存從而讀取敏感信息。換句話說,黑客可以通過這兩個漏洞竊取計算機內(nèi)的全部內(nèi)存內(nèi)容。
緊接著業(yè)界人士發(fā)現(xiàn),受影響的不僅僅是英特爾,還有AMD和ARM。由于這三者在處理器市場上有著非常高的份額,意味著無論是Windows、Linux、Mac系統(tǒng)還是移動端的Android,都存在潛在的安全威脅,其中以英特爾芯片受影響最為嚴重。
這次“史詩級”CPU“漏洞門”危機全球。在中國,上海、天津等地的網(wǎng)信辦部門已經(jīng)發(fā)出預警通報,要求相關單位啟動網(wǎng)絡安全應急預案,并采取應對措施。
專家認為,此次“漏洞門”對云服務廠商造成較大影響,而對個人影響較小,安裝補丁后,性能損失有限。不過因為應對及時,業(yè)內(nèi)人士對這一事件均保持樂觀態(tài)度。
云服務廠商受影響較大
云服務提供商通常大量依賴虛擬化技術(shù),很多云服務主機實際上是將每個CPU線程通過虛擬機的形式出租出去。比如通過虛擬機,可以在一臺計算機上虛擬出十幾臺互相可以獨立操作的計算機系統(tǒng)。“過高依賴CPU內(nèi)核的虛擬化技術(shù)和主要以訪問外部I/O(輸入輸出)設備為主的使用場景,使得在此次的安全風險中,云服務廠商受到的影響較大。”業(yè)內(nèi)人士趙曉峰(化名)說道。
那么具體是如何影響的呢?趙曉峰打比方說:“我拿著假的錄取通知書去拿宿舍鑰匙,我雖然會被發(fā)現(xiàn)是假冒的,但是在這一過程中,我會發(fā)現(xiàn)相應學號對應的相應宿舍。這樣,我就能推測出不同專業(yè)的學生住在哪了。”
也就是說,利用Meltdown漏洞,低權(quán)限用戶可以訪問內(nèi)核的內(nèi)容,獲取本地操作系統(tǒng)底層的信息;當用戶通過瀏覽器訪問了包含Spectre惡意利用程序的網(wǎng)站時,用戶的個人隱私信息可能會被泄露。
個人信息的泄露尚且有限,對于搭載英特爾芯片的企業(yè)用戶而言,若是商業(yè)機密遭泄露,那無疑是致命的。在云服務場景中,利用Spectre漏洞可以突破用戶間的隔離,竊取其他用戶的數(shù)據(jù)。“云服務中的用戶隔離是云安全的基石,Spectre漏洞突破云服務中用戶隔離的能力可以對云服務產(chǎn)生致命的危害。”騰訊安全玄武實驗室負責人于旸解釋道。
目前國內(nèi)云服務廠商反應相當迅速,紛紛在第一時間拿出解決方案。阿里云表示,解決該安全隱患的完整修復方案包含兩個部分,一是云平臺虛擬化宿主機修復,二是客戶側(cè)的操作系統(tǒng)更新。目前,阿里云已經(jīng)啟動了云平臺底層基礎架構(gòu)的漏洞修復更新,最遲于北京時間1月12日24點之前完成。百度云方面對《IT時報》記者表示,在發(fā)現(xiàn)問題的第一時間啟動應急措施,積極推進漏洞修復。“對于虛擬機系統(tǒng),根據(jù)各個系統(tǒng)的osvc(智能桌面虛擬化),廠商做的修復及時更新,用戶只需要及時更新補丁即可。云平臺的物理機層面,將于2018年1月12日零點進行熱修復升級。”百度云方面稱。
騰訊、華為、金山、微軟、京東等云服務廠商均發(fā)布了相關通知,進行平臺安全升級。不過業(yè)內(nèi)人士認為,為了防御這兩組漏洞,云廠商需要更新硬件設備,升級操作系統(tǒng),這必將帶來服務成本的上升。
攻擊案例尚未發(fā)生
雖然英特爾的CPU漏洞已經(jīng)存在20年之久,影響面十分廣泛,但是截至目前,尚未發(fā)現(xiàn)相關攻擊案例。
于旸表示,這是因為發(fā)起攻擊的難度比較大,“由于此漏洞是CPU硬件級別的,對這類漏洞的研究需要很深的專業(yè)知識,門檻比一般的軟件應用漏洞挖掘要高很多。同時由于這兩組漏洞只會造成信息泄露,不依靠其他漏洞很難發(fā)起完整的遠程攻擊。”
“側(cè)信道攻擊(英特爾將此次被利用漏洞的攻擊稱為測信道攻擊Side Channel attack)其實不是現(xiàn)在才有的,但CPU漏洞無疑提高了被攻擊后的風險,使攻擊者獲得更多數(shù)據(jù)。但是這一切的前提是,之前一系列操作都沒有被安全軟件和系統(tǒng)安全機制甚至硬件安全機制察覺,這本身也是很難的。”趙曉峰說道。
攻擊案例尚未發(fā)生的另一方面原因在于,很多人未意識到芯片設計存在漏洞,或者不認為這是漏洞。
趙曉峰表示:“在過去,英特爾不認為Meldtown是漏洞,但現(xiàn)在被認為是漏洞。Spectre可以認為是,過去大家都不覺得這是漏洞而現(xiàn)在是漏洞的漏洞。”
這樣的例子在IT史上并不少見,比如計算機語言中有“二分法”查找思想,于1946年提出,1962年被認為無誤,但是在10年前推翻了這一說法。“同理,分支預測和亂序執(zhí)行的思想(導致Spectre漏洞)也經(jīng)歷了提出、論證成功、不斷改進、大規(guī)模使用到現(xiàn)在發(fā)現(xiàn)漏洞,這是一個長期的過程,或許10年后我們還會發(fā)現(xiàn)今天認為沒錯的設計,是一個漏洞。”
對個人用戶影響有限
比起安全方面的危害,更多企業(yè)和個人用戶擔心的是修補漏洞帶來的“30%”的性能損失。不過對于“30%性能損失”的說法,英特爾方面予以了否認。同時,蘋果、微軟、亞馬遜和Google的測試結(jié)果也都表明系統(tǒng)更新不會對性能造成太大影響。
“最初的性能損失評估是針對Meltdown漏洞,通過設立用戶權(quán)限和內(nèi)核權(quán)限的頁表隔離,因為這樣一旦用戶對內(nèi)核進行訪問,就會受到嚴格的頁表檢查,換句話,權(quán)限的檢查被提前了,這樣導致某些應用下性能會下降,尤其是虛擬機,因為是通過應用程序借助CPU虛擬化技術(shù)虛擬一個新的計算機系統(tǒng),這被推測有大量內(nèi)核與用戶數(shù)據(jù)之間的訪問,而這類應用估計會有5%-30%的損失。”趙曉峰說道。
趙曉峰對英特爾酷睿i77700HQ處理器在更新補丁前后進行了一些測試,包括使用sisoftware 2017的內(nèi)存事務性測試,.net公共虛擬機語言環(huán)境的算術(shù)和SIMD測試(廣義虛擬機下的計算測試),內(nèi)存與緩存帶寬測試和在Android studio上使用虛擬設備運行安兔兔的測試,“目前來看,個人電腦無需擔心,除了安兔兔有一兩項有明顯影響外(原因還不能確定是補丁影響),總體沒有明顯的性能變化。”
對于IT行業(yè)而言,業(yè)內(nèi)專家張攀表示“性能損失不是一件壞事”,CPU架構(gòu)的發(fā)展都是緣起于如何解決問題。當前CPU架構(gòu)已許久沒有創(chuàng)造性地改造,這個問題有可能成為CPU架構(gòu)更新的契機,推動CPU的進步,從而造福IT產(chǎn)業(yè)。