2018年伊始，整個IT界陷入了英特爾CPU漏洞帶來的恐慌之中。

Google旗下的Project Zero團隊發(fā)現(xiàn)了英特爾CPU存在兩大嚴重漏洞：Spectre（幽靈）和Meltdown（熔斷）。漏洞是因為先天性的架構(gòu)設計缺陷所導致，可以讓非特權(quán)用戶訪問系統(tǒng)內(nèi)存從而讀取敏感信息。換句話說，黑客可以通過這兩個漏洞竊取計算機內(nèi)的全部內(nèi)存內(nèi)容。

緊接著業(yè)界人士發(fā)現(xiàn)，受影響的不僅僅是英特爾，還有AMD和ARM。由于這三者在處理器市場上有著非常高的份額，意味著無論是Windows、Linux、Mac系統(tǒng)還是移動端的Android，都存在潛在的安全威脅，其中以英特爾芯片受影響最為嚴重。

這次“史詩級”CPU“漏洞門”危機全球。在中國，上海、天津等地的網(wǎng)信辦部門已經(jīng)發(fā)出預警通報，要求相關單位啟動網(wǎng)絡安全應急預案，并采取應對措施。

專家認為，此次“漏洞門”對云服務廠商造成較大影響，而對個人影響較小，安裝補丁后，性能損失有限。不過因為應對及時，業(yè)內(nèi)人士對這一事件均保持樂觀態(tài)度。

云服務廠商受影響較大

云服務提供商通常大量依賴虛擬化技術(shù)，很多云服務主機實際上是將每個CPU線程通過虛擬機的形式出租出去。比如通過虛擬機，可以在一臺計算機上虛擬出十幾臺互相可以獨立操作的計算機系統(tǒng)。“過高依賴CPU內(nèi)核的虛擬化技術(shù)和主要以訪問外部I/O（輸入輸出）設備為主的使用場景，使得在此次的安全風險中，云服務廠商受到的影響較大。”業(yè)內(nèi)人士趙曉峰（化名）說道。

那么具體是如何影響的呢？趙曉峰打比方說：“我拿著假的錄取通知書去拿宿舍鑰匙，我雖然會被發(fā)現(xiàn)是假冒的，但是在這一過程中，我會發(fā)現(xiàn)相應學號對應的相應宿舍。這樣，我就能推測出不同專業(yè)的學生住在哪了。”

也就是說，利用Meltdown漏洞，低權(quán)限用戶可以訪問內(nèi)核的內(nèi)容，獲取本地操作系統(tǒng)底層的信息；當用戶通過瀏覽器訪問了包含Spectre惡意利用程序的網(wǎng)站時，用戶的個人隱私信息可能會被泄露。

個人信息的泄露尚且有限，對于搭載英特爾芯片的企業(yè)用戶而言，若是商業(yè)機密遭泄露，那無疑是致命的。在云服務場景中，利用Spectre漏洞可以突破用戶間的隔離，竊取其他用戶的數(shù)據(jù)。“云服務中的用戶隔離是云安全的基石，Spectre漏洞突破云服務中用戶隔離的能力可以對云服務產(chǎn)生致命的危害。”騰訊安全玄武實驗室負責人于旸解釋道。

目前國內(nèi)云服務廠商反應相當迅速，紛紛在第一時間拿出解決方案。阿里云表示，解決該安全隱患的完整修復方案包含兩個部分，一是云平臺虛擬化宿主機修復，二是客戶側(cè)的操作系統(tǒng)更新。目前，阿里云已經(jīng)啟動了云平臺底層基礎架構(gòu)的漏洞修復更新，最遲于北京時間1月12日24點之前完成。百度云方面對《IT時報》記者表示，在發(fā)現(xiàn)問題的第一時間啟動應急措施，積極推進漏洞修復。“對于虛擬機系統(tǒng)，根據(jù)各個系統(tǒng)的osvc(智能桌面虛擬化)，廠商做的修復及時更新，用戶只需要及時更新補丁即可。云平臺的物理機層面，將于2018年1月12日零點進行熱修復升級。”百度云方面稱。

騰訊、華為、金山、微軟、京東等云服務廠商均發(fā)布了相關通知，進行平臺安全升級。不過業(yè)內(nèi)人士認為，為了防御這兩組漏洞，云廠商需要更新硬件設備，升級操作系統(tǒng)，這必將帶來服務成本的上升。

攻擊案例尚未發(fā)生

雖然英特爾的CPU漏洞已經(jīng)存在20年之久，影響面十分廣泛，但是截至目前，尚未發(fā)現(xiàn)相關攻擊案例。

于旸表示，這是因為發(fā)起攻擊的難度比較大，“由于此漏洞是CPU硬件級別的，對這類漏洞的研究需要很深的專業(yè)知識，門檻比一般的軟件應用漏洞挖掘要高很多。同時由于這兩組漏洞只會造成信息泄露，不依靠其他漏洞很難發(fā)起完整的遠程攻擊。”

“側(cè)信道攻擊（英特爾將此次被利用漏洞的攻擊稱為測信道攻擊Side Channel attack）其實不是現(xiàn)在才有的，但CPU漏洞無疑提高了被攻擊后的風險，使攻擊者獲得更多數(shù)據(jù)。但是這一切的前提是，之前一系列操作都沒有被安全軟件和系統(tǒng)安全機制甚至硬件安全機制察覺，這本身也是很難的。”趙曉峰說道。

攻擊案例尚未發(fā)生的另一方面原因在于，很多人未意識到芯片設計存在漏洞，或者不認為這是漏洞。

趙曉峰表示：“在過去，英特爾不認為Meldtown是漏洞，但現(xiàn)在被認為是漏洞。Spectre可以認為是，過去大家都不覺得這是漏洞而現(xiàn)在是漏洞的漏洞。”

這樣的例子在IT史上并不少見，比如計算機語言中有“二分法”查找思想，于1946年提出，1962年被認為無誤，但是在10年前推翻了這一說法。“同理，分支預測和亂序執(zhí)行的思想（導致Spectre漏洞）也經(jīng)歷了提出、論證成功、不斷改進、大規(guī)模使用到現(xiàn)在發(fā)現(xiàn)漏洞，這是一個長期的過程，或許10年后我們還會發(fā)現(xiàn)今天認為沒錯的設計，是一個漏洞。”

對個人用戶影響有限

比起安全方面的危害，更多企業(yè)和個人用戶擔心的是修補漏洞帶來的“30%”的性能損失。不過對于“30%性能損失”的說法，英特爾方面予以了否認。同時，蘋果、微軟、亞馬遜和Google的測試結(jié)果也都表明系統(tǒng)更新不會對性能造成太大影響。

“最初的性能損失評估是針對Meltdown漏洞，通過設立用戶權(quán)限和內(nèi)核權(quán)限的頁表隔離，因為這樣一旦用戶對內(nèi)核進行訪問，就會受到嚴格的頁表檢查，換句話，權(quán)限的檢查被提前了，這樣導致某些應用下性能會下降，尤其是虛擬機，因為是通過應用程序借助CPU虛擬化技術(shù)虛擬一個新的計算機系統(tǒng)，這被推測有大量內(nèi)核與用戶數(shù)據(jù)之間的訪問，而這類應用估計會有5%-30%的損失。”趙曉峰說道。

趙曉峰對英特爾酷睿i77700HQ處理器在更新補丁前后進行了一些測試，包括使用sisoftware 2017的內(nèi)存事務性測試，.net公共虛擬機語言環(huán)境的算術(shù)和SIMD測試（廣義虛擬機下的計算測試），內(nèi)存與緩存帶寬測試和在Android studio上使用虛擬設備運行安兔兔的測試，“目前來看，個人電腦無需擔心，除了安兔兔有一兩項有明顯影響外（原因還不能確定是補丁影響），總體沒有明顯的性能變化。”

對于IT行業(yè)而言，業(yè)內(nèi)專家張攀表示“性能損失不是一件壞事”，CPU架構(gòu)的發(fā)展都是緣起于如何解決問題。當前CPU架構(gòu)已許久沒有創(chuàng)造性地改造，這個問題有可能成為CPU架構(gòu)更新的契機，推動CPU的進步，從而造福IT產(chǎn)業(yè)。