新的漏洞，甚至更多的補(bǔ)丁：“下一代Spectre”即將來襲。據(jù)德國雜志c't獨(dú)家披露的信息顯示，研究人員已經(jīng)在英特爾處理器中發(fā)現(xiàn)了八個新的安全漏洞。

 

名為Specter和Meltdown的芯片漏洞之前已在IT界掀起了地震：研究人員證實(shí)，所有現(xiàn)代處理器都存在一個基本的設(shè)計(jì)缺陷，對系統(tǒng)安全帶來了嚴(yán)重的影響。幾個補(bǔ)丁發(fā)布后，似乎一切都會風(fēng)平浪靜，不過一些專家警告：可能之后會披露更多的漏洞。但是有人仍寄希望于廠商通過幾個安全更新版來解決問題。

 

事實(shí)證明，還是扔掉這個希望為好。幾個研究小組已向英特爾這家廠商報告了其CPU的八個新的安全漏洞。目前，這些漏洞的細(xì)節(jié)嚴(yán)加保密。這八個漏洞實(shí)際上都由同樣的設(shè)計(jì)問題引起，你可以稱之為下一代Spectre漏洞。

 

c't獲得了關(guān)于Spectre-NG的獨(dú)家信息，我們能夠從幾個途徑來證實(shí)，我們對所有資料進(jìn)行了反復(fù)核對。不過只要仍存在這種可能：芯片廠商在漏洞細(xì)節(jié)公布之前準(zhǔn)備好安全更新版，我們就不會公布技術(shù)細(xì)節(jié)。然而，我們會利用掌握的信息來報告補(bǔ)丁的未來版本，并提供背景信息。

 

八個新的安全漏洞

 

這八個漏洞每一個在通用漏洞披露（CVE）目錄中都有自己的編號，每個漏洞都需要有各自的補(bǔ)丁。每個漏洞可能會有自己的名稱。在此之前，我們將這些漏洞統(tǒng)稱為Specter-NG，以便將它們與之前發(fā)現(xiàn)的漏洞區(qū)別開來。

 

到目前為止，我們只有英特爾處理器及其補(bǔ)丁計(jì)劃方面的具體信息。然而，有初步證據(jù)表明至少一些ARM處理器同樣易受攻擊。已經(jīng)在開展進(jìn)一步的研究，查明密切相關(guān)的AMD處理器架構(gòu)是否也很容易受到Specter-NG漏洞的影響、影響有多大。

 

英特爾已經(jīng)在為Spectre-NG開發(fā)自己的補(bǔ)丁，并且與操作系統(tǒng)制造商合作，開發(fā)其他補(bǔ)丁。據(jù)我們掌握的信息顯示，英特爾計(jì)劃推出兩波補(bǔ)丁。第一批定于5月開始，而第二批目前計(jì)劃定于8月。

 

知道谷歌Project Zero發(fā)現(xiàn)了其中一個Spectre-NG漏洞，這讓我們得以了解第一個補(bǔ)丁會是什么樣。谷歌的精英黑客嚴(yán)格遵守90天的截止日期，旨在讓廠商在接到通知后有時間修復(fù)漏洞，但是如果在截至日期過后補(bǔ)丁還沒有發(fā)布，他們也不敢公之于眾。截至?xí)r間是5月7日，即下一個Windows補(bǔ)丁日的前一天。英特爾自己預(yù)計(jì)，關(guān)于第二個漏洞的信息現(xiàn)在可能會隨時發(fā)布。因此，我們預(yù)計(jì)會更早而不是更晚看到這兩個漏洞的補(bǔ)丁。

 

有跡象表明，微軟也在準(zhǔn)備CPU補(bǔ)丁。最初，總部位于雷德蒙德的這家公司預(yù)計(jì)通過更新微代碼就能解決這些問題一?，F(xiàn)在看來，修復(fù)程序（或緩解措施）將作為（可選的）Windows更新版來進(jìn)行分發(fā)。PC廠商們動作實(shí)在太慢，遲遲沒有提供BIOS更新版。微軟還為Spectre漏洞開出了高達(dá)25萬美元的漏洞懸賞。Linux內(nèi)核開發(fā)人員也在不斷致力于加強(qiáng)防范Spectre攻擊的措施。

 

比Spectre更危險

 

英特爾自己將四個Spectre-NG漏洞分類為“高風(fēng)險”，其余四個分類為“中等風(fēng)險”。據(jù)我們自己的研究顯示，Specter-NG的風(fēng)險和攻擊場景與Spectre很類似，只有一個例外。

 

其中一個Spectre-NG漏洞大大簡化了跨系統(tǒng)邊界的攻擊，我們估計(jì)，其潛在威脅遠(yuǎn)高于Spectre。具體而言，攻擊者可以在虛擬機(jī)（VM）中運(yùn)行漏洞代碼（exploit code），從這里攻擊主機(jī)系統(tǒng)（比如說云服務(wù)提供商的服務(wù)器）。另外，它可以攻擊在同一臺服務(wù)器上運(yùn)行的其他客戶的虛擬機(jī)。用于數(shù)據(jù)安全傳輸?shù)拿艽a和密鑰是云系統(tǒng)上很容易被盯上的目標(biāo)，因該漏洞而岌岌可危。英特爾的軟件防護(hù)擴(kuò)展（SGX）同樣面臨Spectre的威脅，它旨在保護(hù)云服務(wù)器上的敏感數(shù)據(jù)。

 

雖然針對其他虛擬機(jī)或主機(jī)系統(tǒng)的攻擊從原理上來說已經(jīng)因Specter而成為可能，但是在實(shí)際環(huán)境下實(shí)現(xiàn)需要大量先前了解的知識，因此極難得逞。然而，上述的Specter-NG漏洞很容易被利用，跨系統(tǒng)邊界進(jìn)行攻擊，將潛在威脅提升到了新的水平。像亞馬遜或Cloudflare這些云服務(wù)提供商（當(dāng)然還有其客戶）尤其受到影響。

 

不過，個人和企業(yè)PC面臨的具體危險還是很小，因?yàn)橥ǔＳ衅渌谋∪醐h(huán)節(jié)更容易被利用。然而，對此不可掉以輕心；即將發(fā)布的Specter-NG更新版發(fā)布后，要盡快安裝。

 

然而，如果說過去表明了什么，實(shí)際上事情不會那么順利。就算發(fā)布了Spectre更新版，仍有幾個故障，盡管籌備期前后超過六個月。此外，一些補(bǔ)丁會降低性能，一些公司拒絕為用了才幾年的計(jì)算機(jī)部署B(yǎng)IOS更新版。就Specter NG而言，這一切只會變得更糟，而不是更好。

 

一個基本的安全問題

 

總的來說，Specter-NG漏洞表明，Specter和Meltdown不是一次性差錯。它并不僅僅是用幾個補(bǔ)丁就能打上的簡單漏洞。確切地說，每解決一個問題，似乎會出現(xiàn)另外兩個問題。這歸咎于這個事實(shí)：在過去的二十年，在處理器開發(fā)領(lǐng)域，安全方面的考慮完全讓位于性能方面的考慮。

 

目前不知道Spectre這類漏洞的硬件問題的補(bǔ)丁何時不再發(fā)布。但沒完沒了的補(bǔ)丁并不是可以接受的解決方案。我們整個IT基礎(chǔ)設(shè)施的核心部件存在一個基本的安全問題，將來會導(dǎo)致更多問題，對這個事實(shí)你沒法不屑一顧。

 

當(dāng)然，英特爾需要盡快修復(fù)目前的漏洞，眼下它在這么做。然而與此同時，CPU設(shè)計(jì)需要從根本上重新考慮。德國公司Cyberus Technology的沃納•哈斯（Werner Haas）是Spectre/Meltdown的共同發(fā)現(xiàn)者之一，他認(rèn)為，完全有可能讓高性能處理器采用穩(wěn)固的安全設(shè)計(jì)。但是這需要一開始就為架構(gòu)考慮到安全方面。同樣披露Specter的保羅•科克（Paul Kocher）建議，設(shè)計(jì)額外的、采用特殊方法加固的CPU核心。借助威脅建模之類的方法，可以實(shí)施有風(fēng)險的技術(shù)，同時做到安全仍然可控制。

 

英特爾在1月初承諾“安全優(yōu)先”?，F(xiàn)在，該公司必須加強(qiáng)透明度，比如發(fā)布潛在薄弱環(huán)節(jié)的風(fēng)險分析。到目前為止，英特爾一直遵循“我們是專家，我們做得對”的觀念行事，依賴英特爾管理引擎和軟件防護(hù)擴(kuò)展之類的技術(shù)。說到我們IT基礎(chǔ)設(shè)施的核心部件，廠商再也不能拿含糊的承諾來搪塞我們了。