2018年伊始，整個(gè)IT界陷入了英特爾CPU漏洞帶來(lái)的恐慌之中。

　　Google旗下的Project Zero團(tuán)隊(duì)發(fā)現(xiàn)了英特爾CPU存在兩大嚴(yán)重漏洞：Spectre(幽靈)和Meltdown(熔斷)。漏洞是因?yàn)橄忍煨缘募軜?gòu)設(shè)計(jì)缺陷所導(dǎo)致，可以讓非特權(quán)用戶訪問(wèn)系統(tǒng)內(nèi)存從而讀取敏感信息。換句話說(shuō)，黑客可以通過(guò)這兩個(gè)漏洞竊取計(jì)算機(jī)內(nèi)的全部?jī)?nèi)存內(nèi)容。

　　緊接著業(yè)界人士發(fā)現(xiàn)，受影響的不僅僅是英特爾，還有AMD和ARM。由于這三者在處理器市場(chǎng)上有著非常高的份額，意味著無(wú)論是Windows、Linux、Mac系統(tǒng)還是移動(dòng)端的Android，都存在潛在的安全威脅，其中以英特爾芯片受影響最為嚴(yán)重。

　　這次“史詩(shī)級(jí)”CPU“漏洞門”危機(jī)全球。在中國(guó)，上海、天津等地的網(wǎng)信辦部門已經(jīng)發(fā)出預(yù)警通報(bào)，要求相關(guān)單位啟動(dòng)網(wǎng)絡(luò)安全應(yīng)急預(yù)案，并采取應(yīng)對(duì)措施。

　　專家認(rèn)為，此次“漏洞門”對(duì)云服務(wù)廠商造成較大影響，而對(duì)個(gè)人影響較小，安裝補(bǔ)丁后，性能損失有限。不過(guò)因?yàn)閼?yīng)對(duì)及時(shí)，業(yè)內(nèi)人士對(duì)這一事件均保持樂(lè)觀態(tài)度。

　　云服務(wù)廠商受影響較大

　　云服務(wù)提供商通常大量依賴虛擬化技術(shù)，很多云服務(wù)主機(jī)實(shí)際上是將每個(gè)CPU線程通過(guò)虛擬機(jī)的形式出租出去。比如通過(guò)虛擬機(jī)，可以在一臺(tái)計(jì)算機(jī)上虛擬出十幾臺(tái)互相可以獨(dú)立操作的計(jì)算機(jī)系統(tǒng)。“過(guò)高依賴CPU內(nèi)核的虛擬化技術(shù)和主要以訪問(wèn)外部I/O(輸入輸出)設(shè)備為主的使用場(chǎng)景，使得在此次的安全風(fēng)險(xiǎn)中，云服務(wù)廠商受到的影響較大。”業(yè)內(nèi)人士趙曉峰(化名)說(shuō)道。

　　那么具體是如何影響的呢？趙曉峰打比方說(shuō)：“我拿著假的錄取通知書去拿宿舍鑰匙，我雖然會(huì)被發(fā)現(xiàn)是假冒的，但是在這一過(guò)程中，我會(huì)發(fā)現(xiàn)相應(yīng)學(xué)號(hào)對(duì)應(yīng)的相應(yīng)宿舍。這樣，我就能推測(cè)出不同專業(yè)的學(xué)生住在哪了。”

　　也就是說(shuō)，利用Meltdown漏洞，低權(quán)限用戶可以訪問(wèn)內(nèi)核的內(nèi)容，獲取本地操作系統(tǒng)底層的信息；當(dāng)用戶通過(guò)瀏覽器訪問(wèn)了包含Spectre惡意利用程序的網(wǎng)站時(shí)，用戶的個(gè)人隱私信息可能會(huì)被泄露。

　　個(gè)人信息的泄露尚且有限，對(duì)于搭載英特爾芯片的企業(yè)用戶而言，若是商業(yè)機(jī)密遭泄露，那無(wú)疑是致命的。在云服務(wù)場(chǎng)景中，利用Spectre漏洞可以突破用戶間的隔離，竊取其他用戶的數(shù)據(jù)。“云服務(wù)中的用戶隔離是云安全的基石，Spectre漏洞突破云服務(wù)中用戶隔離的能力可以對(duì)云服務(wù)產(chǎn)生致命的危害。”騰訊安全玄武實(shí)驗(yàn)室負(fù)責(zé)人于旸解釋道。

　　目前國(guó)內(nèi)云服務(wù)廠商反應(yīng)相當(dāng)迅速，紛紛在第一時(shí)間拿出解決方案。阿里云表示，解決該安全隱患的完整修復(fù)方案包含兩個(gè)部分，一是云平臺(tái)虛擬化宿主機(jī)修復(fù)，二是客戶側(cè)的操作系統(tǒng)更新。目前，阿里云已經(jīng)啟動(dòng)了云平臺(tái)底層基礎(chǔ)架構(gòu)的漏洞修復(fù)更新，最遲于北京時(shí)間1月12日24點(diǎn)之前完成。百度云方面對(duì)《IT時(shí)報(bào)》記者表示，在發(fā)現(xiàn)問(wèn)題的第一時(shí)間啟動(dòng)應(yīng)急措施，積極推進(jìn)漏洞修復(fù)。“對(duì)于虛擬機(jī)系統(tǒng)，根據(jù)各個(gè)系統(tǒng)的osvc(智能桌面虛擬化)，廠商做的修復(fù)及時(shí)更新，用戶只需要及時(shí)更新補(bǔ)丁即可。云平臺(tái)的物理機(jī)層面，將于2018年1月12日零點(diǎn)進(jìn)行熱修復(fù)升級(jí)。”百度云方面稱。

　　騰訊、華為、金山、微軟、京東等云服務(wù)廠商均發(fā)布了相關(guān)通知，進(jìn)行平臺(tái)安全升級(jí)。不過(guò)業(yè)內(nèi)人士認(rèn)為，為了防御這兩組漏洞，云廠商需要更新硬件設(shè)備，升級(jí)操作系統(tǒng)，這必將帶來(lái)服務(wù)成本的上升。

　　攻擊案例尚未發(fā)生

　　雖然英特爾的CPU漏洞已經(jīng)存在20年之久，影響面十分廣泛，但是截至目前，尚未發(fā)現(xiàn)相關(guān)攻擊案例。

　　于旸表示，這是因?yàn)榘l(fā)起攻擊的難度比較大，“由于此漏洞是CPU硬件級(jí)別的，對(duì)這類漏洞的研究需要很深的專業(yè)知識(shí)，門檻比一般的軟件應(yīng)用漏洞挖掘要高很多。同時(shí)由于這兩組漏洞只會(huì)造成信息泄露，不依靠其他漏洞很難發(fā)起完整的遠(yuǎn)程攻擊。”

　　“側(cè)信道攻擊(英特爾將此次被利用漏洞的攻擊稱為測(cè)信道攻擊Side Channel attack)其實(shí)不是現(xiàn)在才有的，但CPU漏洞無(wú)疑提高了被攻擊后的風(fēng)險(xiǎn)，使攻擊者獲得更多數(shù)據(jù)。但是這一切的前提是，之前一系列操作都沒(méi)有被安全軟件和系統(tǒng)安全機(jī)制甚至硬件安全機(jī)制察覺(jué)，這本身也是很難的。”趙曉峰說(shuō)道。

　　攻擊案例尚未發(fā)生的另一方面原因在于，很多人未意識(shí)到芯片設(shè)計(jì)存在漏洞，或者不認(rèn)為這是漏洞。

　　趙曉峰表示：“在過(guò)去，英特爾不認(rèn)為Meldtown是漏洞，但現(xiàn)在被認(rèn)為是漏洞。Spectre可以認(rèn)為是，過(guò)去大家都不覺(jué)得這是漏洞而現(xiàn)在是漏洞的漏洞。”

　　這樣的例子在IT史上并不少見，比如計(jì)算機(jī)語(yǔ)言中有“二分法”查找思想，于1946年提出，1962年被認(rèn)為無(wú)誤，但是在10年前推翻了這一說(shuō)法。“同理，分支預(yù)測(cè)和亂序執(zhí)行的思想(導(dǎo)致Spectre漏洞)也經(jīng)歷了提出、論證成功、不斷改進(jìn)、大規(guī)模使用到現(xiàn)在發(fā)現(xiàn)漏洞，這是一個(gè)長(zhǎng)期的過(guò)程，或許10年后我們還會(huì)發(fā)現(xiàn)今天認(rèn)為沒(méi)錯(cuò)的設(shè)計(jì)，是一個(gè)漏洞。”

　　對(duì)個(gè)人用戶影響有限
　　比起安全方面的危害，更多企業(yè)和個(gè)人用戶擔(dān)心的是修補(bǔ)漏洞帶來(lái)的“30%”的性能損失。不過(guò)對(duì)于“30%性能損失”的說(shuō)法，英特爾方面予以了否認(rèn)。同時(shí)，蘋果、微軟、亞馬遜和Google的測(cè)試結(jié)果也都表明系統(tǒng)更新不會(huì)對(duì)性能造成太大影響。

　　“最初的性能損失評(píng)估是針對(duì)Meltdown漏洞，通過(guò)設(shè)立用戶權(quán)限和內(nèi)核權(quán)限的頁(yè)表隔離，因?yàn)檫@樣一旦用戶對(duì)內(nèi)核進(jìn)行訪問(wèn)，就會(huì)受到嚴(yán)格的頁(yè)表檢查，換句話，權(quán)限的檢查被提前了，這樣導(dǎo)致某些應(yīng)用下性能會(huì)下降，尤其是虛擬機(jī)，因?yàn)槭峭ㄟ^(guò)應(yīng)用程序借助CPU虛擬化技術(shù)虛擬一個(gè)新的計(jì)算機(jī)系統(tǒng)，這被推測(cè)有大量?jī)?nèi)核與用戶數(shù)據(jù)之間的訪問(wèn)，而這類應(yīng)用估計(jì)會(huì)有5%-30%的損失。”趙曉峰說(shuō)道。

　　趙曉峰對(duì)英特爾酷睿i77700HQ處理器在更新補(bǔ)丁前后進(jìn)行了一些測(cè)試，包括使用sisoftware 2017的內(nèi)存事務(wù)性測(cè)試，。net公共虛擬機(jī)語(yǔ)言環(huán)境的算術(shù)和SIMD測(cè)試(廣義虛擬機(jī)下的計(jì)算測(cè)試)，內(nèi)存與緩存帶寬測(cè)試和在Android studio上使用虛擬設(shè)備運(yùn)行安兔兔的測(cè)試，“目前來(lái)看，個(gè)人電腦無(wú)需擔(dān)心，除了安兔兔有一兩項(xiàng)有明顯影響外(原因還不能確定是補(bǔ)丁影響)，總體沒(méi)有明顯的性能變化。”

　　對(duì)于IT行業(yè)而言，業(yè)內(nèi)專家張攀表示“性能損失不是一件壞事”，CPU架構(gòu)的發(fā)展都是緣起于如何解決問(wèn)題。當(dāng)前CPU架構(gòu)已許久沒(méi)有創(chuàng)造性地改造，這個(gè)問(wèn)題有可能成為CPU架構(gòu)更新的契機(jī)，推動(dòng)CPU的進(jìn)步，從而造福IT產(chǎn)業(yè)。