文/水哥

當(dāng)今年3月英特爾躊躇滿志向業(yè)界宣布，通過(guò)重塑芯片架構(gòu)輔以軟件修復(fù)，加上整個(gè)行業(yè)的通力合作，他們完全有能力徹底解決芯片史上最大危機(jī)——足以令計(jì)算機(jī)算力倒退十年的史詩(shī)級(jí)處理器漏洞Meltdown（熔斷）和Spectre（幽靈）之后，整個(gè)業(yè)界度過(guò)了一段平靜的時(shí)期。但是事情遠(yuǎn)未結(jié)束。

5月21日，微軟和谷歌共同披露了“熔斷”和“幽靈”漏洞的新變種，目前被標(biāo)記為變體3A（CVE-2018-3640）和變體4（CVE-2018-3639）。新漏洞的特征與此前發(fā)現(xiàn)的變體1-3相似，屬于中央處理器側(cè)信道硬件漏洞新變種。

根據(jù)描述，變體3A可允許具有本地訪問(wèn)權(quán)的攻擊者通過(guò)側(cè)信道分析，推測(cè)性地讀取系統(tǒng)參數(shù)并獲得敏感信息。變體4則利用一種叫作“旁路推測(cè)”的漏洞，允許攻擊者讀取CPU堆?；騼?nèi)存其他位置中較舊的內(nèi)存值，從而獲得特殊權(quán)限。

新漏洞被發(fā)現(xiàn)后，在對(duì)抗“芯片門(mén)”威脅的防御陣營(yíng)中，大旗高舉的聯(lián)盟盟主英特爾率先做出反應(yīng)。英特爾公司執(zhí)行副總裁兼產(chǎn)品安全部門(mén)經(jīng)理萊斯莉?克柏森于21號(hào)漏洞公布后晚些時(shí)間在自家公司網(wǎng)站博客上針對(duì)變體3A和變體4作了應(yīng)對(duì)說(shuō)明。

英特爾認(rèn)為，像其他GPZ變體一樣，變體4利用大多數(shù)現(xiàn)代處理器架構(gòu)的通用功能即推測(cè)執(zhí)行，可通過(guò)側(cè)信道暴露某些敏感數(shù)據(jù)。盡管目前尚未發(fā)現(xiàn)攻擊案例，但經(jīng)測(cè)試，這種攻擊最可能的用法就是利用網(wǎng)頁(yè)瀏覽器中的相關(guān)技術(shù)，比如JavaScript。

從今年1月開(kāi)始，大多數(shù)瀏覽器提供商為應(yīng)對(duì)變種1部署了緩解措施，這些措施事實(shí)上也適用于變種4。但是為了防止不可預(yù)見(jiàn)的“特殊意外”，英特爾與行業(yè)合作者仍將提供專(zhuān)門(mén)應(yīng)對(duì)變種4的微碼和軟件更新?？税厣窟€提及測(cè)試版的變種4微碼更新啟用后，對(duì)CPU的整體性能將有2%—8%的影響。

通過(guò)英特爾的聲明，加上我們回顧今年3月柯再奇聲稱(chēng)將推出硬件/架構(gòu)級(jí)改進(jìn)的處理器芯片，從而完全隔斷“熔斷”和“幽靈”漏洞釀成的安全威脅。由此可知，“芯片門(mén)”的影響要被徹底根除并非易事，在理想意義上的完全新架構(gòu)的現(xiàn)代處理器芯片被大規(guī)模生產(chǎn)制造、部署市場(chǎng)之前，用戶仍需在算力/性能與信息安全之間做出權(quán)衡，且這已經(jīng)成為一個(gè)無(wú)法避免的事情。

“熔斷”和“幽靈”同時(shí)影響1995年之后除2013年之前安騰、凌動(dòng)之外的全系英特爾處理器，后者還影響了AMD、ARM、英偉達(dá)的芯片產(chǎn)品，幾乎波及整個(gè)計(jì)算世界。操作系統(tǒng)方面包括Windows、Linux、Mac OS、Android無(wú)一幸免?？萍计髽I(yè)重災(zāi)區(qū)還有微軟、亞馬遜、谷歌、FB這類(lèi)云計(jì)算大戶。影響史無(wú)前例，堪稱(chēng)史詩(shī)級(jí)漏洞實(shí)至名歸。

在此番情形之下，“犧牲一部分算力以換取信息安全”似乎已成為業(yè)界共識(shí)，這并非妥協(xié)，而是權(quán)宜之計(jì)。我們還了解到，21號(hào)當(dāng)天AMD、ARM、微軟、紅帽等芯片和操作系統(tǒng)商也對(duì)變體3A和變體4新漏洞做出回應(yīng)，目前暫時(shí)仍沿用對(duì)應(yīng)變種1—3的微碼更新與措施，新的軟件修復(fù)預(yù)計(jì)在一周內(nèi)抵達(dá)。

另外，這場(chǎng)史上規(guī)模最大芯片安全防御戰(zhàn)的重頭戲——英特爾號(hào)稱(chēng)架構(gòu)級(jí)改進(jìn)的硬件防御體系，代號(hào)Cascade Lake的下一代至強(qiáng)處理器以及第8代酷睿處理器將于今年下半年晚些時(shí)候救場(chǎng)。屆時(shí)對(duì)算力的挽回，還有對(duì)新變種的隔斷效果，有待目睹。

文/水哥 IT評(píng)論、業(yè)界分析，不一而足。微信公眾號(hào)：qq133991