您的位置: 旅游网 > 社会

英特尔芯片曝高危漏洞这些系统装备统统中招

发布时间:2019-04-04 07:41:34

原标题:致命打击!英特尔芯片曝高危漏洞,这些系统装备统统中招 澎湃 杨鑫倢 实习生 安琪 一场由英特尔

原标题:致命打击!英特尔芯片曝高危漏洞,这些系统装备统统中招

澎湃 杨鑫倢 实习生 安琪

一场由英特尔芯片漏洞衍生出的安全问题,波及了全球所有桌面系统、电脑、智能及云计算服务器。

两个漏洞萌萌哒图

1月4日,国外安全研究机构公布了两组CPU漏洞:Meltdown(熔断)和Spectre(幽灵)。

虽然目前全球还没有发现利用漏洞进行的真实攻击,但理论上,这次曝出的漏洞让所有能访问虚拟内存的CPU都可能被人恶意访问,理应受保护的密码、应用程序密匙等重要信息因此面临风险。

从目前了解情况来看,1995年以来大部分量产的处理器均有可能受上述漏洞的影响,且触及大部分通用操作系统。虽然是英特尔为主,但ARM、AMD等大部分主流处理器芯片也遭到漏洞影响。相应的,采取这些芯片的Windows、Linux、macOS、Android等主流操作系统和电脑、平板电脑、、云服务器等终端设备都受上述漏洞的影响。

糟的是,英特尔公司本身没法采取固件升级的方式解决这1漏洞,导致微软、苹果等操作系统开发商各自寻求修补方法。

1月4日,中国国家信息安全漏洞同享平台(China National Vulnerability Database)收录了这两个漏洞,并对该漏洞的综合评级为高危。

随后各地络安全部门发出安全提示。1月5日,上海市信办向本市各关键信息基础设施主管和运营单位发出预警通报,要求各单位启动络安全应急预案,并采取应对措施。

络安全专家表示,虽然漏洞影响范围广泛,并引发全球关注,但受影响最大的主要是云服务厂商,对普通用户来讲,大可不必过于恐慌。

Q:漏洞是如何展开攻击的?

通常情况下,正常程序没法读取其他程序存储的数据,但恶意程序可以利用Meltdown和Spectre来获得存储在其他运行程序内存中的私密信息。

具体而言,据腾讯电脑管家安全团队的专家向澎湃介绍:利用Meltdown漏洞,低权限用户可以访问内核的内容,获得本地操作系统底层的信息;当用户通过浏览器访问了包含Spectre恶意利用程序的站时,用户的如账号、密码、邮箱等个人隐私信息可能会被泄漏;在云服务场景中,利用Spectre可以突破用户间的隔离,盗取其他用户的数据。

目前漏洞的验证代码(PoC)已公布,技术细节在此不作赘述。腾讯安全团队经过实际验证,漏洞可在Windows、Linux、Mac OS等操作系统下,成功读取任意指定内存地址的内容。

Q:漏洞的原理是什么?

这两组漏洞来源于芯片厂商为了提高CPU性能而引入的新特性。

现代CPU为了提高处理性能,会采用乱序履行(Out-of-Order Execution)和预测履行(Speculative Prediction)。乱序履行是指CPU并不是严格依照指令的顺序串行履行,而是根据相关性对指令进行分组并行履行,最后汇总处理各组指令执行的结果。预测履行是CPU根据当前掌握的信息预测某个条件判断的结果,然后选择对应的分支提早履行。

乱序履行和预测履行在遇到异常或发现分支预测毛病时,CPU会抛弃之前履行的结果,将 CPU的状态恢复到乱序履行或预测履行前的正确状态,然后选择对应正确的指令继续执行。这类异常处理机制保证了程序能够正确的履行,但是问题在于,CPU恢复状态时并不会恢复CPU缓存的内容,而这两组漏洞正是利用了这1设计上的缺点进行测信道攻击。

Q:惊天漏洞为什么隐藏这么久?

该漏洞至少2016年年初就已经被安全研究人员发现,但英特尔直到今年年初才终究承认这1漏洞。华尔街援用安全专家的话直指,英特尔在事件的表露方面做得乱七八糟。

2016年8月,在美国拉斯维加斯的Black Hat络安全大会上,两位研究者安德斯 福格(Anders Fogh)和丹尼尔 格拉斯(Daniel Gruss)演示了漏洞的初期迹象。福格在去年7月还就此发表博文,鼓励其他的研究者去展开调查。

与此同时,谷歌内部的安全研究团队Project Zero的雅恩 霍恩(Jann Horn)早已揭开该问题,并通知了英特尔。终究,来自全球各地的三个其他的研究团队就一样的问题联系英特尔,英特尔接着与他们一道交换和撰写论文。

但是这种芯片漏洞最少可追溯到2010年,带来这类漏洞的通用架构原则有几十年历史了。那为何英特尔没有更早发现漏洞呢?英特尔没有正面回应这1问题。

上海交通大学络空间安全学院孟魁博士表示,这次安全漏洞事件在这个时间点全面爆发可能有两个缘由,第一是英特尔的修复效力低下,进展过慢,引发业界的施压;第二是由于漏洞的信息泄漏时间太长可能将致使被攻击者利用。因此必须立即采取措施。

Q:目前有没有已报告的歹意攻击?

腾讯和360等安全厂商都表示,目前没有任何已知的利用这些漏洞进行攻击的案例被发现。

英国国家络安全中心表示,目前还没有证据表明Meltdown和Spectre正在被用来盗取数据,但攻击的本质使他们难以发觉。

360核心安全事业部总经理、Vulcan团队负责人郑文彬告知澎湃,攻击者虽可利用该漏洞窃取隐私,但没法控制电脑、提升权限或突破虚拟化系统的隔离。另外,该漏洞不能被远程利用,更没法像永久之蓝漏洞一样,在用户没有任何交互操作时就实现攻击。

腾讯安全专家表示,虽然漏洞细节和PoC已公然,但是并不能直接运用于攻击。漏洞运用于真实攻击还有许多细节问题需要解决,目前也没有一个稳定通用,同时可以造成明显严重后果(盗取账号密码等)的漏洞利用代码。

Q:漏洞修复情况如何?

根据英国卫报的说法,由于漏洞是芯片底层设计上的缺陷致使的,修复起来会非常复杂,同时难以完善修复。

郑文彬表示,CPU硬件的漏洞修复高难度, 仅通过CPU厂商进行安全更新(例如升级CPU微码)是没法解决这一问题,修复这些漏洞需要操作系统厂商、虚拟化厂商、软硬件分销商、浏览器厂商、CPU厂商一起协作并进行复杂且极为深入的修改,才能完全解决问题。

漏洞暴光以后,各家芯片厂商、操作系统厂商、浏览器厂商,和云服务厂商,都已先后作出回应,积极采取措施,发布安全公告,并及时推出减缓措施和修复补钉。

英特尔建议关注后续的芯片组更新、主板BIOS更新;针对Meltdown漏洞,Linux已发布了KAISER;macOS从10.13.2予以了修复;谷歌称已修复;Win10 Insider去年底修复;Win10秋季创意者更新发布了KB,将强迫自动安装;亚马逊AWS随后也公布了指点方案;对于难度更高的Spectre漏洞,各厂商目前也仍在攻坚中。

针对该漏洞,上海市信办采取了应急处置措施。1是密切跟踪该漏洞的最新情况,及时评估漏洞对本单位系统的影响。2是对芯片厂商、操作系统厂商和安全厂商等发布的补丁及时跟踪测试,在做好全面审慎的评估工作基础上,制定修复工作计划,及时安装。3是进一步加强关键信息基础设施络安全防护工作,加强络安全防护和威逼情报搜集工作,产生络安全事件及时向市信办报告。

Q:普通用户如何防范漏洞?

目前,民可以通过以下安全策略进行防护:

1、升级最新的操作系统和虚拟化软件补丁:目前微软、Linux、MacOSX、XEN等都推出了对应的系统补钉,升级后可以阻止这些漏洞被利用;

2、升级最新的浏览器补钉:目前微软IE、Edge和Firefox都推出了浏览器补钉,升级后可以阻挠这些漏洞被利用;

3、等待或要求你的云服务商及时更新虚拟化系统补钉;

4、安装安全软件。

腾讯安全专家表示,漏洞可造成的主要危害在于用浏览器访问了一个带有漏洞利用代码的页,致使敏感信息(账号密码等)泄漏。只要养成良好的上习惯,不轻易点击陌生人发来的链接,基本不会遭到漏洞影响。同时,浏览器针对漏洞发布的补钉和缓解措施简单有效,而且不会造成性能下降或兼容性问题,用户可以选择将浏览器升级到最新版本,从而避免遭到漏洞攻击。

Q:打补丁将致使CPU性能消耗30%的说法是真的吗?

修复程序本身的确存在诸多问题。

腾讯安全专家介绍,以Windows 10为例,微软于北京时间1月4日清晨紧急发布了1月份系统安全更新,但补钉存在明显的性能和兼容性的问题:一方面,更新可能会让受影响的系统性能下滑30%。另一方面,更新可能会致使部份软件(安全软件等)不兼容从而导致系统蓝屏。

不过根据腾讯安全团队的实际测试,性能问题对于普通用户来讲,影响并不大:只有在极端的测试下,才会出现明显的性能问题;而正常的使用进程中一般不会出现。

360郑文彬也表示,这类说法比较片面,30%的性能损失是在比较极端的专门测试情况下出现的。通常的用户使用情况下,特别在用户的电脑硬件较新的情况下(例如绝大部分在售的Mac电脑和笔记本、32位X86操作系统),这些补钉的性能损失对用户来说是几近可以疏忽不计。接下来包括微软、Intel在内的厂商还会进一步推出针对性的补钉,进一步下降补丁对性能的消耗。

但是腾讯安全团队提示,兼容性问题确切比较严重:在有安全软件,和一些游戏的电脑上,安装补钉比较容易出现蓝屏现象。这也使得众多安全厂商采取了比较守旧的策略,暂时不主动推送微软的补钉,避免造成用户电脑没法正常使用。 相干Tags:

治疗腹泻的小妙招
老年人怎样消除胃肠胀气
老人肠胀气的治疗方法
猜你会喜欢的
猜你会喜欢的