英特爾芯片漏洞波及甚廣亡羊補牢效果待檢

本刊記者│孫永杰

目前，科技行業中討論最熱烈的事件就是由英特爾處理器設計缺陷引發的一系列漏洞，而作為2018年的首個大新聞，這次被曝出的芯片級漏洞波及范圍之廣、程度之深是業內始料未及的。

1月4日，國外安全研究機構公布了兩組CPU漏洞：Meltdown（熔斷）和Spectre（幽靈）。從目前披露的信息看，1995年以來大部分量產的處理器均有可能受上述漏洞的影響，且涉及大部分通用操作系統。雖然是英特爾為主，但ARM、AMD等大部分主流處理器芯片也受到漏洞影響。相應的，采用這些芯片的Windows、Linux、MacOS、Android等主流操作系統的電腦、平板電腦、手機、云服務器等終端設備也在其中。

英特爾首當其沖漏洞波及幾乎所有架構芯片

此次被公布的漏洞是谷歌的 Project Zero 團隊在去年發現的。這兩個漏洞被稱為Meltdown和Spectere，英特爾在電話會議上將其正式定名為“旁路分析利用”漏洞。這些漏洞允許惡意程序從其它程序的內存中竊取信息，這意味著惡意程序可以竊取密碼、賬戶信息、加密密鑰或理論上存儲在進程中的任何內容。

其中，Meltdown可以影響英特爾的處理器，它打破了用戶應用程序和操作系統之間最基本的隔離。這種攻擊允許程序訪問其它程序和操作系統的內存，很可能導致數據泄露。而Spectre除了影響英特爾的處理器外，還能影響 AMD 和 ARM 架構的處理器，也就是說，智能手機等設備也可能受到影響。

事實的確如此，繼承認不安全的內存漏洞會影響數以百萬計的英特爾處理器后，ARM近日也證實，許多Cortex系列處理器也存在漏洞，而眾所周知的事實是，ARM的Cortex被用于各種各樣的Android和iOS設備以及部分Nvidia Tegra產品、高通驍龍芯片以及索尼的PlayStation Vita上。

鑒于ARM Cortex技術被廣泛授權應用于不同品牌的芯片，為此拿出受影響詳盡設備清單幾乎是不可能的。需要說明的是，目前還不清楚蘋果的A系列芯片設計是否避免了這些漏洞，包括定制的Cortex芯片和后來蘋果公司內部開發的處理器。

發布更新90%英特爾芯片漏洞已修復

面對上述漏洞，據悉，英特爾已經針對過去5年中推出的大多數處理器產品發布了更新。而在CES期間的專題演講中，英特爾 CEO Brian Krzanich（科再奇）也就近段時間在全球掀起軒然大波的Meltdown和Spectre兩個安全漏洞予以了回應。他表示，受影響的英特爾處理器產品，在本周內修復更新將覆蓋到90%的近5年產品（上溯到2代或者3代酷睿），剩下的10%也會在1月底前修復。

至于業內擔心的修復后芯片性能下降的說法，英特爾方面表示，這些更新對不同工作負載的性能影響會有不同。對于一般的計算機用戶來說，影響并不顯著，而且會隨著時間的推移而減輕。雖然對于某些特定的工作負載，軟件更新對性能的影響可能一開始相對較高，但采取進一步的后續優化，包括更新部署后的識別、測試和軟件更新改進，應該可以減輕這種影響。系統更新程序可通過系統制造商、操作系統提供商和其他相關廠商獲得。

對于此次事件，芯片業內人士告訴記者：“從整體事件前后發展來看，英特爾處理器存在安全漏洞是正常的，只不過專注這行的行業內部都知曉。這個漏洞至少在半年前就被英特爾、微軟、谷歌等廠商知曉并在修復中，并且近期就會準備詳細的漏洞報告和更新，英特爾沒料到的是有媒體提前曝光了。”

“漏洞雖然可以通過系統OS層面的補丁修復，但是會影響性能，而解決問題的根本還是要升級處理器。”該業內人士補充道。

至于ARM架構處理器的漏洞，實際上，基于特定的芯片和操作系統，保護基于ARM技術的設備需要不同的方法。據相關報道，ARM正在指導Android和“其他操作系統”用戶從其設備的操作系統提供商處尋找補丁，同時為Linux提供ARM開發的“軟件措施”。谷歌已經發布了Android產品補丁，但其他Android設備正在等待供應商的補丁。蘋果尚未公開說明哪些設備受到影響，也未公布共享的解決方案。如果iOS設備受到影響，蘋果可能通過軟件更新提供補丁，但其對性能的影響還不得而知。