Meltdown与Spectre漏洞：保护系统的8大关键洞见

全球几乎所有计算机和设备暴露于安全漏洞，易受攻击。幸好迄今未报告信息泄露，但发现的Bug可被视为处理器最严重安全缺陷之一。

下文涵盖此Bug几乎所有方面（技术及业务）。了解确切发生何事。

1. 什么是缺陷？

有两个相似安全Bug，命名Meltdown和Spectre。

Meltdown： 影响运行Intel处理器台式机、笔记本和服务器硬件漏洞。打破操作系统和用户应用根本隔离，允许程序访问内存从而窃取其他程序秘密。

具体说，Meltdown利用现代芯片乱序执行副作用读取任意内核内存位置。攻击不依赖任何操作系统或软件漏洞。

设备受影响后，Meltdown可无特权或用户权限读取云中其他进程或虚拟机内存，影响几乎每个PC用户。

Spectre： 影响范围更广。影响Intel、AMD和ARM处理器驱动的计算机、平板和智能手机。可打破不同应用间隔离，使攻击者诱导无错程序泄露私有数据。

Spectre利用几乎所有现代芯片“投机执行”。诱骗处理器投机执行正确程序执行期间不应执行指令序列。

除通过原生代码违反进程隔离边界，Spectre攻击也可用于浏览器运行JavaScript代码访问攻击者进程内存。

两者都利用侧信道从访问内存位置提取数据。对比两者，Spectre较Meltdown难利用，但也更难缓解。

2. 何种信息面临风险？

这些Bug可泄露浏览器或密码管理器密码、按键、即时消息、邮件、个人照片和业务关键数据。

3. 哪些系统受影响及影响多大？

如前所述，Meltdown缺陷仅适用Intel处理器（非AMD或ARM）。研究者测试早至2011年发布CPU。理论上，1995年后发布每个Intel处理器均为目标。Intel认为这些缺陷无潜力修改、损坏或擦除信息。

Spectre缺陷更糟，可危害所有运行Intel、AMD和ARM处理器设备。且视云提供商设计和基础设施，可能从其他客户窃取敏感数据。LXC、Docker和OpenVZ等服务面临风险。

若您好奇设备是否受这些Bug影响，答案大概率是肯定。

4. 如何保护计算机？

所有受影响公司尽快发布补丁。幸运的是，Meltdown有软件补丁。Google、Microsoft和Mozilla发布浏览器补丁作为第一防线。

快速步骤：

1. 更新最新版Chrome（1月23日发布）和Firefox 57。
2. 确保安装Windows 10 KB4056892。
3. Linux用户可查看KAISER。
4. 检查OEM网站固件更新和支持信息并快速应用。

Google称已用最新安全更新修复其Android设备（Nexus和Pixel）问题。

研究者也在致力永久解决方案对抗未来Spectre利用。因难修复，将困扰一段时间。

5. 修复会拖慢设备吗？

不幸的是，答案是肯定。少数研究者称任何修复可能拖慢设备达30%。但Intel认为仅高估说法。据Intel，性能影响取决工作负载；普通电脑用户影响不显著。

即，若用电脑查邮件浏览网页，不会体验差异。

6. 科技行业和市场如何反应？

这些可能是发现最糟糕处理器Bug，对所有科技行业巨大交易。需重新设计操作系统和调整处理器架构。

Google称2017年6月通知受影响公司Spectre Bug，后7月告知Meltdown Bug。

2017年11月，Intel CEO Brian Krzanich抛售2400万美元股票。BusinessInsider报道他售股时知晓芯片漏洞。

这些Bug重创Intel股价，竞争对手AMD股价飙升。

因Spectre和Meltdown揭示计算机处理器结构根本缺陷，未来将严重影响并重新思考此类技术开发方式。

7. 谁报告这些Bug？

Meltdown缺陷由3团队发现报告——Cyberus Technology、格拉茨技术大学和Google Project Zero研究者。

同Google Project Zero和格拉茨技术大学研究者发现报告Spectre。

8. 官方参考

CVE（通用漏洞披露）是信息安全漏洞标准，名称和ID列在MITRE系统和美国国家漏洞数据库。

Meltdown官方参考CVE-2017-5754，Spectre为CVE-2017-5715和CVE-2017-5753。