广告

Meltdown和Spectre来袭:多家处理器厂商的应对之道

2018-01-05 赵娟 阅读:
这波漏洞突如其来,看起来是一场波及21世纪以来所有计算设备的超级大灾难,包括Intel、AMD、ARM 等主要 CPU 大厂相继曝出重大处理器漏洞,且可能会造成敏感数据外泄,而引发轩然大波。

这两天,包括Intel、AMD、ARM 等主要 CPU 大厂相继曝出重大处理器漏洞,且可能会造成敏感数据外泄,而引发轩然大波。几乎可以肯定,所有PC系统和智能手机都受到漏洞影响。目前针对Meltdown:Linux、Windows和macOS都已经采取了补丁措施,对应最新OS版本的补丁都已经到位;但对于Spectre:暂时还没有明确的解决办法和防护措施。uhIednc

美国计算机网络应急中心(CERT)也罕见大动作发出漏洞通告,并提出警告,认为此漏洞将可能导致旁路攻击带来重大安全风险,建议用户除了及时更新系统外,最好能全部换掉受影响的 CPU ,改用其他没有安全风险的 CPU 。uhIednc

CERT 还列出目前经已证实受影响的 CPU 厂牌和主要 OS 厂商:uhIednc

026ednc20180105uhIednc

美国 CERT 中心表示,这次出现的 CPU 漏洞,主要是由于 CPU 架构设计缺陷所造成的,可能导致出现Meltdown(熔断)和Spectre(幽灵)两个漏洞的旁路攻击。别有用心的攻击者能够以用户权限执行代码,从而造成各种影响,例如读取受保护的内核内存和绕过 KASLR 。uhIednc

027ednc20180105
图:Meltdown漏洞直接打破核心内存的保护机制,允许恶意代码直接访问这块敏感内存;Spectre漏洞则通过篡改其他应用程序的内存,欺骗它们去访问核心内存的地址。它们的目的都是获取核心内存里储存的敏感内容,只是实现的手段稍有差别。uhIednc

于是到了各家 CPU 厂商发文公关的时候了,EDN电子技术设计整理了各大厂商的说法:uhIednc

ARM:多型号手机中枪需补丁

ARM在官网上列出了受漏洞影响的处理器产品,包括 Cortex R7、R8、A8、A9、A15、A17、A57、A72、A73、A75 。uhIednc

其中A8,A9,A15处理器被用于老款苹果iOS、Nvidia Tegra、三星Exynos设备以及索尼的PlayStation Vita上,过去5年间,它们也出现在某些谷歌品牌手机和其他使用高通骁龙芯片的手机上。uhIednc

ARM正在指导Android和“其他操作系统”用户从其设备的操作系统提供商处寻找补丁,同时为Linux提供ARM开发的“软件措施”。谷歌已经发布了Android产品补丁,但其他Android设备正在等待供应商的补丁。uhIednc

Intel:下周末前更新90%的产品

Intel发文澄清,此次漏洞并没有媒体报导的那么严重,虽然可能会导致敏感资料外泄,但用户保存的数据,并不会因此遭到恶意破坏、修改或删除。uhIednc

在最新的公告中,Intel称目前已经发布了过去五年内推出的大多数处理器产品的更新,到下周末预计将完成过去五年内推出的处理器产品中 90% 的产品更新发布。Intel坚持认为,这些更新对性能的影响很大程度上取决于工作负载,对于一般计算机用户来说影响不大。uhIednc

另外,Intel的官方声明里确认,打Meltdown补丁会产生性能损失,幅度暂时不能确定,不过在较老的CPU上,性能倒退会更加明显。视工作负载的种类不同,这个幅度可能能忽略不计,也可能会严重到直接减半。uhIednc

苹果:OS已更新,没有受攻击实例

苹果也发布声明,确认所有 Mac 和 iOS 设备都受到 Meltdown 和 Spectre 漏洞影响,但目前还没有已知的客户受攻击实例。uhIednc

目前,苹果已经发布 iOS 11.2、macOS 10.13.2 和 tvOS 11.2 版本更新,以修复漏洞。同时,Safari 的相关也会尽快发布,以解决 Spectre 漏洞带来的影响。uhIednc

这份声明没有清楚说明老版本的 iOS 和 Mac 中是否已经解决 Meltdown 和 Spectre 带来的问题。但是,由于macOS 10.13.2 新版本发布时,也发布了旧版 macOS 的安全更新,因此 Sierra 和 El Capitan 的修复方案也指日可待。 苹果表示,即将发布的 Safari 修复方案不会对 Speedometer 和 ARES-6 测试“可测量的影响”,且对 JetStream benchmark 的影响也不到2.5%。uhIednc

AMD:俺家架构没漏洞

AMD坚持自家采用的是和其他家不同的架构设计,预设就不允许记忆体参照,可防止较低权限模式存取较高权限的资料,因此能免于这波处理器漏洞的攻击。在特定条件下,自家 CPU 遭到漏洞攻击的风险为零。uhIednc

谷歌:俺家大部分产品不受影响

谷歌声程在去年就发现了被称作 Meltdown 和 Spectre 的漏洞,并迅速通知了 Intel,AMD 和 ARM。不过 Meltdown 已经在 macOS,Linux 和 Windows 上被修复,而 Spectre 则无解。不过谷歌表示自己旗下的产品基本不会受到漏洞影响。uhIednc

Android方面,谷歌表示 Meltdown 和 Spectre 很难对现有的主流 Android 设备构成影响;Chrome方面,当前的 Chrome 63 已经包含一个成为“站点隔离”的功能,会强迫每个网站独立储存自己的数据,不过也显著增加了 Chrome 的内存占用率;基于 Intel 的 ChromeOS,只要正在使用 3.18 或者 4.4 Linux 内核的都已经收到了保护;基于 ARM 架构的 Chromebook 则无需担心这些问题。uhIednc

至于谷歌的其他产品,比如 Google Home,Google Wi-Fi 以及 OnHub 路由器都不会受到漏洞影响;而在线服务,比如 Blogger,YouTube 和搜索引擎等,已经受到了保护。专业和企业工具,比如 Cloud Datalab 和 Compute Engine 都已经被修复,但是终端用户也需要同时更新自己的产品。uhIednc

小结:

这波漏洞突如其来,看起来是一场波及21世纪以来所有计算设备的超级大灾难,但因为它的发现和应对都在可控制的环境内发生,所以尚无社会的攻击损失报告出现。尽管 Meltdown 和 Spectre 漏洞信息是本周才曝出的,但是英特尔、苹果、Linux 和微软等主要操作系统厂商在几个月前就已经知道这些问题了,并已提前为漏洞修复做了准备。uhIednc

EDN编辑分析,其被利用的风险还是很低的,攻击方法还是依赖于本地运行的恶意软件,只要用户保持软件及时更新、不要点击可疑的链接或下载可疑软件,基本没什么事。uhIednc

20160630000123uhIednc

本文为EDN电子技术设计 原创文章,禁止转载。请尊重知识产权,违者本司保留追究责任的权利。
赵娟
ASPENCORE中国区总分析师
  • 微信扫一扫
    一键转发
  • 最前沿的电子设计资讯
    请关注“电子技术设计微信公众号”
您可能感兴趣的文章
相关推荐
    广告
    近期热点
    广告
    广告
    广告
    可能感兴趣的话题
    广告
    向右滑动:上一篇 向左滑动:下一篇 我知道了