英特尔芯片两年三起严重安全漏洞，2011年以后几无幸免

shuszhao

美国时间5月14日，安全研究人员在英特尔芯片中发现了一种新的漏洞，如果利用这种漏洞，可以直接从处理器中窃取敏感信息。
美国时间5月14日，安全研究人员在英特尔芯片中发现了一种新的漏洞，如果利用这种漏洞，可以直接从处理器中窃取敏感信息。

还记得2018年初英特尔爆出的严重漏洞“熔断（Meltdown）”和“幽灵（Spectre）”吗？它们利用了英特尔处理器中推测执行处理的这一弱点，给黑客进行伪装，骗过系统的检测，最终达到调取资源的目的。

007ednc20190515

Meltdown和Spectre都泄露了存储在处理器中的敏感数据，包括密码、密钥和账户令牌等机密信息。现在，之前发现上述两种漏洞的同一拨研究人员再度公布了一轮全新的关于英特尔芯片的数据漏洞。

芯片设计缺陷导致的漏洞
“ZombieLoad”这个名称原意为“僵尸负载”，漏洞根源在于“预测执行（speculative execution）”和“乱序执行（out-of-order execution）”。研究人员表示，“ZombieLoad”将泄漏处理器核心当前加载的所有数据。对此，英特尔回复称，微码的补丁将有助于清除处理器的缓冲区，防止数据被读取。

与之前那的“熔断”和“幽灵”相类似，其也是由芯片设计缺陷导致，是一个针对英特尔芯片的侧信道攻击类型。黑客能够有效地利用该设计缺陷，而不是注入恶意代码。更可怕的是，英特尔表示，“ZombieLoad”实际上由四个漏洞组成，研究人员在一个月前向芯片制造商报告了这些漏洞。

实际上，研究人员在一个概念验证视频中表明，可以利用这些漏洞来查看一个人正在实时访问哪些网站，甚至可以很容易地重新利用这些网站来获取用于登录受害者在线的密码或访问令牌账户。

像“Meltdown”和“Spectre”一样，受“ZombieLoad”影响的PC和笔记本电脑其云端也极易受到攻击。“ZombieLoad”可以在虚拟机中触发，并打破虚拟机与其他虚拟系统及其主机设备之间原有的隔离状态。

发现了最新一轮芯片缺陷的研究人员之一丹尼尔•格鲁斯(Daniel Gruss)称，它的工作原理“就像”是在PC上工作，但可以从处理器读取数据的第三方应用程序。这可能是导致云环境中出现安全风险的一个主要问题，这终会导致不同客户的虚拟机在同一服务器硬件上运行。

据了解，“ZombieLoad”几乎对最早可以追溯到2011年使用英特尔芯片的计算机都会造成影响。另一边，搭载了AMD和ARM芯片的电脑则不会像英特尔那样易受攻击。

漏洞暂无影响，无需恐慌
那么，此次漏洞究竟会对搭载英特尔芯片的电脑设备造成多大影响呢？对此，安全人员回复，我们目前尚未整理出针对“ZombieLoad”的详细研究报告，我们不排除有最坏的可能性，但现阶段还没有追踪到具体执行过攻击的痕迹。

“对于大多数人来说，现阶段大可不必恐慌。”

研究人员表明，此次漏洞属性并不是攻击者可以立即接管你计算机的驱动攻击。格鲁斯表示，用“ZombieLoad”执行攻击的门槛较高，通俗来讲它“比幽灵执行起来更容易”，但“比熔断执行起来更难”——即两者都需要一套特定的技能和努力才能真正用于攻击。

009ednc20190515

安全研究人员展示用 ZombieLoad 漏洞实时监视用户所浏览的网页 (来源：zombieloadattack.com）

“但是，如果利用代码是在应用程序中编译的，或者是作为恶意软件传递的，攻击者就可以发动攻击，”他补充道。

实际上，要侵入电脑并窃取数据，还有更简单的方法。目前对投机性执行和侧信道攻击的研究仍处于起步阶段，随着更多的发现浮出水面，数据窃取攻击有可能变得更容易利用和更精简。

因此，一旦有与任何漏洞相关的可用补丁，请一定要安装它们。

打补丁堵漏洞，但处理器性能可能下降
目前，英特尔已经放出了漏洞补丁，将联合电脑 OEM 厂商推送微码更新（MCU），部分受影响的处理器性能将会略微下降（1% - 19% 不等）。

由于“ZombieLoad”漏洞是由英特尔公司和第三方安全研究公司联合公布的，按照业界惯例，他们会提前通知各大设备厂商，给他们充足的时间开发补丁。因此，微软、苹果、谷歌和亚马逊等公司也都发出公告，纷纷表示已经或即将为旗下产品推送安全补丁，封堵漏洞。

从英特尔官方和微软、苹果、谷歌等企业的迅速行动来看，“ZombieLoad”漏洞或许不会对日常生活造成太大的影响，大部分处理器性能的缩水也都在可接受范围内，因此我们也不必太过担心，积极安装官方推送的安全补丁即可。



010ednc20190515

对英特尔酷睿 i9-9900K 处理器的影响（来源：英特尔）



PC 领域两巨头之一的苹果公司表示，系统更新至 Mojave 10.14.5 的苹果电脑将会是安全的，并且不会有显著的性能影响，除非用户选择运行全套安全补丁，则可能受到最高为 40% 的性能损失。微软同样已在最新的系统更新里部署相关的补丁。

在移动设备与云服务领域，谷歌表示，只有使用英特尔芯片的安卓系统才会有漏洞，用户需要安装具体设备产商最新的更新来补上漏洞，而谷歌自主的 Chromebook 产品则已经完成补丁更新。亚马逊则在第一时间更新了所有 AWS 的主机，表示产品已不会收到此漏洞的影响。

panups