這次的晶元漏洞為何引發全球的關注
作者 鍾琳
來源 OFweek 電子工程
歡迎下載OFweek APP查看更多新聞
在2018新年的第一周內，讓全球科技圈震驚的新聞事件，無疑是「晶元門」——由於英特爾、AMD和ARM架構的晶元存在嚴重設計缺陷，導致「崩潰」（Meltdown）和「幽靈」（Spectre）兩大漏洞出現。該漏洞或將波及全球所有桌面系統、電腦、智能手機及雲計算伺服器，影響幾乎所有用戶的個人信息安全。
消息一出，人們停下了手上的工作、關掉了聯網的吃雞遊戲，著急地查殺電腦、手機等設備的漏洞病毒，此事件影響範圍之廣、危害之嚴重、修復難度之大，都是大家始料未及的。
對此，AMD、ARM、高通等晶元製造商第一時間採取措施修補漏洞；微軟、蘋果安卓等操作系統開發商火速發布安全補丁；英特爾也於上周五（1月5日）提供了「自我救贖」的解決方案，宣稱已對英特爾晶元計算機系統開發進行更新，本周（1月14日前）發布的更新範圍將達到5年內推出的90%以上的處理器產品。
本次「晶元門」事件的巨大影響，不僅僅源於人們對網路病毒與信息泄露的深惡痛絕，還體現出全球晶元產業的一些突出問題。今天，OFweek電子工程網小編與大家一起回顧此次晶元漏洞事件的始末。
晶元漏洞震驚全球
2018年1月3日，谷歌互聯網安全項目Project Zero的研究人員和來自數個國家的學術界和科技產業研究人員，披露了存在於英特爾、AMD和ARM架構的晶元中的兩個安全漏洞——「崩潰」（Meltdown）和「幽靈」（Spectre）。該漏洞震驚科技圈的原因有四：
第一，此次漏洞具有特殊性，與以往的漏洞完全不一樣。以往的漏洞大都是軟體自身存在問題，或是程序不嚴謹造成的安全漏洞。而「崩潰」和「幽靈」則是由處理器架構設計缺陷而引發的，是硬體層面的漏洞。
第二，影響極其廣泛。「崩潰」和「幽靈」會對英特爾的處理器，甚至是AMD、ARM等造成重大威脅，考慮到這三者的市場份額，幾乎沒有多少產品可以倖免。甚至有業內人士表示，1995年之後的每一個系統幾乎都會受到漏洞的影響，當然包括計算機和移動手機，這是非常嚴重的問題。
第三，危害係數高。利用該漏洞，黑客可以從APP運行內存中竊取數據，比如密碼管理器、瀏覽器、電子郵件、照片和文檔中的數據，盜取幾乎所有的現代計算設備中的敏感信息。
第四，最糟糕的是，漏洞修復難度極高。由於漏洞是晶元底層設計上的缺陷導致的，修復起來會非常複雜，同時難以完美修復。僅通過晶元製造廠商進行安全更新（例如升級CPU微碼）是無法解決這一問題。想徹底修復這些漏洞，就要操作系統廠商、虛擬化廠商、軟硬體分銷商、瀏覽器廠商、晶元廠商一起協作，並進行複雜且極其深入的修改。
何為「崩潰」？ 何為「幽靈」？
「崩潰」（Meltdown）：影響的是英特爾晶元，它可以打破由用戶運行的應用程序和計算機內存之間的隔離，讓黑客直接讀取計算機內存數據，並調取其他應用程序和操作系統的內容，包括用戶輸入過的任何賬戶和密碼。
「幽靈」（Spectre）：影響到英特爾、AMD和ARM架構的晶元，它可以打破不同應用程序之間的隔離，讓黑客經過偽裝、騙過系統檢測而調取資源，甚至欺騙CPU執行任意操作。
據專家分析，這兩種攻擊都是濫用推測性執行（speculative execution），從低特權用戶進程（例如設備上運行的惡意應用程序）「越界」訪問特權內存（包括為內核分配的內存），從而允許黑客竊取密碼，登錄密鑰和其他有價值的信息。
發現「崩潰」漏洞的格拉茨工業大學丹尼爾-格魯斯（Daniel Gruss）表示，「崩潰」可能是迄今為止發現的最糟糕的處理器漏洞之一，但它可以通過軟體補丁來修復。從長期來看，「幽靈」將會是更嚴重的問題，因為它幾乎影響到所有計算設備，雖然很難被利用，但一旦被利用就極其難修復。
值得慶幸的是，直至本文發布之時，仍未收到由於這兩個漏洞而引發的網路案件。
各方的解決方案
可謂一石激起千層浪。漏洞曝光之後，全球各家晶元廠商、操作系統廠商、瀏覽器廠商，以及雲服務廠商，紛紛先後作出回應，積極採取措施，發布安全公告，並以第一時間推出緩解措施和修復補丁。
事出不到一天，英特爾方面就給出了相關聲明，稱外國媒體針對此事的報道並不準確，正與AMD、ARM及軟體廠商合作解決此問題，另外其他公司的晶元也存在相同問題。卻未提出相關解決方案。
當然，英特爾的老對頭 AMD 肯定不會放過這次機會。AMD 官方發布題為《信息安全是重中之重》的聲明，指出其安全研究團隊已經發現了三個針對推測執行的變體，並由於 AMD 處理器的不同架構，這次的安全漏洞對他們的產品來說影響幾乎為零。
至於其他晶元製造商，針對「崩潰」漏洞，Linux已經發布了KAISER；macOS從10.13.2予以了修復；谷歌稱已經修復；Win10 Insider稱去年底修復；Win10秋季創意者更新發布了KB4056892，將強制自動安裝；亞馬遜AWS隨後也公布了指導方案。而對於難度更高的「幽靈」漏洞，各廠商目前也仍在攻堅中。
我們把目光關注到國內廠商。作為本次漏洞的受害者之一，騰訊雲平台發布安全升級通知，宣布將通過升級技術對平台進行維護。還有華為、阿里、金山、京東、百度等服務商，也對準備或已經啟動應急措施，推進漏洞修復的事宜進行了通告，目前仍未收到影響攻擊。
在「晶元門」發酵數天之後，英特爾終於拿出了解決辦法。1月5日，英特爾宣布，已為基於英特爾晶元的各種計算機系統開發了更新，並且正在快速發布這些更新，以保護這些系統免受兩種潛在攻擊的威脅。截止到本周末，英特爾發布的更新預計將覆蓋過去五年內推出的90%以上的處理器產品。
至此，轟轟烈烈的「晶元門」可謂暫時落下帷幕。說暫且，是因為系統修復仍未全部完成，危機還在生效中，相信無論是上述廠商，還是受害的服務商，新年的第一個月便要加班加點了。
中國「芯機會」：速度與激情的前提是安全
數據安全是一個嚴肅的話題，尤其是信息時代的高速發展，物聯網、無人駕駛、5G、人工智慧、深度學習、雲計算等新興領域都對晶元的計算能力提出了更高要求。此次「晶元門」事件更是對整個信息產業敲響了警鐘，在新信息革命呼之欲出的當下，要感受速度與激情的體驗，前提必須是安全！
回顧全球晶元產業的現狀，凸顯出一家獨大明顯、競爭技術固定、CPU架構單一等特點，也因此本次「晶元門」事件會產生如此廣泛的影響。或許晶元產業即將駛入洗牌關鍵點，需要補充更多的新鮮血液，不斷沉澱技術基礎、創新研發實力。
這將會是中國信息產業的「芯」機會。如今，中國從「製造大國」向「製造強國」進發，晶元國產化也成為其中關鍵一步。經過多年的發展，中國晶元產業在設計、製造、封裝測試等領域已經逐步成長起來，雖然仍有一定差距，但已經孕育出展訊、華為、海思、七星華創、北方微電子、中國電科集團等產業鏈上下游的優秀企業。我們希望，憑藉著自身實力的提升，晶元產業的接力棒將會落到中國「芯軍團」的手上。
TAG:OFweek電子工程網 |