主题 : 熔断幽灵来势汹汹 应共同承担而非落井下石
千山同一月 万户尽皆春 千江有水千江月 万里无云万里天
级别: 总版主

UID: 998
精华: 0
发帖: 604963
威望: 528524 点
无痕币: 3089 WHB
贡献值: 0 点
在线时间: 61669(时)
注册时间: 2008-12-25
最后登录: 2024-03-28

0 熔断幽灵来势汹汹 应共同承担而非落井下石


文/在前线 华仔、老凉
持续发酵的“熔断”和“幽灵”两大漏洞,正在给IT产业带来一场别开生面的危机和闹剧。
新年伊始,“熔断”和“幽灵”两大漏洞爆出,给互联网、云计算、物联网及整个IT产业带来恐慌,芯片及各领域巨头也因此被卷入漩涡之中,甚至有些被误解,以不同的表情和姿态背锅。
在前线认为,数据时代,爆出这样的“危机”,可谓是一大“丑闻”,但这并非是因某一家而起,不管是处理器还是操作系统或者是用户,都没必要也不能推卸责任 ,大家应该携起手来共同解决这个问题。
幽灵与熔断是如何爆发的?
上周三,谷歌有关安全研究人员报告了“幽灵(Spectre)”和“熔断(Meltdown)”两个处理器漏洞,英特尔、ARM及AMD等CPU产品纷纷遭受不同程度的影响。
简单说下这两组漏洞。在现代的CPU产品中,厂商往往会采用像乱序执行或预测执行这样的方法,这是为了提高CPU性能而引入的新特性。使用这两种方法,当在执行中出现异常时,CPU会恢复到最初的状态,但其缓存的内容并不会随着恢复,这个缺陷也就导致了这两组漏洞的诞生。
至于它们会造成的危害,在不同的场景中会有不同的后果。比如黑客可以利用熔断(Meltdown)漏洞来获取超出他权限之外的信息;用户如果不小心访问了包含幽灵(Spectre)漏洞的网站时,自身的一些账号密码信息就有可能会被泄露。而且利用幽灵(Spectre)漏洞还能在云端获取他人的数据信息。
这两个漏洞在涉及范围上也有所不同,熔断(Meltdown)漏洞对几乎所有的英特尔CPU及部分ARM CPU有影响,而幽灵(Spectre)漏洞范围更广,对所有英特尔CPU、AMD CPU及大多数ARM CPU均有影响。
数据的重要性不用多说,这也是此次漏洞事件曝光后会造成如此震动的主要原因。在CPU领域,英特尔的行业地位是毋庸置疑的,所以当这次问题出现后,大多数的枪头都对准了它,英特尔瞬间陷入“围攻”。
在漏洞被曝光当天后不久,英特尔就发布了一份有关漏洞CPU的完整名单。当然这份名单也是着实让大家“吓”了一跳:在这份名单上,英特尔1~8代的所有酷睿i3/5/7/9处理器、所有的Xeon至强处理器以及大量的Atom处理器、赛扬奔腾都出现了,几乎覆盖英特尔家族全系产品、不过有一点与大多数消息不同,产品的最早追溯时间可以来到2009年,并不是所说的20年前。
亡羊补牢?
问题已经发生,想好怎么解决才是王道。英特尔在去年接到报警后第一时间就着手和产业协作解决问题,同时为自身产品线提供软件和固件更新来抵御这些破坏。
目前,英特尔已经针对过去5年中推出的大多数处理器产品发布了更新。根据前几日英特尔给出的通知,到下周末,其发布的更新预计将覆盖过去5年内推出的90%以上的处理器产品。
除此之外,许多操作系统供应商、公共云服务提供商、设备制造商等厂商也表示,它们正在或已对其产品和服务提供更新。
对于推送的更新,一些企业用户有是否会对现有设备产生影响的担忧,英特尔也针对此发出了声明。根据英特尔的公告,这些更新对不同工作负载的性能会有不同程度的影响。对于一般的计算机用户来说,影响并不显著,而且会随着时间的推移而减轻。
还有对于某些特定的工作负载,一开始对性能的影响会比较高,但在经过后续的优化后,如更新部署后的识别、测试和软件更新改进等,就会减轻这种影响。
值得注意的是,并不是所有的产品都会存在“熔断”和“幽灵”的漏洞。近日,树莓派基金会对外宣布了一则公告:全系产品均对Meltdown 和 Spectre 漏洞免疫。
这次危机考验产业友谊
这个事件曝光后,英特尔因其在CPU领域的地位,成了明面上最大的“背锅侠”,不过这个说法不太恰当,因为这是产业共同面对的问题。但是,作为产业的龙头,英特尔也理应站出来承担更多。
在问题曝光后,谷歌就对这次的漏洞有过一次大致的介绍:几乎会影响每个人,每台设备。换句话说,这个问题针对的不是某个企业,而是对包括所有芯片厂商——英特尔、AMD、ARM,和主要操作系统——Windows、Linux、Android等,以及云服务提供商——亚马逊、Google、Microsoft在内的整个行业都会产生影响。
其实,类似这样的“危机”,上世纪90年代末,全IT业都在为千年虫感到恐慌。当时,给人感觉业界还是挺单纯和团结的。
从表面上看,英特尔因为是处理器大厂,看似它受到的影响最大,不过,因为现代处理器架构设计的缘故,导致此次这次危机,整体上,所有厂商都应该有所承担,而不是看笑话,或者有所推诿。
从英特尔的种种举措来看,似乎是一次很积极有效的“亡羊补牢”工作,但其实,包括英特尔在内的各大科技公司却是早有筹谋。
事件曝光两天后,英特尔与“老对手”AMD以及芯片设计商ARM共同表示,部分处理器存在可能被黑客利用的安全漏洞,这一问题会影响到一系列的电脑、智能手机及其他设备芯片,但到目前为止尚无与之相关的入侵事件。
这是一个好消息,但更好的是,在漏洞曝光前,这些芯片生产商及其客户、合作伙伴,包括苹果、谷歌、亚马逊和微软等在内的科技巨头,都已经在加紧解决这一问题。
行业的“哀”与“兴”
新年开投遇见这样的事,除了给整个IT行业敲响了一次安全的警钟之外,更多的是让外界见识到了智能时代各IT企业之间面对新问题时的积极态度。
其实在2017年6月初,谷歌Project Zero安全团队的一名成员就已经向英特尔以及行业内的其他芯片生产商告知了这些漏洞的情况,而这些企业也都开始着手解决。
不过可惜的是,尽管早有准备,但英特尔和其它公司目前仍处在努力封堵这些安全缺口的阶段。这个原因有很多,英特尔解释到,一方面是修复这些漏洞需要向数十亿台设备发布安全更新,另一方面是一些安全补丁可能会影响加快处理器运行速度的芯片功能,从而导致减慢设备的运行速度。
另外还有别的原因的话,就是这次事故需要整个行业的共同努力。漏洞的发现者——谷歌安全团队的Horn认为,要想应对这次“危机”,就需要CPU厂商的固件修复、操作系统修复和应用厂商的共同协作。
当然,目前来看,状况还算不错。单看上面合作的这些企业名字就知道,为了应对这次事故,一个由大型科技公司组成的联盟正清晰地展现在人们面前,它们把手拉在一起,共同保护用户的数据信息安全,并向客户的电脑和智能手机发送补丁。
在前线认为,此次幽灵与熔断两大漏洞,给业界敲响了警钟,一方面在不断创新持续升级的过程中,应更加重视安全,另外,当某一个产业难题出现时,大家都应该有所担当,而不是为了某些商业利益,站在那里事不关己地看笑话,甚至落井下石。
级别: 十方秋水

UID: 26730
精华: 0
发帖: 64722
威望: 148036 点
无痕币: 183 WHB
贡献值: 0 点
在线时间: 11530(时)
注册时间: 2008-05-03
最后登录: 2018-05-16

多谢分享了
千山同一月 万户尽皆春 千江有水千江月 万里无云万里天
级别: 总版主

UID: 998
精华: 0
发帖: 604963
威望: 528524 点
无痕币: 3089 WHB
贡献值: 0 点
在线时间: 61669(时)
注册时间: 2008-12-25
最后登录: 2024-03-28

这个可以看看,了解一下。
Total 0.036099(s) query 4, Time now is:03-28 19:33, Gzip enabled 粤ICP备07514325号-1
Powered by PHPWind v7.3.2 Certificate Code © 2003-13 秋无痕论坛