【大話IT】如何看待最近爆出的Intel CPU設(shè)計漏洞？

laputa73

新聞?wù)fintel,amd,arm都存在這個漏洞, 是指令預(yù)測的漏洞.
這下沒得可選,全部中招.

heguangwu

從新聞獲得的信息是這個是硬件的漏洞，可能是架構(gòu)設(shè)計時的不合理
一般來說，硬件漏洞可以通過軟件避開，通過修改繞開有缺陷但指令集
20%的性能損失感覺不能接受啊，對云平臺公司來說簡直就是噩夢，個人電腦其實可以避開不升級，反正也沒重要對東西，我對疑問是ARM也有這個漏洞，那么手機會不會影響？

lsstarboy

王楠w_n 發(fā)表于 2018-01-04 08:50
Cryboy2001：

發(fā)現(xiàn)了就是漏洞，沒發(fā)現(xiàn)就是后門。

很有道理啊，我也是這個感覺。

前幾年不是據(jù)說美國要求放后門嘛？

kangtian

1. 你是否了解該事件，說說您對該事件的看法和推測？（英特爾CPU出現(xiàn)何種bug）
　　據(jù)我了解：問題出在“亂序執(zhí)行”上。亂序執(zhí)行是現(xiàn)代處理器的重要特征，所以intel、amd、arm的產(chǎn)品都未幸免。只不過intel的問題更棘手一些。

2. 該問題對linux內(nèi)核系統(tǒng)問題有哪些影響？（從第一個問題衍生對linux內(nèi)核系統(tǒng)安全的思考，模擬攻擊者濫用漏洞，進行非法手段）
　　按照我的理解：系統(tǒng)進程本來被隔離在各自的“時空”中，只有通過內(nèi)核才能“互通有無”。而利用這次爆出的硬件漏洞，進程可以“穿越”了。

3.如文中所提到的，單靠軟件開發(fā)是否可以規(guī)避該漏洞？如果是，需要做哪些調(diào)整和改動？
　　這個問題已經(jīng)超出我的知識范圍了。

u11

up up up ε=(′ο｀*)))唉

lsstarboy

1. 你是否了解該事件，說說您對該事件的看法和推測？（英特爾CPU出現(xiàn)何種bug）

一直關(guān)注這個漏洞，歷史上Intel的處理器出過好幾次安全問題，但是大多數(shù)影響都不大，比如以前的PIII的sn和FDIV漏洞，還有最近的AMT漏洞。PIII有漏洞的時候，信息產(chǎn)業(yè)還不是那么發(fā)達，電腦還是一個奢侈品，所以只影響到很少了一部分人，危機很快就過過了；而AMT漏洞正常情況需要物理上的連接，所以對一般人來說影響也不大。而這次的“融斷”和“幽靈”漏洞，一方面正值A(chǔ)MD大肆推廣Ryzen處理器的關(guān)鍵點；另一方面這次影響最大的是各虛擬行業(yè)，各個云基本上都受到了影響，并且大多數(shù)云服務(wù)器都需要重啟，阿里和騰訊都已經(jīng)發(fā)布了聲明。這個影響是比較大的。
　　但是國內(nèi)的這幾個云服務(wù)商應(yīng)該是收了封口費，否則面對大眾性能到底會不會下降的疑問，這幾家大的公司一直沒有回應(yīng)。網(wǎng)上傳的性能問題的文章，基本上清一色是AWS的。
　　三個（其中兩個是同一名字）漏洞，目前看還沒有相應(yīng)的攻擊病毒/木馬，但是估計很快就會有的，畢竟CPU的基數(shù)太大，能打補丁的是很少的一部分。

對于網(wǎng)上流傳的補丁導(dǎo)致性能下降，可以大致推論出：
第一、主要影響的內(nèi)核到用戶態(tài)轉(zhuǎn)換的程序，比如磁盤和網(wǎng)絡(luò)，需要頻繁在內(nèi)核態(tài)和用戶態(tài)復(fù)制數(shù)據(jù)的應(yīng)用，受影響最大。
網(wǎng)上流傳的是數(shù)據(jù)庫受影響最大，但是估計一些網(wǎng)絡(luò)服務(wù)器，比如X86的NAT服務(wù)器和防火墻，受影響也應(yīng)該比較大，但是這個領(lǐng)域中的x86應(yīng)該比較少，再加上都是專用的系統(tǒng)，想打個補丁都比較難，所以報道出來的消息極少。
但是這幾年有個netmap的技術(shù)，還有intel的DPDK，僅僅跑在用戶態(tài)，估計性能受影響也不大。
第二、安全方面，影響最大的是虛擬化領(lǐng)域。特別是Spectre漏洞，可能拿到內(nèi)核數(shù)據(jù)的權(quán)限，這使得本來應(yīng)該在虛擬機中運行的的程序，可以拿到虛擬機外的數(shù)據(jù)。并且虛擬機技術(shù)一般還有一個共同的特點：虛擬機系統(tǒng)共享同一段資源，包括同一個pid，同一段內(nèi)存等，這使得非法程序更容易獲取一些信息。需要注意的是虛擬機應(yīng)用不僅指VM方面的應(yīng)用，比如Vmware、VirtualBox之類的系統(tǒng)，還包括java，javascript等應(yīng)用，所以個人用戶也需要打補丁，否則瀏覽器的安全將是一個大的問題。
另外我本人對安卓這種使用java虛擬機的應(yīng)用比較擔心。

第三、從Windows操作系統(tǒng)上看，Win10之類的系統(tǒng)內(nèi)核較新，受影響應(yīng)該小一些，但是win7打上補丁后，性能下降可能會嚴重一些。

2. 該問題對linux內(nèi)核系統(tǒng)問題有哪些影響？（從第一個問題衍生對linux內(nèi)核系統(tǒng)安全的思考，模擬攻擊者濫用漏洞，進行非法手段）
Linux內(nèi)核的開發(fā)的很大一部分是由貢獻者貢獻的，而最大的貢獻者就是Intel。看了幾篇文章，好像是Intel發(fā)現(xiàn)問題后，偷偷地提交了補丁，但是沒有明示，因此Linus還發(fā)了一大通脾氣。
我個人認為，Intel不會公開所有的硬件信息，所以Intel的人員在寫了相關(guān)代碼時可能不會去解釋代碼的具體含義，導(dǎo)致其他開發(fā)人員有時候并不一定了解修改代碼的背景，這造成了信息的不對等。
其他的開源系統(tǒng)，比如BSD，一般是參照Linux的代碼來進行修改。目前DragonflyBSD已經(jīng)明確修改完成，其他幾個正在跟進中。
至于安全性，我認為黑客很快就能根據(jù)網(wǎng)上的信息，以及這些代碼來做出工具，開源在某些方面也是弱勢。

3.如文中所提到的，單靠軟件開發(fā)是否可以規(guī)避該漏洞？如果是，需要做哪些調(diào)整和改動？

應(yīng)該不可以，內(nèi)核態(tài)的權(quán)限太大了，一個程序可以做到自己不去讀內(nèi)核態(tài)的東西，但是不能保證不被內(nèi)核讀取。

JAY6501532

國內(nèi)的這幾個云服務(wù)商應(yīng)該是收了封口費，否則面對大眾性能到底會不會下降的疑問，這幾家大的公司一直沒有回應(yīng)。網(wǎng)上傳的性能問題的文章，基本上清一色是AWS的。
　　三個（其中兩個是同一名字）漏洞，目前看還沒有相應(yīng)的攻擊病毒/木馬，但是估計很快就會有的，畢竟CPU的基數(shù)太大，能打補丁的是很少的一部分。

www.jgwltx.com  intel  x860 服務(wù)器

ALENG_LINUX

回復(fù) 4# 王楠w_n

這個答案我考試的時候答道是不是得加分呢

james90404

LLVM貌似有上補釘
記得之前bsd弄了某機制后
上百度就cpu狂跑
心想還是覺得毛毛

lbseraph

1. 你是否了解該事件，說說您對該事件的看法和推測？（英特爾CPU出現(xiàn)何種bug）
   大部分做IT的這兩周應(yīng)該都在關(guān)注這個事件，這個不用推測，都是公告出來的東西了。主要是利用CPU設(shè)計缺陷的2個漏洞，一個叫Meltdown（熔斷），對應(yīng)CVE-2017-5754；另外一個是Spectre（幽靈），對應(yīng)CVE-2017-5753和CVE-2017-5715。
   在下面2個地方有詳細的說明：
   https://meltdownattack.com/
   https://googleprojectzero.blogsp ... mory-with-side.html
   知乎上也有不少討論：https://www.zhihu.com/question/2 ... mputm_medium=social
   前面有不少說明了，我就不重復(fù)解釋。我想說些其他的，這次的事件其實不單單是Intel的CPU有受到影響，甚至連IBM的Power 7+/8/9都有受到影響(https://www.ibm.com/blogs/psirt/ ... ssors-power-family/)，IBM已經(jīng)發(fā)布部分修復(fù)的firmware（見http://www-01.ibm.com/support/docview.wss?uid=isg3T1026811），在fixCentral可以找到對應(yīng)產(chǎn)品的新固件。

2. 該問題對linux內(nèi)核系統(tǒng)問題有哪些影響？（從第一個問題衍生對linux內(nèi)核系統(tǒng)安全的思考，模擬攻擊者濫用漏洞，進行非法手段）
   對Linux內(nèi)核系統(tǒng)影響大的主要是Meltdown（熔斷）這個漏洞，它是利用了“預(yù)測執(zhí)行”的設(shè)計缺陷來實現(xiàn)的，可以讀取Linux或Mac OS的整個物理內(nèi)存和Windows的大部分物理內(nèi)存，甚至是讀取其他進程的物理內(nèi)存（比如使用內(nèi)核共享技術(shù)的Docker等，都可以讀取內(nèi)核或Hypervisor內(nèi)存）。簡單來說，利用這個漏洞，你跑在云上的虛擬機，可以被在同一個物理機運行的另外一個虛擬機入侵讀取到你的虛擬機內(nèi)容。這個看得恐怖了吧？這也是有些報道里說那些云提供商（比如AWS或微軟的Azure）面臨的壓力更大。

3.如文中所提到的，單靠軟件開發(fā)是否可以規(guī)避該漏洞？如果是，需要做哪些調(diào)整和改動？
  這2個漏洞是硬件設(shè)計本身導(dǎo)致的，單純靠軟件開發(fā)來規(guī)避的話不知道是否能完整規(guī)避該漏洞，目前了解到OS的補丁其實是犧牲性能的�？梢钥吹絀BM的Power的解決方法是包括2部分的，硬件層面固件升級，系統(tǒng)層面也要打補丁，而且也說明了系統(tǒng)補丁要生效是要求硬件固件先升級的。

下面列出一些OS廠家提供的補丁說明：
VMware: https://kb.vmware.com/s/article/52264
Redhat: https://access.redhat.com/securi ... peculativeexecution
SuSe:   https://www.suse.com/support/kb/doc/?id=7022512
Ubuntu: https://wiki.ubuntu.com/Security ... /SpectreAndMeltdown