这只是 2018 年的第一周，我们已经听说了历史上最大的安全漏洞之一。
关于两个漏洞的新闻出现了——幽灵和崩溃——它们几乎影响了地球上的每台计算机。新披露的漏洞具有毁灭性，因为它们影响绝大多数中央处理单元 (CPU)。其中不仅包括地球上最大的 CPU 制造商英特尔制造的处理器，还包括大多数 CPU 制造商。
该安全漏洞的性质意味着 Android 智能手机和平板电脑、iPad 和 iPhone、Apple Mac 电脑、Windows PC，甚至 Linux 机器，都可以利用这些漏洞进行利用。网络犯罪分子可能会利用 CPU 缺陷窃取个人数据，例如登录名、密码、信用卡详细信息和许多其他类型的敏感数据。
这些严重的安全漏洞是由研究人员发现的谷歌的零计划。重要分析是与来自世界各地的学术和行业专家合作进行的。一个纸这些研究人员本周发表的文章详细解释了这两个安全漏洞：
“Meltdown 和 Spectre 利用现代处理器中的关键漏洞。这些硬件错误允许程序窃取当前在计算机上处理的数据。虽然程序通常不允许从其他程序读取数据，但恶意程序可以利用 Meltdown 和 Spectre 来获取存储在其他正在运行的程序的内存中的秘密。
“这可能包括存储在密码管理器或浏览器中的密码、您的个人照片、电子邮件、即时消息甚至关键业务文档。
“Meltdown 和 Spectre 在个人电脑、移动设备和云中运行。根据云提供商的基础设施，可能会窃取其他客户的数据。”
广泛存在的漏洞
这些安全漏洞影响英特尔、AMD 和 ARM 制造的处理器。这意味着它们几乎影响当前流通的所有机器。更重要的是，这些缺陷的性质意味着无法判断它们是否正在被利用或已经被利用。更糟糕的是，防病毒和恶意软件检测器并不是为发现此类漏洞而设计的。 “与通常的恶意软件不同，Meltdown 和 Spectre 很难与常规的良性应用程序区分开来，”博客文章评论道。
Apple Mac 已经出面承认 Mac OS X 台式电脑和笔记本电脑、iPhone、iPad，甚至 AppleTV 设备都容易受到攻击。该公司已经发布了 Meltdown 补丁。然而，Spectre 更难防御，并且尚未得到充分修补。值得庆幸的是，人们相信“幽灵”是一个更难利用的目标。
苹果公司声称尚未发现攻击其设备的漏洞。然而，漏洞的性质使得很难明确证实这一点。目前我们所知道的是，这些缺陷确实存在，并且除非修补，否则可能会被利用。来自论文：
“台式机、笔记本电脑和云计算机可能会受到 Meltdown 的影响。从技术上讲，每一个实现乱序执行的 Intel 处理器都可能受到影响，这实际上是自 1995 年以来的每一个处理器（除了 2013 年之前的 Intel Itanium 和 Intel Atom）。我们在早于 2011 年发布的 Intel 处理器上成功测试了 Meltdown。目前，我们只在 Intel 处理器上验证了 Meltdown。目前还不清楚 ARM 和 AMD 处理器是否也受到影响。受到熔毁的影响。”
“几乎每个系统都受到 Spectre 的影响：台式机、笔记本电脑、云服务器以及智能手机。更具体地说，所有能够保持许多指令运行的现代处理器都可能容易受到攻击。特别是，我们已经在 Intel、AMD 和 ARM 处理器上验证了 Spectre。”
计算机速度较慢？
噩梦也并没有就此结束。为保护机器免受可能的攻击而发布的安全补丁预计会减慢机器的速度。目前尚不清楚性能到底会下降多少，但据报道，与当前速度相比，性能下降最多可达 30%。来自 Anandtech.com 的 Ryan Smith解释:
“关于缓解 Meltdown 的问题，目前尚不清楚这会对性能产生什么影响。单个操作和工作负载可能会慢 30% 以上，但这在很大程度上取决于任务上下文切换到内核的频率。我预计实际影响会较小，特别是对于桌面用户。但是，如果服务器用户及其独特但范围狭窄的工作负载特别不幸，他们可能会受到更大的影响。
与此同时，人们对 Spectre 缓解措施的性能影响的了解甚至更少，部分原因是缓解 Spectre 的努力仍在继续。根据硬件供应商发布的内容，影响应该很小。但除了需要进行实证测试之外，如果 Spectre 需要采取更积极的缓解措施，情况可能会发生变化。”
由于这些漏洞几乎影响了过去 10 年中售出的所有 CPU，因此唯一的解决方案似乎是：要么接受计算速度的降低，要么将旧 CPU 更换为新 CPU。对于大多数人来说——包括拥有数百甚至数千台机器的公司——新的 CPU 不会成为立即的选择。这使得几乎每个人都可能期望某种性能受到影响。
据英特尔称，任何放缓都将“取决于工作负载”。通俗地说，这基本上意味着基于 Skylake 或更新架构的更新芯片组可能不会遭受太大的速度损失。另一方面，较旧的 CPU 可能会因必须运行额外的固件而受到更严重的打击。
它是如何运作的？
新披露的硬件缺陷允许应用程序和程序发现受保护的内核内存区域的内容。这意味着黑客可以欺骗应用程序泄露秘密信息。这些缺陷还可用于攻击虚拟机，当虚拟机被渗透时，黑客就可以访问主机的物理内存。
关键缺陷还可以允许黑客窃取同样存储在内存中的加密密钥。这意味着旨在保证数据安全的服务和安全消息传递服务可能会受到损害。这还意味着，当程序打开并且密钥存储在临时 RAM 中时，密码管理器持有的加密密钥就可以被访问。
事实上，如果不加以控制，这些缺陷可能导致的漏洞列表几乎是无穷无尽的。几乎所有在 CPU 芯片组有缺陷的机器上运行的软件都可能受到损害。只有不将密钥和密码保存到内存受影响部分的应用程序才是安全的。正是由于这个原因，快速修补缺陷非常重要。
尽管英特尔、AMD 和苹果很快就声称目前没有任何漏洞正在传播，但黑客似乎很快就会学会如何利用这一漏洞。网络安全公司 Trail of Bits 首席执行官丹·吉多 (Dan Guido)确信不会花很长时间：
“针对这些漏洞的利用将被添加到黑客的标准工具包中。”
谷歌更新
Chrome 只是可以利用这些可怕缺陷进行攻击的软件示例之一。一个博客文章Chromium 解释了为什么 Google 将于 1 月 23 日发布 Chrome 更新。与此同时，用户可以使用名为“Chrome 浏览器”的实验性功能来保护自己站点隔离:
“这项研究对执行外部提供的代码的产品和服务具有影响，包括 Chrome 和其他支持 JavaScript 和 WebAssembly 的浏览器。有关其他 Google 产品和服务（包括 Chrome OS）的更多信息，请访问Google 在线安全博客。
Chrome 允许用户启用名为“站点隔离”的可选功能，该功能可以减少对这些漏洞的利用。启用站点隔离后，由于 Chrome 在单独的进程中为每个打开的网站呈现内容，因此暴露于推测性旁路攻击的数据会减少。了解有关站点隔离的更多信息，包括一些已知问题以及如何启用它通过企业政策或者通过 chrome://flags”。
我受到影响了吗？
这个问题的答案几乎肯定是肯定的。大多数设备都会受到影响，因此您需要在适当的安全补丁发布后立即获取它们。为此原因，您可能需要从 Intel、AMD 或 ARM 获取更新，具体取决于您设备中的芯片。建议个人和企业向其操作系统制造商寻求建议。 Windows Server VM 的客户应查看 Microsoft 发布的建议这里。
该怎么办
根据您拥有的设备，您需要确保获得所有最新的软件更新。 CPU 制造商正在发布固件更新，因此，如上所述，您必须确保尽快获得这些更新。
安卓用户穆斯不要更新他们的设备。好消息是 Android 设备最新安全更新受到保护。但是，可能需要进一步更新：因此请密切关注补丁并在补丁发布后立即接受。
如果您安装了最新的 iOS 版本 11.2，那么您应该受到保护。 OS X 还针对 Meltdown 提供了补丁，预计很快还会针对 Spectre 提供更多补丁。此外，苹果宣布昨天，“我们计划在未来几天在 Safari 中发布缓解措施，以帮助防御 Spectre”。
Mozilla 已经发布了两个针对 Firefox 的近期修复程序，预计将在一月份晚些时候发布更多补丁。 Windows 10 用户预计将于今天（1 月 5 日）自动更新，Windows 7 和 8 预计将于下周二收到更新。目前尚不清楚 Windows XP 用户是否会获得补丁（就像去年 Mirai 爆发期间的情况一样）。
最后，由于这些漏洞与内核级访问有关，防病毒和恶意软件开发人员可能还需要更新其库才能与新补丁一起使用。因此，您可能还需要更新防病毒软件。
请记住：此消息刚刚发布，因此最好的办法是随时了解有关您的特定平台的更多详细信息。如有疑问，请联系您的制造商或特定设备的销售点。
标题图片来源：来自 Spectre 和 Meltdown 博客。
图片来源：ouh_desire/Shutterstock.com、Nor Gal/Shutterstock.com、Kite_rin/Shutterstock.com、welcomia/Shutterstock.com、yavyav/Shutterstock.com、Pavel Ignatov/Shutterstock.com