這只是 2018 年的第一周，我們已經聽說了歷史上最大的安全漏洞之一。
關於兩個漏洞的新聞出現了——幽靈和崩潰——它們幾乎影響了地球上的每台計算機。新披露的漏洞具有毀滅性，因為它們影響絕大多數中央處理單元 (CPU)。其中不僅包括地球上最大的 CPU 製造商英特爾製造的處理器，還包括大多數 CPU 製造商。
該安全漏洞的性質意味著 Android 智能手機和平板電腦、iPad 和 iPhone、Apple Mac 電腦、Windows PC，甚至 Linux 機器，都可以利用這些漏洞進行利用。網絡犯罪分子可能會利用 CPU 缺陷竊取個人數據，例如登錄名、密碼、信用卡詳細信息和許多其他類型的敏感數據。
這些嚴重的安全漏洞是由研究人員發現的谷歌的零計劃。重要分析是與來自世界各地的學術和行業專家合作進行的。一個紙這些研究人員本週發表的文章詳細解釋了這兩個安全漏洞：
“Meltdown 和 Spectre 利用現代處理器中的關鍵漏洞。這些硬件錯誤允許程序竊取當前在計算機上處理的數據。雖然程序通常不允許從其他程序讀取數據，但惡意程序可以利用 Meltdown 和 Spectre 來獲取存儲在其他正在運行的程序的內存中的秘密。
“這可能包括存儲在密碼管理器或瀏覽器中的密碼、您的個人照片、電子郵件、即時消息甚至關鍵業務文檔。
“Meltdown 和 Spectre 在個人電腦、移動設備和雲中運行。根據云提供商的基礎設施，可能會竊取其他客戶的數據。”
廣泛存在的漏洞
這些安全漏洞影響英特爾、AMD 和 ARM 製造的處理器。這意味著它們幾乎影響當前流通的所有機器。更重要的是，這些缺陷的性質意味著無法判斷它們是否正在被利用或已經被利用。更糟糕的是，防病毒和惡意軟件檢測器並不是為發現此類漏洞而設計的。 “與通常的惡意軟件不同，Meltdown 和 Spectre 很難與常規的良性應用程序區分開來，”博客文章評論道。
Apple Mac 已經出面承認 Mac OS X 台式電腦和筆記本電腦、iPhone、iPad，甚至 AppleTV 設備都容易受到攻擊。該公司已經發布了 Meltdown 補丁。然而，Spectre 更難防禦，並且尚未得到充分修補。值得慶幸的是，人們相信“幽靈”是一個更難利用的目標。
蘋果公司聲稱尚未發現攻擊其設備的漏洞。然而，漏洞的性質使得很難明確證實這一點。目前我們所知道的是，這些缺陷確實存在，並且除非修補，否則可能會被利用。來自論文：
“台式機、筆記本電腦和雲計算機可能會受到 Meltdown 的影響。從技術上講，每一個實現亂序執行的 Intel 處理器都可能受到影響，這實際上是自 1995 年以來的每一個處理器（除了 2013 年之前的 Intel Itanium 和 Intel Atom）。我們在早於 2011 年發布的 Intel 處理器上成功測試了 Meltdown。目前，我們只在 Intel 處理器上驗證了 Meltdown。目前還不清楚 ARM 和 AMD 處理器是否也受到影響。受到熔毀的影響。”
“幾乎每個系統都受到 Spectre 的影響：台式機、筆記本電腦、雲服務器以及智能手機。更具體地說，所有能夠保持許多指令運行的現代處理器都可能容易受到攻擊。特別是，我們已經在 Intel、AMD 和 ARM 處理器上驗證了 Spectre。”
計算機速度較慢？
噩夢也並沒有就此結束。為保護機器免受可能的攻擊而發布的安全補丁預計會減慢機器的速度。目前尚不清楚性能到底會下降多少，但據報導，與當前速度相比，性能下降最多可達 30%。來自 Anandtech.com 的 Ryan Smith解釋:
“關於緩解 Meltdown 的問題，目前尚不清楚這會對性能產生什麼影響。單個操作和工作負載可能會慢 30% 以上，但這在很大程度上取決於任務上下文切換到內核的頻率。我預計實際影響會較小，特別是對於桌面用戶。但是，如果服務器用戶及其獨特但范圍狹窄的工作負載特別不幸，他們可能會受到更大的影響。
與此同時，人們對 Spectre 緩解措施的性能影響的了解甚至更少，部分原因是緩解 Spectre 的努力仍在繼續。根據硬件供應商發布的內容，影響應該很小。但除了需要進行實證測試之外，如果 Spectre 需要採取更積極的緩解措施，情況可能會發生變化。 ”
由於這些漏洞幾乎影響了過去 10 年中售出的所有 CPU，因此唯一的解決方案似乎是：要么接受計算速度的降低，要么將舊 CPU 更換為新 CPU。對於大多數人來說——包括擁有數百甚至數千台機器的公司——新的 CPU 不會成為立即的選擇。這使得幾乎每個人都可能期望某種性能受到影響。
據英特爾稱，任何放緩都將“取決於工作負載”。通俗地說，這基本上意味著基於 Skylake 或更新架構的更新芯片組可能不會遭受太大的速度損失。另一方面，較舊的 CPU 可能會因必須運行額外的固件而受到更嚴重的打擊。
它是如何運作的？
新披露的硬件缺陷允許應用程序和程序發現受保護的內核內存區域的內容。這意味著黑客可以欺騙應用程序洩露秘密信息。這些缺陷還可用於攻擊虛擬機，當虛擬機被滲透時，黑客就可以訪問主機的物理內存。
關鍵缺陷還可以允許黑客竊取同樣存儲在內存中的加密密鑰。這意味著旨在保證數據安全的服務和安全消息傳遞服務可能會受到損害。這還意味著，當程序打開並且密鑰存儲在臨時 RAM 中時，密碼管理器持有的加密密鑰就可以被訪問。
事實上，如果不加以控制，這些缺陷可能導致的漏洞列表幾乎是無窮無盡的。幾乎所有在 CPU 芯片組有缺陷的機器上運行的軟件都可能受到損害。只有不將密鑰和密碼保存到內存受影響部分的應用程序才是安全的。正是由於這個原因，快速修補缺陷非常重要。
儘管英特爾、AMD 和蘋果很快就聲稱目前沒有任何漏洞正在傳播，但黑客似乎很快就會學會如何利用這一漏洞。網絡安全公司 Trail of Bits 首席執行官丹·吉多 (Dan Guido)確信不會花很長時間：
“針對這些漏洞的利用將被添加到黑客的標準工具包中。”
谷歌更新
Chrome 只是可以利用這些可怕缺陷進行攻擊的軟件示例之一。一個博客文章Chromium 解釋了為什麼 Google 將於 1 月 23 日發布 Chrome 更新。與此同時，用戶可以使用名為“Chrome 瀏覽器”的實驗性功能來保護自己站點隔離:
“這項研究對執行外部提供的代碼的產品和服務具有影響，包括 Chrome 和其他支持 JavaScript 和 WebAssembly 的瀏覽器。有關其他 Google 產品和服務（包括 Chrome OS）的更多信息，請訪問Google 在線安全博客。
Chrome 允許用戶啟用名為“站點隔離”的可選功能，該功能可以減少對這些漏洞的利用。啟用站點隔離後，由於 Chrome 在單獨的進程中為每個打開的網站呈現內容，因此暴露於推測性旁路攻擊的數據會減少。了解有關站點隔離的更多信息，包括一些已知問題以及如何啟用它通過企業政策或者通過 chrome://flags”。
我受到影響了嗎？
這個問題的答案幾乎肯定是肯定的。大多數設備都會受到影響，因此您需要在適當的安全補丁發布後立即獲取它們。為此原因，您可能需要從 Intel、AMD 或 ARM 獲取更新，具體取決於您設備中的芯片。建議個人和企業向其操作系統製造商尋求建議。 Windows Server VM 的客戶應查看 Microsoft 發布的建議這裡。
該怎麼辦
根據您擁有的設備，您需要確保獲得所有最新的軟件更新。 CPU 製造商正在發布固件更新，因此，如上所述，您必須確保盡快獲得這些更新。
安卓用戶穆斯不要更新他們的設備。好消息是 Android 設備最新安全更新受到保護。但是，可能需要進一步更新：因此請密切關注補丁並在補丁發布後立即接受。
如果您安裝了最新的 iOS 版本 11.2，那麼您應該受到保護。 OS X 還針對 Meltdown 提供了補丁，預計很快還會針對 Spectre 提供更多補丁。此外，蘋果宣布昨天，“我們計劃在未來幾天在 Safari 中發布緩解措施，以幫助防禦 Spectre”。
Mozilla 已經發布了兩個針對 Firefox 的近期修復程序，預計將在一月份晚些時候發布更多補丁。 Windows 10 用戶預計將於今天（1 月 5 日）自動更新，Windows 7 和 8 預計將於下週二收到更新。目前尚不清楚 Windows XP 用戶是否會獲得補丁（就像去年 Mirai 爆發期間的情況一樣）。
最後，由於這些漏洞與內核級訪問有關，防病毒和惡意軟件開發人員可能還需要更新其庫才能與新補丁一起使用。因此，您可能還需要更新防病毒軟件。
請記住：此消息剛剛發布，因此最好的辦法是隨時了解有關您的特定平台的更多詳細信息。如有疑問，請聯繫您的製造商或特定設備的銷售點。
標題圖片來源：來自 Spectre 和 Meltdown 博客。
圖片來源：ouh_desire/Shutterstock.com、Nor Gal/Shutterstock.com、Kite_rin/Shutterstock.com、welcomia/Shutterstock.com、yavyav/Shutterstock.com、Pavel Ignatov/Shutterstock.com