席卷整个IT产业 高危级别芯片漏洞 堪比“千年虫”

　　今年新年刚过，爆出了几乎席卷整个IT产业的芯片漏洞事件，让人们刚刚放松的神经紧张起来。

　　根据国内外媒体的披露，事件的来龙去脉是这样的：2017年，Google旗下的ProjectZero团队发现了一些由CPU Speculative Execution引发的芯片级漏洞，“Spectre”（变体1和变体2：CVE-2017-5753和CVE-2017-5715）和“Meltdown”（变体3：CVE-2017-5754），这三个漏洞都是先天性质的架构设计缺陷导致的，可以让非特权用户访问到系统内存从而读取敏感信息。

　　Project Zero安全团队的一名成员在2017年6月1日向英特尔和其他芯片生产商告知了这些漏洞的情况。而直到2018年1月2日，科技媒体The Register在发表的一篇文章中曝光了上述CPU漏洞，才让芯片安全漏洞问题浮出水面，也让英特尔陷入一场突如其来的危机。

　　芯片安全漏洞爆出后，引起了媒体和业界的广泛关注：不但将在CPU上市场份额占绝对优势的英特尔抛到舆论漩涡中，也引起大家对安全问题的担忧。

　　人们不禁要问，芯片漏洞问题早已发现，为什么到现在才被公布？是英特尔有意隐瞒吗？

　　延期公布，为应对方案赢得了时间

　　从媒体披露的情况来看，1995年以来大部分量产的处理器均有可能受上述漏洞的影响，且涉及大部分通用操作系统。虽然是以英特尔为主，但ARM、高通、AMD等大部分主流处理器芯片也受到漏洞影响，IBM POWER细节的处理器也有影响。采用这些芯片的Windows、Linux、macOS、Android等主流操作系统和电脑、平板电脑、手机、云服务器等终端设备都受上述漏洞的影响。应该说，这是跨厂商、跨国界、跨架构、跨操作系统的重大漏洞事件，几乎席卷了整个IT产业。

　　《华尔街日报》报道称，Project Zero安全团队在2017年6月1日向英特尔和其他芯片生产商告知漏洞情况后，在7个月时间里，英特尔一直在努力联合其他主流芯片厂商、客户、合作伙伴，包括苹果、谷歌、亚马逊公司和微软等在加紧解决这一问题，一个由大型科技公司组成的联盟正展开合作，研究并准备应对方案。

　　据消息人士透露，该联盟成员之间达成了保密协议，延迟公开，研究开发解决方案，确保公布漏洞后“准备就绪”。该消息人士还称，原计划1月9日公开，而由于科技媒体The Register在1月2日就曝光了芯片漏洞问题，导致英特尔等公司提前发布了相关公告。

　　在芯片漏洞曝光后的第二天，1月3日英特尔公布了最新安全研究结果及英特尔产品说明，公布受影响的处理器产品清单。

　　1月4日，英特尔宣布，与其产业伙伴在部署软件补丁和固件更新方面已取得重要进展：英特尔已针对过去5年中推出的大多数处理器产品发布了更新，到这个周末，发布的更新预计将覆盖过去5年内推出的90%以上的处理器产品。

　　随后，微软、谷歌以及其他一些大型科技公司相继发布关于漏洞的应对方案，表示他们正在或已对其产品和服务提供更新。

　　■微软发布了一个安全更新程序，以保护使用英特尔和其他公司芯片的用户设备。

　　■苹果确认所有的Mac系统和iOS设备都受到该漏洞影响，但已发布防御补丁。

　　■谷歌表示，漏洞问题影响到英特尔、AMD和ARM的芯片，并称其已更新了大部分系统和产品，增加了防范攻击的保护措施。

　　■高通表示，针对受到近期曝光的芯片级安全漏洞影响的产品，正在开发安全更新。

　　有网络安全专家认为，虽然漏洞影响范围广泛，对于普通用户来说，大可不必过于恐慌，但受影响最大的主要是云服务厂商。而主要的云服务厂商已公布了应对方案和时间表。

　　亚马逊 AWS的技术部门的服务人员回复称新的服务器默认已经有补丁，不会有影响

　　阿里云 在1月12日凌晨1点采用热升级的方式进行虚拟化底层的更新。

　　腾讯云 在1月10日凌晨01：00~05：00通过热升级技术对硬件平台和虚拟化平台进行后端修复，对于极少量不支持热升级方式的服务器，腾讯云安全团队将会另行进行通知。

　　百度云 在虚拟机和物理机两个层面进行修复工作，并于2018年1月12日零点进行热修复升级。

　　华为云 正在对漏洞进行分析，跟进主流操作系统发布补丁的情况，截至目前，尚未监测到有针对此漏洞的攻击程序。

　　AI商业认为，幸好不是漏洞一发现就公布，否则，在没有应对方案出来的时候就公布，会引起更大的安全担忧或恐慌。而延迟到现在公布漏洞，英特尔、微软等主要厂商已做好充足的准备，相继发布了补丁和更新方案。

　　芯片漏洞堪比“千年虫”，需要大家“在一起”

　　在整个IT发展史上，随着技术发展所暴露出来的计算机软件或设计漏洞可以说是一种难以避免的现象。因为，技术在发展，黑客技术也在不断发展，多年前没发现存在漏洞，多年后就可能发现存在漏洞。“你信或不信，漏洞可能就在那里，只是还没人能够发现”。

　　而一旦漏洞被发现，只有积极应对解决，才能避免损失，防患于未然。芯片是整个信息系统的“心脏”和核心。解决这种芯片级的、前所未有的，涉及面极广的、高危级别的重大安全漏洞，难度系数可想而知！

　　这已不是芯片领头厂商英特尔一家可以解决的，也不只是英特尔、ARM、AMD等芯片厂商应该积极应对的问题。而且，根据英特尔、微软等厂商公布的信息看，到现在还不能说完全解决漏洞问题。好在，到目前为止没有一个实际被攻破的案例，各家公司都表示未发现利用上述漏洞发动攻击的证据。

　　AI商业认为，这次芯片漏洞事件堪比当年的“千年虫”问题，已成为“一损俱损”的全行业事件，需要整个产业链的密切配合、共同解决。解决得好，大家都化险为夷，而万一出现安全攻击事件，损害的不仅是英特尔或哪一家厂商，而是整个产业。

　　这不仅让人回想起当年整个产业“集体”应对“千年虫”问题时的场景。“千年虫”算是一种程序处理日期上的bug。由于其中的年份只使用两位十进制数来表示，因此当系统进行跨世纪的日期处理运算时，就会出现错误的结果，进而引发各种各样的系统功能紊乱甚至崩溃。

　　20世纪90年代末，“千年虫”问题是许多专家广泛讨论的话题，它可能引发飞机碰撞、轮船偏离航向、证券交易所崩盘等问题，一旦出错后果不堪设想。

　　而“千年虫”问题之所以基本平稳地度过，与政府和整个产业的重视和大力修复分不开，当然也离不开媒体铺天盖地的宣传。就算这样，也有少数落后国家不够重视或者资金技术不足，导致“千年虫”发作，一些政府机构和电力系统运行瘫痪。

　　所以，AI商业认为，相关厂商、用户和政府部门都应该拿出当年应对“千年虫”问题的态度来积极应对，防患于未然。一要密切跟踪该漏洞的最新情况，及时评估漏洞的影响。二要对芯片厂商、操作系统厂商和安全厂商等发布的补丁及时跟踪测试，制定修复工作计划，及时更新安装。

　　我们相信，只要齐心协力，积极应对，芯片漏洞问题最终也将是“虚惊一场”。

　　李云杰

关注读览天下微信， 100万篇深度好文， 等你来看……