堵上“幽灵”和“熔毁”漏洞英特尔第9代CPU安全就无忧了吗？

【天极网网络频道】10月9日，英特尔召开新品发布会，推出第9代酷睿桌面级处理器，涵盖i5-9600K、i7-9700K 和 i9-9900K。据悉，英特尔本次再次增加2个核心，最高规格达到8核16线程，5.0GHz单核睿频以及16MB的英特尔智能高速缓存，成地表最强游戏处理器。

不过，作为一名安全圈的记者，这些都不是我关注的重点。在英特尔秋季桌面发布会上，英特尔方面称，第9代CPU增加了针对Spectre(幽灵)和Meltdown(熔毁)漏洞变种的硬件保护。

回顾英特尔“芯片门”

想当初，英特尔“芯片门”一事闹得沸沸扬扬。作为全球最大的个人计算机零件和CPU制造商，英特尔芯片被广泛用于各种计算设备，比如笔记本、台式机和服务器等。2018年1月初，英特尔芯片被媒体曝光存在严重技术缺陷，由此引发全球用户对信息安全的担忧。

当时，一安全团队曝光了CPU中的Meltdown(熔毁)和Spectre(幽灵)两大漏洞。

据国内威胁检测防御技术的知名厂商安天发布的《处理器A级漏洞Meltdown(熔毁)和Spectre(幽灵)分析报告》表明，这被定为“A级漏洞”，并可能演化为针对云和信息基础设施的A级网络安全灾难。

具体说来，相关漏洞利用了芯片硬件层面执行加速机制的实现缺陷实现侧信道攻击，可以间接通过CPU缓存读取系统内存数据。

“幽灵”和“熔毁”两大漏洞

漏洞Meltdown(熔毁)因“融化”了硬件的安全边界而得名，漏洞Spectre(幽灵)因其手段的隐蔽性而得名。

该报告指出，“该漏洞是一个足以动摇全球云计算基础设施根基的漏洞，其意味着任何虚拟机的租户或者成功入侵一个虚拟机的攻击者，都可以通过相关攻击机制去获取完整的物理机CPU缓存数据，而这种攻击对现有虚拟化节点的防御机制是无法感知的。”

并且，该漏洞的机理，导致其存在各种操作系统平台的攻击方式，尽管漏洞只能读取数据，不能修改数据，但由于其获取的数据有可能包括口令、证书和其他关键数据，因此漏洞比一般性的虚拟机逃逸对云的危害更大。

同时，该报告进一步陈述，“该漏洞对于攻击桌面节点同样有巨大的攻击力，其大大提升了以浏览器等为攻击入口的攻击成功率。包括使传统的使用非超级用户来降低网络风险的安全策略失效。”

英特尔在9代CPU中加入硬件保护筑上“安全之墙”

现在，针对之前的漏洞问题，英特尔终于加入硬件保护。在发布会的PPT演示中，具体这样解说：

最新的桌面级处理器增加了对安全漏洞的保护，包括“幽灵”、“熔毁”和“L1TF”知名漏洞。这些保护措施，包括了我们早些时候宣布的硬件设计变更以及软件和微代码更新。

对此，天极网记者咨询了安天，安天微嵌高级工程师赵世平表示，““幽灵”、“熔毁”和“L1TF”漏洞，本质都是发生在CPU微结构内部的漏洞，因此用纯软件(Software)方法通常只能缓解攻击，无法完全修补这些漏洞，必须修改CPU微结构。”

一般而言，人们只知道CPU，而CPU微结构则更细。我们知道，CPU是一块超大规模的集成电路，但对程序员来说，CPU是一个“黑盒子”，程序员只要按照CPU指令集，用相应的指令编写程序，并将指令程序和相应数据加载到内存即可执行程序。

CPU内部是由运算器、控制器、寄存器等部件组成的硬件电路，内存指令被读取后，还需要经过复杂的指令译码等过程。这种CPU内部硬件电路的结构，被称为CPU的微体系结构，简称微结构。

可以说，硬件层面的保护为英特尔9代CPU筑起一道“坚实的墙”。

修改硬件+升级微码+软件三重防护

在2018年3月，英特尔宣布它们将会在新一代CPU中增加硬件保护，从而避免用户受到漏洞及其变种的“侵害”。

“虽然将继续通过软件来解决变种1，但我们正在对硬件设计进行更改，以进一步解决其他问题，” 前英特尔首席执行官Brian Krzanich在新闻稿中表示，“我们重新设计了部分处理器，通过分区引入新级别保护，可以防止变种2和变种3。可以把这种分区视为应用程序和用户权限级别之间的额外‘保护墙’，为网络不法分子制造障碍。”

赵世平称，“可见一部分漏洞可用升级微码，或者升级微码加上软件配合的方式加以修补，但仍有部分漏洞必须通过修改CPU硬件电路设计进行修补，Intel综合采用修改CPU硬件(Hardware)电路设计，升级微码(Microcode)，以及加上软件(Software)配合三种方式修补这一系列CPU微结构内部的漏洞，可以以尽量短的时间和尽量低的成本在新一代CPU上完成漏洞修补工作。”