安全專家發現 Intel 處理器有重大安全問題，建議立即更新系統

就在 Intel 還在為了上一個 Core 處理器安全性問題焦頭爛額的同時，現在又被安全專家們發現了另一個漏洞，而且這個漏洞相對要嚴重更多，影響範圍更是廣及近二十年左右所有的 Intel 處理器和部份 ARM、AMD 處理器。準確的說，這次的漏洞分成兩類，分別取名為「Meltdown」與「Spectre」，兩者都與 CPU 本身的硬體設計有關，分別利用了處理器的「亂序執行」機能與「分支預測」機能，讓惡意程式碼可以從 CPU 當中偷取本應受保護的資料。

Meltdown 是兩者當中相對比較容易被利用的一個，因此嚴重性也要大得多。正常來說，每一個行程都是獨立的，不應該能看到其他行程的資料，但安全專家發現，在 Intel 的處理器（和 ARM Cortex-A75）中，因為亂序執行（Out-of-order execution）在處理資料時是將所有行程混在一起，因此用特別編寫的程式碼，是可以指定位置，「偷取」其他行程的資料的。由於這是個硬體上的設計瑕疵，因此無論是什麼作業系統，只要是有亂序執行的處理器（基本上所有 1995 年後的 Intel 處理器都有）都會受到影響。

Spectre 則是難度高一點的另一種手段，操作處理器的分支預測（Branch Prediction）機能，欺騙受害的行程將指定位置的資料放出來。這個漏洞就不限於 Intel 處理器，而是 AMD 和 ARM 處理器都有中招的可能。不過由於 Spectre 操作困難，因此顧慮稍微小一點，但同時想要避開的話要由作業系統和軟體本身雙管齊下才行，所以想要完全防堵更加困難。

目前還沒有利用這兩個漏洞的案例發生。以長遠來看，所有未來推出的處理器勢必都將從硬體上修正這兩個漏洞，但當下來說，只能靠軟體的方式來彌補，只是推測這有可能會大幅影響市面上處理器的效能，特別是 Meltdown。確切的影響程度取決於工作的種類，一般人上網打遊戲不一定會有很明顯的感受，但雲端應用，尤其是虛擬機器，有可能效能會打上 5%~30% 的折扣。

微軟表示已經釋出更新給一般民眾，建議大家立即安裝，同時 Azure 伺服器平台也已更新完畢，「大部份」的客戶應該不會感受到速度有明顯的差異。蘋果這邊則是雖然沒有官方聲明，但安全專家 Alex Ionescu 指出在 macOS 10.13.2 更新出已經包含相關的修正，如果還沒更新到 10.13.2 的朋友也請盡快更新。最後，Google 表示絕大部份的 Android 機器上要利用這個漏洞是「困難而受限」的，但依然為自家的全系列手機提供了更新，並會全力協助合作的手機商針對性地強化系統。

終歸來說，對於我們一般人除了盡快更新電腦，並和往常一樣小心別亂點連結或下載檔案之外，能做的事並不多。倒是 AMD 似乎成為了整起事件最大的受益者，在這個 Intel 和 AMD 競爭漸趨白熱化的時代，如果證實軟體解決方法對 Intel 處理器效能有可感受到的影響的話，似乎讓天秤向 AMD 傾斜了不少啊。

來源: Meltdownattack, Google Project Zero, Google Support, Microsoft Azure Blog, ARM

經由: Engadget (1), (2), (3)