行业动态

英特尔 CPU 的爆炸式增长存在重大设计缺陷，几乎所有现代 CPU 都无法幸免。修复漏洞的补丁软件会影响芯片性能。消息传出后服务器运维，周日开盘前英特尔股价上涨2%，老对手AMD开盘前股价下跌7%。目前，英特尔回应称明天会推送软件和固件解决问题，媒体报道有误。

1 月 2 日，Zero 在博客中发布了一系列 CPU 漏洞信息，其中包括引起内网和云估算供应商哗然的一条：漏洞是硬件设计造成的，虚拟用户在同一化学空间A 可以任意访问另一个虚拟用户 B 的数据，包括受保护的密码、应用程序密钥等。该漏洞需要 OS 级别的修补，会导致严重的性能提升。 . .

漏洞详情

技术可以读取 Linux、MacOS 的整个数学内存和大部分化学内存。 Linux 内核版本 2.6.32~4.13.0 和最新的 10 个受到影响。

可以读取其他进程的数学内存。尽管可以使用内核共享技术（例如 LXC）或使用 Xen 芯片的功能来读取沙盒中的内核或视频内存。

影响自 2010 年以来生产的大多数英特尔芯片。在 ARM 和 AMD 芯片上的实验不成功。

漏洞的根本原因是“预测执行”技术的设计缺陷。

漏洞原理

为了提高处理效率，现代处理器内置了预测技术：通过预测下一条指令，处理器可以填满内部流水线，充分利用运行效率。英特尔的投机执行（）技术在业界属于典范级别，业内所有公司都在向英特尔靠拢。但是，这个漏洞表明Intel的推测执行存在于芯片内部内存访问执行单元Load/和 ROB上。安全检测漏洞，导致操作系统内核的安全防护出现问题，允许用户程序窥探内核数据，包括系统访问历史、密码等，从而使攻击者能够推断内核地址，从而启动攻击控制控制整个系统，造成严重的安全隐患。受影响的用户包括服务器环境、PC环境和中国联通环境。

该漏洞允许攻击者通过构造一段代码来完成以下流程：

因此，永远无法到达需要访问受保护视频内存的指令，并且可能由于“推测执行”而提前执行。

代码根据受保护数据的内容访问视频内存中的不同位置。 （比如data是你要破译的数据，那么[data*4096]会根据数据访问不同的内存页）。

芯片检测到权限不足并回滚之前的操作，将状态恢复到该指令执行之前的状态。但是CPU中的显存缓存并没有回滚。

在程序检查中为每个内存页检索数据的时间。如果某个显存页面的检索时间很短，说明该页面在缓存中，是之前刚刚访问过的页面。从这个页面的下标，就可以判断出数据是什么了。

如何解决

目前这个漏洞只有两种解决方案：在操作系统级别打补丁或订购重新设计的 CPU。至关重要的是，操作系统级别的修复会对 Linux 和英特尔处理器上的系统性能产生影响。

目前的Linux系统已经修复了这个漏洞，采用的解决方案叫做内核页表分离。主要作用是通过KPTI（）将系统内核和用户显存完全分离，允许系统使用另一个分区表服务器运维，使用户程序无法访问系统内核。

漏洞的具体影响

1、性能影响：

KPTI 会导致 CPU 频繁从内核模式切换到用户模式，导致 TLB 缓存随时间刷新，降低系统性能。根据初步测试，Intel CPU性能将提升5%-30%，相当于回滚1~2代。例如，经过修补的第 8 代赛扬 CPU 可能比同级别的第 7 代赛扬 CPU 性能更好。

这个测试到现在，IO性能提升了近50%，编译性能下降了近30%，redis也提升了近20%。

2、个人用户：

对于个人用户来说，这个漏洞在大部分使用场景中的影响并不严重，除了CPU性能提升导致需要更换...

3、云测算服务商：

此漏洞将影响所有云供应商，包括但不限于、、、和其他掠夺者。

如果漏洞被利用，那么同一化学空间中的虚拟用户A可以任意访问另一个虚拟用户B的数据，包括受保护的密码、应用程序密钥等。令人担忧的是，已经有迹象表明黑客正在利用该漏洞攻击云系统。短期内，云厂商的服务成本可能会大幅增加。

由于云平台大量使用了虚拟化技术，这种补丁比个人笔记本的补丁复杂，因为云厂商的服务器具有极高的数据吞吐量，补丁对服务器系统性能的影响会比PC更严重。

他们目前如何应对？

英特尔首席执行官布莱恩最近表示，微软是第一家向英特尔发布漏洞警告的公司，微软将在稍后发布完整报告。目前，受影响企业已经采取行动。

谷歌在一份声明中表示：“我们已经意识到这个全行业的问题，但已经与芯片制造商密切合作，开发和测试保护我们用户的方法，我们正在部署到云服务。安全更新也已经发布后，该漏洞会影响英特尔、ARM 和 AMD 等公司的硬件，我们尚未听到任何用户利用此漏洞的报告。”

据悉，亚马逊宣布其云服务（EC2））中的弹性估算云系统已修复相关漏洞，其余部分将在数小时内修复，并提醒用户修补操作系统.

也有业内人士表示苹果系统不会受到影响，他们在今年12月的.13.2中已经在一定程度上解决了这个问题.

4、运维工程师：

对于运维工程师来说，当务之急是将Linux系统内核升级到最新版本，避免一波官方攻击。

未来，服务器性能增长不可避免，运维工程师需要提前谋划。