查看: 243|回复: 0

[Oracle数据库] 英特尔漏洞

发表于 7 天前

大家好,今天给大家带来一个最近很火的问题,就是英特尔漏洞问题。今年年初,英特尔被曝出其处理器存在一个底层设计缺陷,而要解决这一芯片级漏洞问题,必须得重新设计Windows、Linux内核系统。
据了解,此次被曝出的英特尔芯片漏洞,无法通过微代码更新进行弥补,需要与操作系统研发公司一起修补。而此次受到影响的包括Windows操作系统、Linux操作系统,以及苹果64位macOS等操作系统。
受到此次安全漏洞的影响,英特尔股价最高下跌了5.5%,创下了2016年10月以来最大的跌幅。

此次英特尔漏洞最直接的的影响为:
可能出现密码大泄露
此次英特尔的安全漏洞,存在于英特尔过去十年生产的处理器中。攻击者可以通过这一漏洞深入到内核访问内存内容,而这个内核的内存空间中包含了用户的各种密码、登陆密钥和磁盘缓存文件等。
黑客在Web浏览器中运行JavaScript代码,或者在公共服务器上运行恶意软件就能轻易地获取这些数据。
此次漏洞主要影响云计算数据中心的安全,利用该漏洞能够从VM虚拟机中绕过限制获取物理主机内存的信息,会造成敏感数据泄漏,因而针对它的修复非常紧迫。而对于家用电脑来说,是否会受到影响,具体又会产生多大影响,尚没有定论。大家完全不必太过担心,毕竟很少有人在家用电脑上部署对外出租的虚拟主机资源。
而对于国内的影响来说,各大互联网公司的云团队已经启动了紧急修补工作
百度云、腾讯云和阿里云均发表了相应的安全升级通知。并分别于12号零点、10号凌晨1点到5点、12号凌晨一点进行热升级。

危险波及所有设备:智能手机亦受威胁
如果你以为这次英特尔的安全漏洞只会影响到企业网络和电脑,那么你就错了。
这个漏洞可能会危机计算机以外的设备。现有的微处理器,甚至包括那些运行的智能手机的微处理器都会受到威胁。
所有的微处理器,无论是智能手机还是计算机上的,都基于下面的运行猜测:后续可能要执行的指令,通过“提前排队”处理可能的执行情况,从而更快地收集数据并运行软件。而问题就在于,恶意代码可以通过这种指令的预测性,插队到允许访问安全信息的指令前,进而加载出被封锁的敏感数据,例如密码、缓存文件等。
除了电脑和智能手机,云服务提供商也受到这个漏洞的冲击。所以他们必须减少新客户访问数据中心的速度,同时减少服务器运行的数量,以解决问题。

官方不完美的解决办法:修复方法将影响用户体验
英特尔应对此次漏洞,需要联合系统研发公司,利用技术对加速处理器进行修复。
但是旨在加速处理器性能的技术,都会对修复速度和电子设备运行速度造成影响。英特尔一位负责人透露,在采用最新的英特尔芯片的设备中,其影响将很小。但是如果设备搭载的是旧的处理器,则修复速度和运行速度会显著变慢。
英国伯明翰大学计算机科学讲师IanBatten表示,对于这个漏洞,无论提出什么解决方案,都会导致使处理器速度变慢。但是有关速度下滑25%到30%的报道,是极端情况,即可能出现的最坏情况。

此次代码原理大致如下:
goole zero team 提出。主要原因有两个:
1 因为speculative execution 被load进入cache的数据,cancel了之后没有被invalidate,导致被后继代码利用,可以dump出来speculative state的数据。
2 BTB,cache set 等处的xor hash 较弱,容易被逆向。
其中第一个点最致命,最终的效果就是从kvm root guest里读取 host memory。



回复

使用道具 举报