广告

本次CPU漏洞不是某一家的锅,请共同面对

2018-01-10 08:53:33 Kevin Krewell 阅读:
尽管一开始的报导重点都放在英特尔,但目前更需要的是在这些彼此竞争的厂商之间以及软件与芯片公司之间建立独特的产业合作,连手补救CPU安全漏洞问题…
广告

针对近来研究人员发现的处理器安全漏洞,包括英特尔(Intel)、苹果(Apple)和微软(Microsoft)等技术巨擘正连手提供修补方案,以避免这些攸关安全的漏洞让黑客有机可乘,从计算机、智能手机和其他设备中窃取数据。

稍早前发现的所谓“安全漏洞”指称出现在英特尔的芯片,而今,很显然地,上周发布的这些安全漏洞普遍对于当前的许多高性能处理器都造成了影响,而不仅限于英特尔。

事实上,Google Project Zero和其他公司的安全研究人员已经发现了三种不同的旁道攻击(side-channel attack)。这些攻击搭配采用了对于现代CPU内部作业的知识以及某种程度的暴力(brute force)破解法。

值得注意的是,截至目前为止,我们尚未发现这些安全漏洞被利用。但是,随着这项消息被披露,对于CPU有深入了解的黑客可能就会发动攻击。因此,包括整个软件生态系统都竞相发布修补这些安全漏洞的增补程序。

需要共同修复这些安全漏洞的团队包括AMD、ARM和英特尔等CPU设计业者。而关键的软件供货商则包括Apple、Citrix、Linux、微软和VMWare。

这些供应商在去年六月即已发现存在安全漏洞,并着手进行修补。但由于这些安全漏洞存在于已经出货的芯片设计中,唯一的解决办法就是以修补系统软件来解决这些问题,例如透过更新操作系统(OS)以及虚拟化软件/管理程序等。

我在此用的是“漏洞”(vulnerability)一词,而非“错误”(bug),因为这些电路都是依照应有的设计方式进行的。但旁道攻击正是利用对于这些正确操作的知识,以推断应该会受到保护的数据。

对于性能将会造成什么影响,将取决于每一种不同的处理器设计和软件。例如数据中心等需要大量系统呼叫(system call)指令的软件似乎感受最深。而像游戏与浏览器等一般用户软件所受的影响应该不大。

特别设计的恶意软件可能会强制CPU执行“推测性执行”,然后从具有更高层级保护的区域中辨识出数据来。因此,在修复时必须改变系统的软件和固件。恶意软件并不会破坏内存,但在本地执行的软件可能暴露敏感的数据,例如密码和加密密钥。

英特尔已经证实,这些攻击可能发生在其处理器上,而AMD也暴露出可能的威胁。

在上周发现的三种主要安全漏洞及其编号如下:

• 绕过边界检查(Bounds Check Bypass;CVE-2017-5753)

• 分支目标注入(Branch Target Injection;CVE-2017-5715)

• 未管理数据加载(Rogue Data Load;CVE-2017-5754)

“绕过边界检查”必须进行软件修复,因为这种威胁难以透过改变CPU设计来消除推测执行。AMD、ARM与英特尔三家公司表示,这种常见的威胁可以透过软件更新进行修复。因此对于性能的影响微忽其微。

而第2和第3种威胁的影响则取决于不同的CPU供应商。英特尔证实了这两种威胁的存在,但AMD表示并未观察到第2种威胁,其设计也未受到第3项漏洞的影响。这可能是因为英特尔在其预测性作业的设计方面采用了更先进的技术。每一家供应商都有不同的分支目标设计,而这可能影响到安全漏洞。同时,这部份的威胁对于性能的冲击也最大。

英特尔表示,第2种威胁可能使得性能基准检验分数减少0-5%。而第3种威胁则可能对于典型工作负载造成3-5%的影响,特别是对于经常存取核心服务的软件影响将首当其冲。

ARM的情况比较复杂。许多ARM核心是限制或甚至没有推测执行的,即使是主流的Cortex-A核心。但更高性能的核心则确实提供了性能的推测作业。此外,像Apple、Cavium和高通(Qualcomm)等授权ARM架构的业者所设计的芯片,也各自具有不同的推测执行和分支目标设计。随着这些信息被揭露,各家供货商都必须列出可能受到影响的CPU清单。ARM将在开发过程中更改其核心设计,并根据需要增补现有的核心。

尽管一开始的报导重点都放在英特尔,但目前更需要的是在这些彼此竞争的厂商之间以及软件与芯片公司之间建立独特的产业合作。可能还会有更多的公司将受到这些安全漏洞的影响。但随着此次事件反映出安全缺陷正在改变威胁的形式,我希望这一次将是业界针对安全问题展开更广泛合作的开始。当所有的公司共同合作,势必能更有力地保护我们的PC、手机与数据中心。

编译:Susan Hong

本文授权编译自EE Times,版权所有,谢绝转载

EETC wechat barcode


关注最前沿的电子设计资讯,请关注“电子工程专辑微信公众号”。

本文为EET电子工程专辑 原创文章,禁止转载。请尊重知识产权,违者本司保留追究责任的权利。
  • Arm:赋能开发者,软硬协同重塑AI计算生态 硬件若无软件支持就毫无意义。而软件始终是Arm计算平台不可或缺的一部分,其技术已经涵盖整个软件栈的各个层面。从底层固件和操作系统的开发,到与游戏引擎、开源社区和独立软件供应商(ISV)的战略合作,确保所有这些在Arm平台上都能“开机即用”。
  • 芯原汪洋:塑造智能计算未来,为AI技术应用赋能 汪洋特别提到,第十三届芯原CEO论坛五大预测之一是2028年用于端侧微调卡和推理卡的销售额将超过用于云侧的训练卡。目前,推理和端侧微调也是芯原重点关注的领域,同时也希望在这一发展趋势中寻找新的机遇。 
  • 集成电路性能应如何验证? 随着对复杂IC的需求不断增长,供应商面临着越来越大的压力,需要在尽可能短的时间内交付最高质量的IC。本文阐述了测试工程在交付定制IC以满足这一需求方面的重要性。
  • 芯粒技术标准迈向3D时代 为了解决SiP生命周期中跨多个芯粒的可测试性、可管理性和调试设计挑战,UCIe 2.0版更新的一个关键特性在于支持3D封装。
  • 2024年是否将是先进封装之年? 先进封装技术继2023年成为突出亮点之后,今年继续掀起波澜,并与半导体行业新星——chiplet的命运密切相连。
  • 人工智能是否是硅光子的杀手级应用? 人工智能(AI)是促进硅光子技术广泛应用的杀手级应用吗?鉴于过去几年AI的爆炸式增长推动了对高速互连和更高带宽的需求,以及随之而来的以太网光收发器的需求,人们可能会这么认为。
  • “一碰交互,共触未来”ITMA峰会盛大 目前,智能终端NFC功能的使用频率越来越高,面对新场景新需求,ITMA多家成员单位一起联合推动iTAP(智能无感接近式协议)标准化项目,预计25年上半年发布1.0标准,通过功能测试、兼容性测试,确保新技术产业应用。
  • 中科院微电子所在忆阻神经-模糊硬 中科院微电子所集成电路制造技术重点实验室刘明院士团队提出了一种基于记忆交叉阵列的符号知识表示解决方案,首次实验演示并验证了忆阻神经-模糊硬件系统在无监督、有监督和迁移学习任务中的应用……
  • 直角照明轻触开关为复杂电子应用提 C&K Switches EITS系列直角照明轻触开关提供表面贴装 PIP 端子和标准通孔配置,为电信、数据中心和专业音频/视频设备等广泛应用提供创新的多功能解决方案。
  • 投身国产浪潮向上而行,英韧科技再获 投身国产浪潮向上而行,英韧科技再获“中国芯”认可
广告
热门推荐
广告
广告
广告
EE直播间
在线研讨会
广告
广告
广告
向右滑动:上一篇 向左滑动:下一篇 我知道了