英特爾芯片發(fā)現(xiàn)新漏洞Foreshadow，你的任何敏感信息都可以被黑客獲取

　　據(jù)英國(guó)金融時(shí)報(bào)報(bào)道，近日，英特爾確認(rèn)了其處理器芯片中又一個(gè)漏洞“Foreshadow”。這是英特爾今年繼1月份發(fā)現(xiàn)的Meltdown和Spectre之后第三個(gè)重要漏洞。

　　據(jù)了解，該漏洞被兩個(gè)團(tuán)隊(duì)分別發(fā)現(xiàn)，一個(gè)團(tuán)隊(duì)來(lái)自比利時(shí)魯汶大學(xué)，另一個(gè)團(tuán)隊(duì)包括美國(guó)密歇根大學(xué)和澳大利亞阿德萊德大學(xué)的專家，可以從CPU上的受保護(hù)飛地中竊取秘密，影響了英特爾的SGX技術(shù)。該技術(shù)旨在讓計(jì)算機(jī)上運(yùn)行的應(yīng)用程序?qū)⒆蠲舾械臄?shù)據(jù)放入虛擬堡壘中。

　　英特爾的SGX技術(shù)實(shí)際上應(yīng)該可以防止投機(jī)性執(zhí)行式攻擊。然而，安全研究人員發(fā)現(xiàn)了一種繞過安全措施的方法，并在計(jì)算機(jī)CPU的不受保護(hù)的位置創(chuàng)建任何SGX飛地的“影子副本”。然后可以讀取飛地內(nèi)的數(shù)據(jù)，使保護(hù)無(wú)用。

　　美國(guó)政府的計(jì)算機(jī)應(yīng)急準(zhǔn)備小組在8月14日警告稱，攻擊者可能利用該漏洞獲取敏感信息。利用“預(yù)兆”，網(wǎng)絡(luò)罪犯可以獲取一個(gè)內(nèi)存芯片內(nèi)的任意信息，包括敏感數(shù)據(jù)、通往長(zhǎng)期內(nèi)存的密碼和密鑰，攻擊者還可以將敏感數(shù)據(jù)在一個(gè)安全飛地復(fù)制并獲取。

　　不過，專家表示，與一般的漏洞攻擊相比，“Foreshadow”是比較難以利用的。

　　英特爾在8月14日發(fā)表的官方公告中稱，尚未發(fā)現(xiàn)有黑客利用該漏洞進(jìn)行攻擊的報(bào)告。同時(shí)，公司讓消費(fèi)者保持系統(tǒng)更新，并表示讓系統(tǒng)保持最新能夠降低大部分消費(fèi)者和企業(yè)用戶的風(fēng)險(xiǎn)。

　　另外，科技行業(yè)也尚未報(bào)告任何利用Spectre，Meltdown或最近發(fā)現(xiàn)的Foreshadow漏洞的攻擊。在嘗試武器化漏洞之前，網(wǎng)絡(luò)犯罪分子更有可能堅(jiān)持使用經(jīng)過驗(yàn)證的黑客攻擊方法，例如電子郵件網(wǎng)絡(luò)釣魚和密碼破解。

　　目前英特爾推出了新的補(bǔ)丁程序，它將與之前Meltdown和Spectre的更新相結(jié)合，以抵御潛在的威脅。微軟也發(fā)布了補(bǔ)丁程序以減輕危險(xiǎn)。

　　“一旦系統(tǒng)更新，我們預(yù)計(jì)運(yùn)行非虛擬化 操作系統(tǒng)的消費(fèi)者和企業(yè)用戶面臨的風(fēng)險(xiǎn)將會(huì)很低，”英特爾在一份聲明中表示?！斑@包括大部分?jǐn)?shù)據(jù)中心安裝基礎(chǔ)和絕大多數(shù)PC客戶端。在這些情況下，基于我們?cè)跍y(cè)試系統(tǒng)上運(yùn)行的基準(zhǔn)測(cè)試，我們沒有看到上述緩解措施帶來(lái)的任何有意義的性能影響?！?/p>

　　但是，英特爾警告運(yùn)行虛擬機(jī)的數(shù)據(jù)中心“防范情況”，云提供商無(wú)法保證所有虛擬化操作系統(tǒng)都受到保護(hù)。根據(jù) Linux供應(yīng)商Red Hat的說法，這可能意味著云提供商需要關(guān)閉支持虛擬機(jī)的虛擬機(jī)管理程序線程，這可能會(huì)降低服務(wù)器性能。

　　英特爾已在此發(fā)布基準(zhǔn)，并為尋求更多信息的客戶提供安全建議。

　　亞馬遜和谷歌等大型云服務(wù)提供商表示，他們已經(jīng)制定了緩解措施，以保護(hù)客戶免受威脅。與此同時(shí)，AMD表示該公司的芯片“不易受”Foreshadow漏洞的影響。