这两天，英特尔处理器芯片中存在设计缺陷和安全漏洞一事引发广泛关注。据谷歌公司的安全团队披露，该漏洞事件源于芯片硬件层面的设计BUG，利用漏洞能够允许具有用户态权限的进程执行未经过授权的CPU缓存数据读取，这有可能导致攻击者获取用户设备上的一些敏感数据，比如密码、登录密钥、私人照片、邮件、即时通讯信息甚至是商业秘密文件等。

英特尔随后发表声明称，已经开始提供软件和固件升级，以减轻这些漏洞的影响。同时表示其他类型的计算设备也很容易受到这些问题的影响。

根本性的设计缺陷到底是什么？

英特尔此次被曝出存在根本性的设计缺陷。这个根本性的设计缺陷到底是什么？一位不愿透露姓名的业内专家告诉解放日报·上观新闻记者，这次暴露出的问题有两类：第一类是Meltdown（熔毁）漏洞。这个设计的根本缺陷在于处理器在猜测执行过程中错误地将低权限代码对高权限内存的访存指令进行了执行，虽然在推测执行失败后处理器撤销了相关操作，但是在内存子系统中留下了操作痕迹，攻击者通过其他手段可以推测得到高权限内存的数据信息，因此造成数据信息泄露。从目前得到的最新信息看,在所有x86处理器中，这个是英特尔独家的设计缺陷。ARM处理器也称，有多款型号比如Cortex-A15、Cortex-A57、Cortex-A72、Cortex-A75等受到了影响。

第二类是Spectre(幽灵)漏洞。这个是基于现代处理器微架构的攻击方法，现在仍停留在理论研究阶段。这个是利用现代高性能处理器中分支预测的特性进行内存探测，而分支预测是现代高性能处理器的基本部件，包括ARM/x86/Power/MIPS等架构。因此可以说，目前所有带有先进的分支预测功能的高性能现代处理器，基本都面临此风险。从ARM处理器的最新安全通知显示，包括Cortex-R7、Cortex-R8、Cortex-A8、Cortex-A9、Cortex-A15、Cortex-A17、Cortex-A57、Cortex-A72、Cortex-A73、Cortex-A75在内的多款型号受到了影响。不过，此类攻击目前仍只存在于理论环境下，还没有实际发生的案例出现，而且此类攻击形式要求比较苛刻，实际操作起来比较困难。所以，对于真实环境下的威胁程度仍需要进一步详尽分析，一些软件/操作系统研究已经可以有效抵御这类攻击，相关机构也已开始防患于未然的研究工作。

考虑到ARM产品的应用巨大程度，大到服务器、电脑，小到人们每天生活中用到的手机，再考虑到国内外各行各业的厂商都在大量使用ARM处理器或是采用了ARM核心开发自己的处理器，应用范围也十分广泛，此次漏洞的影响将不容小觑。

“这个缺陷存在于英特尔数代产品之中”

有报道称，使用云服务的用户群中，如果黑客通过英特尔的芯片漏洞，攻击使用了一台设备，有可能可以读取到另一个设备的数据。如此一来，比特币钱包有可能被窃取，政府机构的重要数据也可能由此流向黑客。对此，这位业内专家认为这种攻击是有可能的。目前流出的攻击代码可以攻破虚拟机/docker等沙箱，也可以直接获取本机内核信息。

这一漏洞可能会波及过去几年间使用英特尔芯片的电脑吗？“这个缺陷存在于英特尔数代产品之中，可能是英特尔一系列产品架构设计上的问题，不是单个产品的问题。”

英特尔在声明中建议用户尽快安装操作系统更新，这样做可以亡羊补牢吗？作为普通用户，我们需要怎么做？专家认为，目前主流系统都为熔毁漏洞进行了紧急更新，可以有效阻止相关攻击。对于普通用户来说，只要及时更新就可以避免攻击。这些更新虽然对于云计算和数据中心有明显的性能影响，但对于个人用户性能影响有限，建议大家打开系统更新，及时升级操作系统。

国内芯片企业防患于未然

这次漏洞事件会对我国的芯片行业带来冲击和影响吗？国内一家芯片制造商运营副总裁告诉解放日报·上观新闻记者，英特尔此次安全漏洞影响最大的是各类信息系统，比如说一些大型网站。目前我国的芯片制造厂商很少有具备自主设计x86/ARM这些主流架构的处理器的能力，因此，此次事件对国内半导体行业的影响还需观察。为了应对这次漏洞事件，主流系统都在进行紧急更新“打补丁”，此举可能会影响到系统性能，需要部署更多的服务器来补偿失去的性能，如此一来反倒可能会促进芯片行业的发展。“如果说要从这次漏洞事件吸取一些教训，那就是我国的企业要设计和发展自己的x86/ARM等主流架构的处理器，才不会受制于人。”

上海兆芯集成电路有限公司是国内为数不多具备设计x86架构处理器能力的企业，该公司技术负责人告诉解放日报·上观新闻记者：“我国高度强调自主安全可靠等概念，以推进信息产业的发展和保障国家信息安全。我们的处理器对任何推测执行都进行严格的权限检查，从根本上避免了利用熔毁漏洞进行攻击。公司在得到消息的当天就进行了分析，并进行了模拟攻击，证明了我们的产品没有这个安全问题。从目前的情况来看，幽灵漏洞对我们的处理器造成的风险也十分有限，目前还没有看到可实际执行的攻击。我们将进一步增强安全特性及设计验证检查，避免此类安全隐患。”