英特爾芯片發(fā)現(xiàn)新漏洞Foreshadow，你的任何敏感信息都可以被黑客獲取

　　據(jù)英國金融時報報道，近日，英特爾確認了其處理器芯片中又一個漏洞“Foreshadow”。這是英特爾今年繼1月份發(fā)現(xiàn)的Meltdown和Spectre之后第三個重要漏洞。

　　據(jù)了解，該漏洞被兩個團隊分別發(fā)現(xiàn)，一個團隊來自比利時魯汶大學，另一個團隊包括美國密歇根大學和澳大利亞阿德萊德大學的專家，可以從CPU上的受保護飛地中竊取秘密，影響了英特爾的SGX技術(shù)。該技術(shù)旨在讓計算機上運行的應(yīng)用程序?qū)⒆蠲舾械臄?shù)據(jù)放入虛擬堡壘中。

　　英特爾的SGX技術(shù)實際上應(yīng)該可以防止投機性執(zhí)行式攻擊。然而，安全研究人員發(fā)現(xiàn)了一種繞過安全措施的方法，并在計算機CPU的不受保護的位置創(chuàng)建任何SGX飛地的“影子副本”。然后可以讀取飛地內(nèi)的數(shù)據(jù)，使保護無用。

　　美國政府的計算機應(yīng)急準備小組在8月14日警告稱，攻擊者可能利用該漏洞獲取敏感信息。利用“預兆”，網(wǎng)絡(luò)罪犯可以獲取一個內(nèi)存芯片內(nèi)的任意信息，包括敏感數(shù)據(jù)、通往長期內(nèi)存的密碼和密鑰，攻擊者還可以將敏感數(shù)據(jù)在一個安全飛地復制并獲取。

　　不過，專家表示，與一般的漏洞攻擊相比，“Foreshadow”是比較難以利用的。

　　英特爾在8月14日發(fā)表的官方公告中稱，尚未發(fā)現(xiàn)有黑客利用該漏洞進行攻擊的報告。同時，公司讓消費者保持系統(tǒng)更新，并表示讓系統(tǒng)保持最新能夠降低大部分消費者和企業(yè)用戶的風險。

　　另外，科技行業(yè)也尚未報告任何利用Spectre，Meltdown或最近發(fā)現(xiàn)的Foreshadow漏洞的攻擊。在嘗試武器化漏洞之前，網(wǎng)絡(luò)犯罪分子更有可能堅持使用經(jīng)過驗證的黑客攻擊方法，例如電子郵件網(wǎng)絡(luò)釣魚和密碼破解。

　　目前英特爾推出了新的補丁程序，它將與之前Meltdown和Spectre的更新相結(jié)合，以抵御潛在的威脅。微軟也發(fā)布了補丁程序以減輕危險。

　　“一旦系統(tǒng)更新，我們預計運行非虛擬化 操作系統(tǒng)的消費者和企業(yè)用戶面臨的風險將會很低，”英特爾在一份聲明中表示?！斑@包括大部分數(shù)據(jù)中心安裝基礎(chǔ)和絕大多數(shù)PC客戶端。在這些情況下，基于我們在測試系統(tǒng)上運行的基準測試，我們沒有看到上述緩解措施帶來的任何有意義的性能影響?！?/p>

　　但是，英特爾警告運行虛擬機的數(shù)據(jù)中心“防范情況”，云提供商無法保證所有虛擬化操作系統(tǒng)都受到保護。根據(jù) Linux供應(yīng)商Red Hat的說法，這可能意味著云提供商需要關(guān)閉支持虛擬機的虛擬機管理程序線程，這可能會降低服務(wù)器性能。

　　英特爾已在此發(fā)布基準，并為尋求更多信息的客戶提供安全建議。

　　亞馬遜和谷歌等大型云服務(wù)提供商表示，他們已經(jīng)制定了緩解措施，以保護客戶免受威脅。與此同時，AMD表示該公司的芯片“不易受”Foreshadow漏洞的影響。