关于CPU漏洞的思考——别太把自己当回事

关于CPU漏洞的思考——别太把自己当回事

虚实之路 2018-01-07

这次由Intel CPU爆发出来的安全漏洞，或者说是安全隐患，闹得“满球风雨、沸沸扬扬”，当然不止是Intel，实际上AMD、ARM也卷入其中，可以说是主流芯片厂商一网打尽。难道真的要“风声鹤唳、草木皆兵”了吗，下面从V公司的视角，看一看这到底是怎么回事，到底有多大影响。

 

  关于漏洞的技术细节和造成的后果，网上已经到处都有描述，这里仅简单的重复一下这个漏洞的影响。2018 年 1 月 3 日，英特尔的芯片产品被爆出存在设计缺陷，这个设计缺陷能够引起两种网络黑客攻击，分别是“崩溃（Meltdown）”和“幽灵（Spectre）”。“崩溃”是一种打破应用程序与操作系统之间隔离的攻击。当隔离消失后，软件就可以直接访问内存，从而直接调取其他应用程序和系统资源；“幽灵”则是一种打破不同应用程序之间隔离的攻击。它可以让黑客进行伪装，骗过系统的检测，最终达到调取资源的目的。

 

如果再往前追溯的话，其实这个漏洞早已有之，甚至可以追溯到1995年，黑客们早就知道“崩溃”的设计缺陷。那为什么到现在才会引起重视呢，个人觉得主要是虚拟化和云计算技术的普及和推广，尤其是公有云的市场份额不断扩大、商业模式的不断成熟，当然网上也有些“阴谋论”的说法，但是内幕真假不得而知。

 

我认为，这个漏洞或者安全隐患，没有大家想象的那么夸张，大可不必“小题大做”，原因可以归结以下几点：

 

1. 这个漏洞，虽然可以造成数据泄露，但是仅仅是数据泄露，黑客们没法植入程序、没法Crash系统，甚至带来的数据泄露，也仅仅是内存片段的数据。最有可能的情况是，黑客根据这个漏洞设计出一种病毒，可以自动窃取数据，但是这样做好像也意义不大，因为窃取的数据干什么用呢，都是零散的片段数据，还要做归整和梳理，问题是他也不知道这个数据是否有用。除非他知道这台宿主机上运行了哪些业务系统，针对性的进行攻击。

    

2. 现在虚拟化平台都具有最基本的vMotion（在线迁移）、DRS（动态资源调配）等功能，数据中心内部宿主机上的虚拟机一直在根据调度算法进行迁移、平衡资源，这种情况之下，黑客们更无法判断他们窃取的数据是否有价值，攻击又没法攻击、崩溃又没法崩溃，拿着一堆没有意义的数据，我不知道这些黑客做这种徒劳无功的事儿想干啥。呵呵

   

    

3. 我接触的客户政府、金融、大型企业等较多，虚拟化率相对也比较高，这些单位数据中心的一个特点就是“多网共存、物理隔离”，比如、内网、外网、外联网、涉密网、各种专网等等，基本上都是物理隔离的，我们就简单的成为内网和外网吧，对于大部分的单位来说，黑客们是进不了内网的，因为有严格的认证制度；但是黑客们可以进入到外网，但是话又说回来，外网的数据都是公开的，本来就是让大家看的，而且又回到刚才的话题，他也不知道其它虚拟机上的数据是否有价值，黑了又有什么用呢。再回到内网，如果内部人想作案，最多想研究一下这些漏洞的影响，或者炫耀一下自己的技术水平，其实也不会造成什么损失，不过话又说回来，“外贼好捉、家贼难防”，不仅仅是这个漏洞了，如果他真想干点啥，防也防不住。

    

4. 作为一个负责任的黑客，我觉得从网络安全下手，远比从这个所谓的CPU漏洞获益更多，至少从去年到现在我们还没听说过由于这个漏洞造成的安全事件吧，否则媒体早就大做文章了。其实网络漏洞非常之多，这才是黑客们的擅长之处，也是更加容易上手的切入点，大部分黑客，闯入别人系统，目的性都是很强的，而从网络层面，可以很容易的指向任意的业务系统或应用，针对性的进行“窃取、植入、破坏”。尤其是对于虚拟化平台来说，如果没有“分布式防火墙”，类似微分段技术的防护，基本上很容易被人攻破。事实上，大部分客户的虚拟化网络内部都是“一马平川”，用户只要切入一点就可以“为所欲为”。

    

   

    

    

    

    

    

    

5. 认真考虑一下这个漏洞的最大影响，其实是公有云厂商，公有云厂商的安全薄弱，也不是一天两天的事情，一直为业界所诟病，并且越来越被引起重视，当然这里并不包含采用V公司的公有云服务商。针对大部分采用Xen、KVM底层技术的公有云厂商，可以说“一点破、全局破”，所以黑客们更喜欢公有云环境，对了，之前你不是说攻破一点没意义吗？在公有云里就不一样了，因为公有云里你可以“偷窥”很多家的隐私，就类似前不久爆出的公共摄像头问题，你想想，你面对那么多公有云客户的隐私数据，是不是暗暗窃喜呢，如果再做个什么算法、程序，穷举、萃取一些你感兴趣的信息，那么真的公有云就毫无秘密而言了。听着好吓人呐。

    

  不过倒不是说这个漏洞可以忽略，在某些行业和领域，尤其是安全级别很高的单位，还是需要防范的，比如军工、大金融数据中心、大政府信息中心、省部委级别数据中心以及其它涉及国家机密的单位和机构，不能给阶级敌人和外来入侵者一切可利用的机会嘛。

 

 

说了这么多，对V公司到底有没有影响呢。当然有影响，因为这是硬件底层的Bug，所以一定要有补丁。而且V公司早在去年就推出了相应补丁，只是没声张而已，作为客户你又或许想，你们大V公司这么做不是不负责任吗，其实这样做正是负责任的表现，我们是专业的，把专业领域可以控制的漏洞散发给大多数都不专业的客户，反而会造成不必要的恐慌，就像现在这样的“草木皆兵”。而且这种硬件设计缺陷，也不应该由V公司披露出来，这个漏洞在V公司来说，并不算严重漏洞（Critical），还是那句话，亲爱的客户，别把自己太当回事，其实没谁想攻击你。

 

最后，如果您执意要打补丁、一定要升级，那也没关系，其实大V公司早已经准备好了支持手段。你要打什么补丁？在哪里下载？打补丁的方式方法？打了补丁之后GuestOS如何如何处理？这两个漏洞对ESXi的影响等等，这些问题，你只需要打电话给离你最近的V公司SE，就可以获得基本上明确的答案。

 

你说什么，“你们单位还没买？”，哦，那也没关系，我们知道V公司有大量的试用用户，只要你上了生产系统，我们也会提供您有价值的信息和支持。因为，我们也没太把自己当回事。