近日CPU漏洞比較受人關(guān)注，微軟認為瀏覽器是抵御新漏洞的關(guān)鍵，微軟今天已經(jīng)針對該問題發(fā)布更新。推送了Edge、IE11的更新，并將從AMD、ARM處理器下手。

今天最大的新聞就是因為設(shè)計缺陷而帶來的CPU漏洞，一些惡意程序會利用該漏洞擁有原本不應(yīng)該擁有的高權(quán)限，以此隨意在內(nèi)存當(dāng)中訪問數(shù)據(jù)。對，沒錯，就是“Meltdown”和“Spectre”，前者目前僅僅針對Intel處理器發(fā)作，不過好在存在“解藥”，微軟今天已經(jīng)針對該問題發(fā)布更新。而后者的殺傷力要更大，不僅可以針對原本毫無關(guān)聯(lián)的AMD、ARM處理器下手，甚至還沒有有效的解藥存在。

既然沒有解藥，那就只能在預(yù)防環(huán)節(jié)下功夫，具體來說就是在流通環(huán)節(jié)排除異常文件的傳播，其實我們常用的外接存儲設(shè)備都是潛在的傳播源，但最重要、使用頻率最高的是我們的網(wǎng)頁瀏覽器，根據(jù)Google Project Zero發(fā)布的細節(jié)，前文所提及的漏洞可以通過瀏覽器當(dāng)中的JavaScript語言代碼傳播，這意味著Google、Mozilla需要加緊發(fā)布更新，而微軟今天已經(jīng)通過補丁KB4056890更新Microsoft Edge、Internat Explore 11兩款瀏覽器，通過一些微調(diào)，來降低漏洞通過讀取內(nèi)存來竊取數(shù)據(jù)的問題，注意微軟的原文是“miTigate”，not“Eliminate”。

其實要封堵這項漏洞，基本的思路還是針對訪問內(nèi)存、預(yù)測執(zhí)行功能動手，雖然這樣聽起來很不靈活，但是也是最簡單粗暴的方案。首先微軟將會移除原本在Windows 10 Fall Creator Update當(dāng)中為上述兩個瀏覽器加入的ShareArrayBuffer，然后就是將Performance.now（）的執(zhí)行精度從千分之五毫秒（五微秒）降低到百分之二毫秒（二十微秒），這兩項改變可以很大程度上增大從瀏覽器進程當(dāng)中推斷處理器緩存的難度，其實基本的思路還是這樣。