芯片漏洞問題頻發(fā),這一次輪到了英偉達。專門破解任天堂(Nintendo)Switch游戲主機以執(zhí)行自制軟體的ReSwitched團隊日前公布了名為Fusée Gelée的漏洞細節(jié),這是藏匿在Switch主機核心Nvidia Tegra X1晶片中的安全漏洞,將允許駭客執(zhí)行任意程式,且宣稱在主機出廠后即無法修補。自2018年以來,英特爾、AMD先后被芯片漏洞問題推上了風口浪尖,芯片漏洞不斷被曝光,也讓目前網(wǎng)絡(luò)安全問題成為眾矢之的,要性能還是要安全,對芯片廠商來說是個需要平衡的命題。
芯片漏洞引發(fā)行業(yè)關(guān)注
2018年的芯片市場注定是不平凡的一年,這邊中興的芯片斷供事件在持續(xù)發(fā)酵,那邊幾大芯片巨頭頻繁曝出芯片漏洞問題。
近日Nvidia Tegra芯片遭曝漏洞,發(fā)售首年就大獲成功的任天堂新主機Switch采用了NVIDIA Tegra X1芯片,據(jù)媒體報道,ReSwitch黑客團隊的凱瑟琳·泰姆金(Katherine Temkin)宣布她利用NVIDIA Tegra X1芯片中的漏洞破解了Switch主機,此漏洞允許任何人在其上運行任意代碼,這意味著自制系統(tǒng)和盜版軟件可以隨意運行。根據(jù)技術(shù)文檔,這一漏洞存在于芯片的Bootrom中,設(shè)備出廠后無法通過補丁封堵,即任天堂也沒法通過軟件更新來修補它,唯一的修復方法是返廠替換掉處理器。簡單來說,此次發(fā)現(xiàn)的漏洞是利用的英偉達Tegra X1芯片的一個缺陷。不僅僅是任天堂,所有使用該芯片的設(shè)備都將受到影響。
由于此漏洞是存在于啟動區(qū),所以不可能通過簡單的補丁程序進行修復。這也就意味著,理論上,現(xiàn)存的所有任天堂Switch都可以完美破解。
除了Nvidia,2018年1月,英特爾芯片被爆出存在技術(shù)缺陷導致重大安全漏洞,黑客可利用該漏洞讀取設(shè)備內(nèi)存,獲得密碼、密鑰等敏感信息。兩個設(shè)計漏洞被稱為“熔斷”(Meltdown)和“幽靈”(Spectre)。前者允許低權(quán)限、用戶級別的應(yīng)用程序“越界”訪問系統(tǒng)級的內(nèi)存,后者則可以騙過安全檢查程序,使應(yīng)用程序訪問內(nèi)存的任意位置。其中,“Specter”影響AMD、ARM、英偉達的芯片產(chǎn)品,幾乎波及整個計算機處理器世界。“Specter”的漏洞,被認為在數(shù)年內(nèi)都未必能得到徹底解決。蘋果公司回應(yīng)稱,所有Mac和iOS系統(tǒng)都將受到影響。對此,蘋果曾回應(yīng)稱,所有Mac和iOS系統(tǒng)都將受到影響,因為蘋果公司的Mac電腦以及部分iPhone均采用英特爾芯片產(chǎn)品。
一波未平,一波又起,德國一家計算機雜志近日曝出,研究人員稱又在計算機CPU芯片當中找到8個新漏洞,這些漏洞與之前鬧得沸沸揚揚的英特爾芯片漏洞“Meltdown”和“Specter”非常相似,研究人員表示,英特爾已經(jīng)準備發(fā)出補丁去修復這些漏洞,當然,ARM這次也沒有被幸免,其一些芯片也受到了影響。
實際上,英特爾今年早些時候在聲明中就提到,漏洞并非局限于英特爾,包括AMD、ARM等友商亦存在類似問題。果不其然,除了英特爾被曝重大漏洞外,一家以色列安全公司CTS Labs近日也發(fā)布了一份安全白皮書,其中指出,計算機芯片制造上AMD在售的芯片存在13個安全漏洞。根據(jù)報告,CTS此次披露的漏洞都需要獲得管理員權(quán)限才能被發(fā)現(xiàn),這些漏洞涉及AMD Ryzen桌面處理器、Ryzen Pro企業(yè)處理器、Ryzen移動處理器、EPYC數(shù)據(jù)中心處理器,不同漏洞對應(yīng)的平臺不同,其中21種環(huán)境下已經(jīng)被成功利用,還有11個存在被利用的可能。
芯片漏洞貽害無窮
隨著“芯片漏洞門”的發(fā)酵與升級,它的影響力和波及范圍也難以估量。在年初的“漏洞門”事件中,雖然是英特爾為主,但這一跨廠商、跨國界、跨架構(gòu)、跨操作系統(tǒng)的重大漏洞事件,幾乎席卷了整個IT產(chǎn)業(yè)。ARM、高通、AMD等大部分主流處理器芯片也受到漏洞影響,IBM POWER細節(jié)的處理器也有影響。采用這些芯片的Windows、Linux、macOS、Android等主流操作系統(tǒng)和電腦、平板電腦、手機、云服務(wù)器等終端設(shè)備都受上述漏洞的影響
當今,我們把大量的信息都以數(shù)字的形式存在了個人電腦以及云端。來自處理器的設(shè)計缺陷會致使這些數(shù)據(jù)被盜竊和濫用,導致用戶損失個人財產(chǎn)。網(wǎng)絡(luò)安全專家警告,使用云計算服務(wù)的企業(yè)可能尤其容易受到襲擊。如果攻擊者付費后得以進入這種服務(wù)的某個領(lǐng)域,他們有可能獲得其他客戶的信息,比如,比特幣交易所,社交聊天應(yīng)用程序,甚至大量的政府機構(gòu),都會將密碼或是數(shù)據(jù)存儲在云服務(wù)器上。黑客有可能通過攻擊云服務(wù)的對象,比特幣錢包有可能被竊取,政府機構(gòu)的重要數(shù)據(jù)也可能由此流向黑客。
亞馬遜、微軟、谷歌等企業(yè)紛紛受到波及。在亞馬遜的AWS或是微軟、谷歌的云服務(wù)下,同一服務(wù)器連接的用戶群中,如果黑客攻擊使用了一臺設(shè)備,他們有可能可以讀取到使用相同的芯片的另一個設(shè)備的數(shù)據(jù)。未來物聯(lián)網(wǎng)、云計算、人工智能等高精尖的產(chǎn)業(yè)鏈都有芯片的身影。而這些芯片中若有硬件木馬的存在,一旦觸發(fā)將會導致數(shù)據(jù)丟失、功能失效甚至系統(tǒng)癱瘓。
堵漏洞需要整個產(chǎn)業(yè)努力
廠商們在追求芯片速度的同時,對于信息安全也不能掉以輕心,但如何在效率與安全兩個方面求得平衡,依然需要慎重處理。“Spectre”的發(fā)現(xiàn)者之一保羅·科克指出,“幽靈”影響的是幾乎所有高速微處理器,設(shè)計新芯片時對速度的高要求導致它們?nèi)菀壮霈F(xiàn)安全問題。“整個行業(yè)一直希望越快越好,同時做到安全。但‘幽靈’表明,魚和熊掌不可兼得……這是一個會隨著硬件的生命周期不斷惡化的問題。”
業(yè)界也有分析認為,相關(guān)修復補丁將影響處理器的運算速度。Linux系統(tǒng)開發(fā)人員表示,對芯片安全漏洞的修復將影響操作系統(tǒng)運行速度,典型的性能下降幅度為5%。美國國土安全部在一份聲明中說,安全補丁是解決芯片漏洞最好的保護辦法,但打補丁后電腦性能可能下降多達30%,并且芯片漏洞是由中央處理器架構(gòu)而非軟件引起,所以打補丁并不能徹底解決芯片漏洞。如果安全性問題解決了結(jié)果卻導致CPU性能變差了,這豈不是得不償失?
對此,一些專家也表示,目前各大供應(yīng)商都提供了相應(yīng)的緩解措施,雖然降低了芯片被攻擊的風險,但也只是“治標不治本”。他們更需要考慮的是,下一代產(chǎn)品是否需要更換新的架構(gòu),從而從根本上上解決此類問題。
芯片漏洞已成為“一損俱損”的全行業(yè)事件,需要整個產(chǎn)業(yè)鏈的密切配合、共同解決。解決得好,大家都化險為夷,而萬一出現(xiàn)安全攻擊事件,損害的不僅是英特爾或哪一家廠商,而是整個產(chǎn)業(yè)。
-
芯片
+關(guān)注
關(guān)注
459文章
52003瀏覽量
434420 -
英偉達
+關(guān)注
關(guān)注
22文章
3902瀏覽量
92980
原文標題:巨頭頻遭曝光芯片漏洞 性能與信息安全如何兼得?
文章出處:【微信號:eetop-1,微信公眾號:EETOP】歡迎添加關(guān)注!文章轉(zhuǎn)載請注明出處。
發(fā)布評論請先 登錄
如何利用iptables修復安全漏洞
微軟Outlook曝高危安全漏洞
AMD與谷歌披露關(guān)鍵微碼漏洞
華為榮獲BSI全球首批漏洞管理體系認證
華為通過BSI全球首批漏洞管理體系認證

常見的漏洞分享

評論