可能是PC行業涼了太久，大家都覺得熱鬧不起來的時候，2018年初網路安全界就搞了一個超級大新聞：Linux、微軟、谷歌都先后公布了安全漏洞Spectre以及更加嚴重的Meltdown漏洞的相關資訊和安全補丁。給整個IT行業帶來了巨大震蕩，而后者的問題相對更嚴重，甚至能給普通消費者使用體驗帶來負面影響。 由于這兩個漏洞影響太大，不僅X86架構處理器收到影響，手機上常用的ARM處理器架構也無法幸免。由于影響過于廣泛和深遠，我們也認為有必要為Soomal的吃瓜讀者們做一些簡單的介紹和科普。
什么是Spectre和Meltdown漏洞
Spectre和Meltdown這兩英文單詞分別對應的近似中文含義是幽靈和崩潰，兩者是存在于系統內核甚至是CPU內部架構缺陷所導致的漏洞，巧合的是這兩個漏洞都和近十年來CPU的標準功能以及虛擬機應用有關。Spectre漏洞具體是指可以利用處理器的分支預測功能，將其它程式、作業系統和虛擬機中間層的運行資訊泄漏。
而更具戲劇性的Meltdown漏洞，也同樣是來自CPU的分支預測功能，它可以通過本地運行特定程式的方式讀取系統運行的CPU緩存，獲得當前運行系統緩存的所有資訊，通過Meltdown無須管理員權限可以獲得本機旗下所有虛擬機系統的一切資訊。這一漏洞網上已經有相當多的視訊演示，只要運行特定程式，就能同步獲得伺服器運行的虛擬機系統中其它用戶的運行記錄甚至是輸入密碼等。
要注意的是，Spectre和Meltdown是硬體漏洞的代號，是CPU技術中的并行計算、分支預測機制的設計回路出現了問題[具體技術術語為“繞過邊界檢查”、“分支目標注入”、“流氓數據加載”，詳細說明可百度或谷歌搜索]。并不是已經出現危害的木馬、病毒的名稱，和勒索比特幣的CTB-Locker、永恒之藍、更古老的“紅色代碼”或CIH等具體的木馬或病毒不同。它們暫時還未因此出現大范圍流行的計算機病毒危害。而Linux、微軟和蘋果都先后發布了安全補丁修正，那為什么說會造成廣泛的負面影響呢？
Meltdown漏洞造成的影響
Meltdown漏洞來自于CPU的架構設計出現失誤導致的，它會影響從古董級的奔騰到如今的第八代酷睿在內所有支援亂序執行能力的英特爾X86處理器，也就是除安騰外的所有英特爾CPU都會出現Meltdown漏洞。既然出現嚴重的安全隱患，那就免不了系統升級打補丁了，一般來說事情也就到此為止。但更加戲劇的是，這正是因為修補Meltdown漏洞涉及了CPU廠商的微代碼更新，導致英特爾CPU的特定性能下降。一個不包含任何后臺進程的安全修正補丁會導致電腦“減速”，這聽起來不可思議，但的的確確是發生了。
經過國內外各類網站的對比測試，打上Meltdown補丁后，使用英特爾處理器的伺服器、PC許多涉及虛擬機、檔案操作的相關性能下降，具體下降幅度在不同處理器和不同應用中會有所差異，例如最新的i7 8700K會在檔案讀寫操作中性能下降30%，而數據庫操作性能下降20%，不過這主要是Linux等伺服器系統的表現，大家常用的Windows系統性能下滑幅度相對不明顯，PCMark等代表辦公應用的性能測試會下降3~20%[處理器型號和電腦配置等差異會有差別]，由于會略微影響硬碟和SSD的讀寫速度，這對于絕大多數各種用途的電腦來說都算是性能倒退了。雖然還有大量應用例如視訊編解碼、圖片處理、游戲等用戶權限較低且偏重浮點性能的應用并未受到影響。但處理器發展至今，用戶升級電腦也并不都是為了更強的浮點性能而去的，更高的記憶體性能和磁片讀寫速度也是升級的重點，而Meltdown修復后的性能倒退主要是讓個人電腦用戶在心理上難以接受，伺服器應用則更慘不忍睹，處理器架構設計缺陷原本是英特爾的責任，到最后卻成了消費者和用戶背鍋。
在這場開年戲中，另一個CPU巨頭ARM受到的影響也不少，Cortex-A系從A8開始都會受到Spectre的影響，而A15、A57、A72和A75這些高性能結構也存在Meltdown漏洞，高通的ARM處理器也會受到影響。但ARM雖然公開了受到漏洞影響的處理器，但應對態度一般，雖然受影響最嚴重的A75可能會提供補丁，但A72等更老的架構ARM卻認為沒必要進行軟體修正，難道是ARM覺得伺服器市場無所謂了？不過Cortex-A75身為ARM的新王牌，在新年伊始就因為Meltdown將性能自砍一刀，而且手機檔案IO、記憶體等性能本來就是相對弱項，相信未來的“旗艦”手機用戶心里也不會好受。
最后要說明的是，Spectre和Meltdown是兩個不同的BUG，前者覆蓋了所有具備亂序執行能力的處理器，但破壞性較小，修復后也不會影響電腦性能。而Meltdown則是英特爾和ARM處理器特有的，漏洞修復又會導致性能下降，AMD的處理器則不存在Meltdown的問題，變相成為了這次安全隱患的受益者[股價似乎漲了一點]。但目前英特爾的公開聲明和目前國內網站資訊中很少將這兩個漏洞進行區分說明，在激烈的市場競爭面前，英特爾似乎變得不夠自信了。
對普通用戶來說，目前Windows7、Windows8.1和Windows10和Linux的補丁已經發布更新，蘋果Mac的更新也很快會發布，對于性能下降，個人電腦用戶受到的影響并不算大，沒必要太過于糾結這1%-5%左右的性能差距，而ARM處理器方面，由于手機目前并不太需要使用到虛擬機系統的相關功能[主要指完整的作業系統虛擬，非JAVA虛擬機]，ARM即使不修正Meltdown也不會對手機的安全帶來嚴重影響，由于Android同樣是基于Linux核心的作業系統，另外SQLite等數據庫也是手機APP常用的東西，修正Meltdown的損失性能代價會比較巨大，這就取決于ARM的態度了。但要注意的是網頁瀏覽器也存在容易被利用的Spectre漏洞隱患，Chrome 64.0以及Firefox57.0以前的版本都需要升級。
電腦、手機的安全漏洞通常來自于軟體，也就是作業系統或軟體應用層面由于碼農的疏忽造成的各種BUG所致，這是因為現在作業系統、各類常用軟體代碼規模巨大，即使項目管理和開發人員水準高超，面對如此龐大的工作量難免會出現遺漏。而Spectre和Meltdown漏洞卻是來自CPU核心內部的微代碼，我們常說硬體開發水準的高低，一般是體現在硬體最終性能、功耗的表現優劣，而CPU由于硬體設計疏忽而導致的嚴重安全漏洞，確實很少見，由于所有ARM和X86處理器用戶都成了受害者，而且是無視作業系統類型的跨平臺、跨硬體漏洞，大到超算，下到手機都會出現嚴重的安全隱患。要注意的是，這兩個漏洞來自硬體，是無法通過更新殺毒軟體的方式進行防護的，強迫癥用戶也不要抱著僥幸心態逃避作業系統廠商的更新。當然，這也給國內的相關行業、安全企業提了個醒，對于申威[DEC Alpha架構，已用于太湖之光]、龍芯[MIPS X64，國內少量公共事業單位伺服器在用]等架構市場小眾但技術自主的國內CPU廠商是否是個難得的歷史機遇？并行操作、分支預測是目前CPU必不可少的核心功能，ARM和英特爾要如何補漏才能面對怨氣沖天的伺服器客戶和手機廠商？這次事件所帶來的影響之廣泛和嚴重性將會帶來諸多連鎖反應，或許在2018年我們還會看到更多的行業大戲。
