經(jīng)過一整天的發(fā)酵和喧囂過后，發(fā)現(xiàn)本次Intel CPU漏洞的安全團(tuán)隊(duì)終于站出來公布了官方消息以正視聽——漏洞不止一個(gè)，昨天在網(wǎng)上瘋傳的那個(gè)叫Meltdown（熔斷），還有另一個(gè)更加隱蔽更加難以利用，也更難修補(bǔ)的叫Spectre（幽魂）。在安全團(tuán)隊(duì)為它們開設(shè)的官網(wǎng)（點(diǎn)擊查看，如果對(duì)自己的英語有自信）上把涉及這次漏洞的一批關(guān)鍵信息進(jìn)行了比較詳細(xì)的披露和答疑，筆者現(xiàn)在根據(jù)網(wǎng)絡(luò)上已經(jīng)被正式公布的官方聲明，對(duì)大家比較關(guān)心內(nèi)容進(jìn)行組織和整理，方便各位閱讀，以下正片：

1、我的系統(tǒng)是不是受這兩個(gè)漏洞影響？有沒有修復(fù)補(bǔ)�。�
A：幾乎可以肯定，所有PC系統(tǒng)和智能手機(jī)都受到漏洞影響。目前針對(duì)Meltdown，Linux、Windows和macOS都已經(jīng)采取了補(bǔ)丁措施，對(duì)應(yīng)最新OS版本的補(bǔ)丁都已經(jīng)到位；但對(duì)于Spectre，暫時(shí)還沒有明確的解決辦法和防護(hù)措施。

2、哪些廠商的硬件存在這兩個(gè)漏洞？
A：Meltdown漏洞——除IA-64架構(gòu)的安騰以及部分老Atom處理器，Intel自1995年起發(fā)布的CPU幾乎全受影響（x86），暫不能確定AMD和ARM處理器是否受到波及；
Spectre漏洞——因?yàn)樵撀┒椿�于指令預(yù)測(cè)執(zhí)行，Intel、AMD、ARM處理器無一幸免。

3、這倆漏洞有啥區(qū)別？
A：Meltdown漏洞直接打破核心內(nèi)存的保護(hù)機(jī)制，允許惡意代碼直接訪問這塊敏感內(nèi)存；Spectre漏洞則通過篡改其他應(yīng)用程序的內(nèi)存，欺騙它們?nèi)ピL問核心內(nèi)存的地址。它們的目的都是通過邊路獲取核心內(nèi)存里儲(chǔ)存的敏感內(nèi)容，只是實(shí)現(xiàn)的手段稍有差別。

4、打Meltdown補(bǔ)丁性能直接倒退一代是真的？
A：雖然發(fā)現(xiàn)該問題的其中一組安全團(tuán)隊(duì)研究員稱他無法給出確切結(jié)論，但I(xiàn)ntel的官方聲明里確認(rèn)會(huì)產(chǎn)生性能損失，幅度暫時(shí)不能確定，不過在較老的CPU上，性能倒退會(huì)更加明顯。視工作負(fù)載的種類不同，這個(gè)幅度可能能忽略不計(jì)，也可能會(huì)嚴(yán)重到直接減半。

5、我裝了殺毒軟件，能不能免受這兩個(gè)漏洞的困擾？
A：殺毒軟件抵御這兩個(gè)底層硬件級(jí)漏洞的威脅只存在理論可能，實(shí)際環(huán)境中基本上沒有作用，除非借助這兩個(gè)漏洞進(jìn)行攻擊的惡意代碼都已經(jīng)辨明，殺軟可以通過特征代碼來進(jìn)行查殺，否則也是干瞪眼。

6、那現(xiàn)在這兩個(gè)漏洞是否已經(jīng)產(chǎn)生了實(shí)際損失？
A：目前未知。安全團(tuán)隊(duì)也沒收到任何與此漏洞關(guān)聯(lián)的攻擊報(bào)告，他們的研究全部基于本地代碼模擬，不是真實(shí)世界生產(chǎn)環(huán)境。

所以整體上看，這是一場(chǎng)波及21世紀(jì)以來所有計(jì)算設(shè)備的超級(jí)大災(zāi)難，但因?yàn)樗�的發(fā)現(xiàn)和應(yīng)對(duì)都在可控制的環(huán)境內(nèi)發(fā)生，所以尚無社會(huì)的攻擊損失報(bào)告出現(xiàn)，可以視其為安全人員的一次勝利。對(duì)一般用戶而言，只要緊跟操作系統(tǒng)開發(fā)商的安全更新補(bǔ)丁，就能避免自己遭受與這兩個(gè)漏洞相關(guān)聯(lián)的攻擊。

但是Intel CPU會(huì)發(fā)生性能損失已經(jīng)成為實(shí)錘，AMD去年才發(fā)布的Ryzen CPU又幾乎沒受到Meltdown的影響，我們還是可以說Intel和它產(chǎn)品的用戶已成為這場(chǎng)災(zāi)難最大的受害者。