芯片漏洞堪比千年虫 影响面大能顺利解决吗？

　　今年新年刚过，爆出了几乎席卷整个IT产业的芯片漏洞事件，让人们刚刚放松的神经紧张起来。

　　根据国内外媒体的披露，事件的来龙去脉是这样的：

　　2017年，Google旗下的ProjectZero团队发现了一些由CPUSpeculativeExecution引发的芯片级漏洞，“Spectre”(变体1和变体2：CVE-2017-5753和CVE-2017-5715)和“Meltdown”(变体3：CVE-2017-5754)，这三个漏洞都是先天性质的架构设计缺陷导致的，可以让非特权用户访问到系统内存从而读取敏感信息。

　　2017年6月1日，ProjectZero安全团队的一名成员在向英特尔和其他芯片生产商告知了这些漏洞的情况，而直到2018年1月2日，科技媒体TheRegister在发表的一篇文章中曝光了上述CPU漏洞，才让芯片安全漏洞问题浮出水面，也让英特尔陷入一场突如其来的危机，导致股价下跌。

　　芯片安全漏洞爆出后，引起了媒体和业界的广泛关注：不但将在CPU上市场份额占绝对优势的英特尔抛到舆论漩涡中，也引起大家对安全问题的担忧。人们不禁要问，芯片漏洞问题早已发现，为什么到才被公布?是英特尔有意隐瞒吗?

　　延期公布，为准备应对方案赢得了时间

　　从媒体披露的情况来看，1995年以来大部分量产的处理器均有可能受上述漏洞的影响，且涉及大部分通用操作系统。

　　虽然是英特尔为主，但ARM、高通、AMD等大部分主流处理器芯片也受到漏洞影响，IBMPOWER细节的处理器也有影响。采用这些芯片的Windows、Linux、macOS、Android等主流操作系统和电脑、平板电脑、手机、云服务器等终端设备都受上述漏洞的影响。

　　应该说，这是跨厂商、跨国界、跨架构、跨操作系统的重大漏洞事件，几乎席卷了整个IT产业。

　　根据《华尔街日报》报道称，ProjectZero安全团队在2017年6月1日向英特尔和其他芯片生产商告知漏洞情况后，这7个月时间里，英特尔一直在努力联合其他主流芯片厂商、客户、合作伙伴，包括苹果、谷歌、亚马逊公司和微软等在加紧解决这一问题，一个由大型科技公司组成的联盟正展开合作，研究并准备应对方案。

　　据消息人士透露，该联盟成员之间达成了保密协议，延迟公开，研究开发解决方案，确保公布漏洞后“准备就绪”。该消息人士还称，原计划1月9日公开，而由于科技媒体TheRegiste在1月2日就曝光了芯片漏洞问题，导致英特尔等公司提前发布了相关公告。

　　在芯片漏洞曝光后的第二天，1月3日英特尔公布了最新安全研究结果及英特尔产品说明，公布受影响的处理器产品清单。

　　1月4日，英特尔宣布，与其产业伙伴在部署软件补丁和固件更新方面已取得重要进展。英特尔已针对过去5年中推出的大多数处理器产品发布了更新，到这个周末，发布的更新预计将覆盖过去5年内推出的90%以上的处理器产品。

　　随后，微软、谷歌以及其他一些大型科技公司相继发布关于漏洞的应对方案，表示他们正在或已对其产品和服务提供更新。

　　微软发布了一个安全更新程序，以保护使用英特尔和其他公司芯片的用户设备;苹果确认所有的Mac系统和iOS设备都受到该漏洞影响，但已发布防御补丁;谷歌表示，已更新了大部分系统和产品，增加了防范攻击的保护措施;高通表示，针对受到近期曝光的芯片级安全漏洞影响的产品，正在开发安全更新。

　　有网络安全专家认为，虽然漏洞影响范围广泛，对于普通用户，大可不必过于恐慌，但受影响较大的主要会是云服务厂商。大部分云服务厂商也公布了应对方案和时间表。