由Intel CPU漏洞问题衍生出来的安全事件已经波及全球几乎所有的手机、电脑、云计算产品，ARM确认 Cortex-A架构中招，AMD表示从目前的研究来看，他们受影响最小，可视为零风险。不过，今晨，《福布斯》、WMPU等撰文对此次事件进行了一次详细的披露和解释，整理如下：
1、哪些系统受影响？
Windows、Linux、macOS、亚马逊AWS、谷歌安卓均中招。
2、除了Intel处理器，还波及哪些硬件？
ARM的Cortex-A架构和AMD处理器。Cortex-A目前广泛用于手机SoC平台，包括高通、联发科、三星等等。虽然AMD称基于谷歌研究的三种攻击方式，自己的处理器基本免疫。但Spectre（幽灵）漏洞的联合发现者Daniel Gruss（奥地利格拉茨技术大学）称，他基于AMD处理器的Spectre代码攻击模拟相当成功，绝不能低估。
3、如何修复？
Intel建议关注后续的芯片组更新、主板BIOS更新，但首先，应该把OS级别的补丁打上。对于Meltdown（熔断）漏洞：Linux已经发布了KAISER、macOS从10.13.2予以了修复、谷歌号称已经修复，Win10 Insider去年底修复、Win10秋季创意者更新今晨发布了KB4056892，将强制自动安装。亚马逊也公布了指导方案。对于难度更高的Spectre（幽灵）漏洞，目前仍在攻坚。
4、Windows 7/XP受影响不？
微软承诺，将在下一个补丁日帮助Win7修复，但是否惠及XP没提。
5、打补丁性能受到影响？
研究者Gruss称对此，他无法给出确切结论，但从Intel声明的措辞中可以确认会有性能损失。福布斯称，性能影响较大的是Intel 1995年到2013年的老处理器，最高可达50%，从Skylake这一代之后就几乎察觉不到了。
6、那么这些漏洞造成什么损失了？
由于两个漏洞都是越级访问系统级内存，所以可能会造成受保护的密码、敏感信息泄露。但福布斯了解到，目前，尚未有任何一起真实世界攻击，所有的推演都来自于本地代码模拟。所以，看似很严重但其实也可以理解为一次安全研究的胜利。研究者称，漏洞要在个人电脑上激活需要依附与具体的进程等，比如通过钓鱼软件等方式植入。
7、杀毒软件有效吗？
可结合第6条来理解，真实世界攻击中，杀软的二进制文件比对法可能会提前发现，但尚无定论。
******************************
微软：
1月9日，微软Windows和设备执行副总裁TERRY MYERSON在微软官方博客撰文，希望外界可以更好地理解修复和性能之间的关系。关于漏洞的说明，微软的整理是目前最为详细：第一种形式（Variant 1，简称V1）“Bounds Check Bypass（绕过边界检查/边界检查旁路）”和第二种形式“Branch Target Injection（分支目标注入）”属于Spectre（幽灵），而第三种“Rogue Data Cache Load（恶意的数据缓存载入）”则属于Meldown（熔断）。其中，V1和V3均不需要处理器微代码更新（即BIOS更新），V2则需要。对于V1，Windows的解决方式是二级制编译器更新和从JS端加固浏览器，对于V2，微软需要CPU指令集更新，对于V3，需要分离内核和用户层代码的页表。
性能影响：
Myerson称，微软发现，修复V1/V3对性能的影响微乎其微，问题的关键在于V2对底层指令集做了修改，导致成为性能损失的主因，以下是微软的测试结论：
1、搭载Skylake/Kaby Lake或者更新的处理器平台的Windows 10系统，降幅在个位数，意味着，绝大多数用户都感受不到变化，因为即便慢，也是在毫秒之内。
2、搭载Haswell或者更早的处理器的Windows 10平台，影响已经有些显著，可能部分用户已经可以觉察出来。
3、搭载Haswell或者更早的处理器的Windows 7/8.1平台，大部分用户会明显感受到性能削弱。
4、任何处理器的Windows Server平台，尤其是密集I/O环境下，在执行代码分离操作时性能降幅会异常明显。
微软称，Windows 7/8在架构时由于使用了过多的用户到内核过渡，导致影响更明显。
AMD：
AMD的声明，他们的CPU架构对Meldown也就是V3是完全免疫，但Spectre的第一种形式则需要配合操作系统更新实现。
NVIDIA：
NVIDIA称他们的显卡不受Meltdown漏洞影响（该漏洞只针对Intel的CPU），但会受到Spectre漏洞的影响。
>> 除非说明均为原创，如转载请注明来源于http://www.stormcn.cn/post/2005.html
