嚴(yán)冬雪

大半年以來，英特爾、微軟、谷歌、蘋果、亞馬遜、ARM等科技大佬一直共同保守著一個秘密：現(xiàn)代芯片上有兩個存在已久的安全漏洞。不論是哪家制造商的芯片，不論是哪種品牌的手機(jī)、平板、個人電腦和服務(wù)器，幾乎無一能幸運(yùn)地逃脫這兩個漏洞的威脅。

這就像鋼鐵俠、美國隊(duì)長等人的處境，當(dāng)一股強(qiáng)大威脅波及全球時，沒有任何一個超級英雄能單獨(dú)抵擋。于是，電影《復(fù)仇者聯(lián)盟》的故事正在2017和2018之交的科技界上演。

“秘密”被踢爆了

2017年6月1日，谷歌旗下由頂尖白帽黑客組成的Project Zero團(tuán)隊(duì)，突然向英特爾、AMD、ARM公司通報，發(fā)現(xiàn)安全漏洞：熔斷（Meltdown）和幽靈（Spectre）。這兩個芯片級漏洞可以讓黑客訪問到系統(tǒng)內(nèi)存，從而讀取出敏感信息，竊取核心數(shù)據(jù)。而它波及的范圍是：絕大多數(shù)地球上正在使用現(xiàn)代芯片的設(shè)備。

盡管安全問題層出不窮，但影響面如此之廣的漏洞還是極為罕見的。在這個危急時刻，英特爾、AMD、ARM等芯片廠商，谷歌、微軟等操作系統(tǒng)廠商，蘋果、亞馬遜等固件廠商悄然而迅速地結(jié)成“史上最強(qiáng)”聯(lián)盟，簽訂保密協(xié)議，確保在大漏洞被公之于眾前找到解救的辦法。

不論此前明爭暗斗有多激烈，也不論彼此利益糾葛幾何，在這個史無前例的漏洞危機(jī)面前，科技大佬營造出空前團(tuán)結(jié)的氛圍。

這一結(jié)盟的最終期限是：2018年1月9日。

按照眾廠商與谷歌Project Zero團(tuán)隊(duì)達(dá)成的協(xié)議，如果到了1月9日，問題仍未解決，谷歌將把漏洞昭告天下——包括黑客在內(nèi)的團(tuán)體，自此將有機(jī)可乘。

但若一切順利，這些大佬將在規(guī)定的222天時間中，聯(lián)合解決這一超級漏洞。那樣，在1月9日大限到來之時，科技界依然欣欣向榮，歌舞升平，這一驚險將不為外人所知，神鬼不覺地安然渡過。

除了前述公司，由于擁有大型數(shù)據(jù)中心，云廠商是此次危機(jī)的最大“受害者”。也正因1月9日這個約定，平日里火藥味十足的云廠商們也出奇默契地在官網(wǎng)競相告知客戶，他們會有一次大型維護(hù)，且日期頗為集中——騰訊云、微軟Azure將在1月10日升級維護(hù)，阿里云、百度云將在1月12日完成修復(fù)升級。

對毫不知情的公眾而言，這種扎堆的“常規(guī)維護(hù)”只是一種巧合，甚至不會有太多人注意到這一“巧合”。但云廠商們心知肚明。

小范圍的秘密也許容易守護(hù)，但如此大面積的危機(jī)，終究應(yīng)了那句中國古話：“世上沒有不透風(fēng)的墻”。

攪局者出現(xiàn)了。北京時間1月3日，科技媒體The Register爆出這兩個芯片漏洞，并表示即使修復(fù)漏洞，也會造成設(shè)備性能下降。

一時嘩然。

也許因?yàn)橐驯粩嚲?，漏洞發(fā)現(xiàn)者、谷歌Project Zero團(tuán)隊(duì)索性將詳情公開。北京時間1月4日早晨6點(diǎn)27分，Project Zero團(tuán)隊(duì)在官網(wǎng)發(fā)布博客，公布了漏洞細(xì)節(jié)。

“我們沸騰了?！蔽④浽剖袌隹偙O(jiān)金亞威告訴《財經(jīng)天下》周刊，谷歌這篇博客披露了如何攻擊特定芯片，其詳盡程度足夠讓一些高階黑客去復(fù)現(xiàn)攻擊。微軟Azure云相關(guān)負(fù)責(zé)人意識到：原定在1月10日的修復(fù)維護(hù)必須提前。

北京時間1月4日8點(diǎn)多，微軟Azure給全球用戶發(fā)送緊急通知：當(dāng)天上午10點(diǎn)將進(jìn)行一次重啟。即使微軟Azure在中國的運(yùn)營由本地企業(yè)世紀(jì)互聯(lián)負(fù)責(zé)，需要溝通協(xié)調(diào)，也僅晚于美國總部一個半小時后，啟動了修復(fù)升級。

此時，雖然距離谷歌那篇揭秘博客發(fā)布剛剛過去幾小時，但卻比Azure原定1月10日的升級時間提前了整整6天。這種緊急提前的操作，不僅考驗(yàn)技術(shù)水平，更需要承擔(dān)巨大的商業(yè)風(fēng)險——根據(jù)合同，Azure對其用戶承諾，會提前5個工作日通知維護(hù)。而這一次，從通知到啟動升級，僅間隔一兩個小時。

《財經(jīng)天下》周刊獲知，這次緊急決定確實(shí)讓微軟對客戶進(jìn)行了相關(guān)賠償。

事后證明，微軟的擔(dān)心和冒險不無道理——在谷歌博客披露攻擊詳情后不到8小時，就有黑客成功復(fù)現(xiàn)攻擊，并公布在網(wǎng)上。而在當(dāng)天復(fù)現(xiàn)攻擊的，有好幾個獨(dú)立組織。

英特爾“背鍋”

比起微軟Azure這場驚心動魄但不為人知的行動，英特爾則直接掉進(jìn)了大漏洞事件的中心漩渦，成為眾矢之的。前述踢爆秘密的科技媒體，在其爆料文章標(biāo)題里，直接點(diǎn)出“Intel”一詞。

輿論隨后發(fā)酵，所有矛頭都指向了這家在服務(wù)器和個人電腦芯片市場占據(jù)主導(dǎo)地位的公司?！癐ntel芯片門”“Intel芯片漏洞”等信息迅速擴(kuò)散，直到兩三天后，才逐漸有其他聲音發(fā)出：此次安全漏洞不是一家芯片企業(yè)獨(dú)有，而是覆蓋幾乎所有現(xiàn)代芯片，并由此席卷整個現(xiàn)代電子設(shè)備行業(yè)，是名符其實(shí)的大漏洞事件。

但不管怎樣，這家第一大芯片公司總要成為擋箭牌，漏洞公布后，股價持續(xù)走低。甚至有媒體注意到，去年11月底，英特爾CEO科再奇拋售了價值3900萬美元的英特爾股票，僅保留25萬股——這是英特爾公司規(guī)定高管最少持有的股份數(shù)量。由于這是一場科技圈內(nèi)事先知悉的秘密，有人將科再奇的拋售與漏洞事件掛鉤，直指“CEO提前跑路”。

除了英特爾，從1月3日被科技媒體踢爆開始，接下來的幾天成為科技界狂亂的一周，各大公司的反應(yīng)足以繪制一卷“眾生相”：

1月4日，在漏洞詳情被公之于眾的當(dāng)天，英特爾緊急公布受影響的芯片產(chǎn)品清單、最新安全研究結(jié)果及產(chǎn)品說明。移動芯片公司ARM，也在當(dāng)天給出詳單，具體指出哪些芯片受到什么影響。

1月5日，AMD、高通紛紛發(fā)布官方聲明，承認(rèn)部分產(chǎn)品存在安全漏洞，正在修復(fù)，但均未指明受影響芯片。endprint

1月9日，IBM松口，公布此漏洞對其部分芯片的潛在影響。

1月10日，因人工智能而極速崛起的芯片紅人英偉達(dá)才發(fā)布聲明，稱旗下部分芯片遭遇漏洞影響，并發(fā)布補(bǔ)丁。

其他科技大佬，諸如蘋果、微軟、亞馬遜，則在第一時間承認(rèn)產(chǎn)品大面積受到波及，但相關(guān)修復(fù)已完成或持續(xù)進(jìn)行中。

在這卷“眾生相”中，最早承認(rèn)并發(fā)布詳情的英特爾雖表現(xiàn)誠懇，每天都發(fā)布相關(guān)評測，針對客戶反饋的問題詳情給出解決方案，但公眾并不買賬。人們?nèi)杂匈|(zhì)疑，集中在兩點(diǎn)：為什么科技大佬知情已久卻隱瞞至今？漏洞修復(fù)到底會不會影響現(xiàn)代設(shè)備的性能？

對于后一個問題，蘋果、亞馬遜、谷歌和微軟評估并表態(tài)，該安全更新對性能影響很小甚至沒有影響。英特爾官方則針對不同芯片給出了不同程度影響的評估結(jié)果。微軟云、阿里云、金山云相關(guān)安全專家也均對《財經(jīng)天下》周刊說明，性能影響取決于具體執(zhí)行何種業(yè)務(wù)。對大多數(shù)個人用戶而言，修復(fù)此次漏洞帶來的性能影響可以忽略不計。

剩下的問題只在于：為何對公眾隱瞞許久？

阿里云相關(guān)人士對《財經(jīng)天下》周刊說，此次安全漏洞引發(fā)的是一次史無前例的技術(shù)危機(jī)。網(wǎng)絡(luò)安全基金蘋果資本創(chuàng)始人胡洪濤則告訴《財經(jīng)天下》周刊，以覆蓋面而言，這是一個“超級漏洞”。這意味著，包括芯片廠商、操作系統(tǒng)服務(wù)商、電腦手機(jī)等硬件廠商、各軟件廠商、云廠商等，整個計算機(jī)行業(yè)鏈條上的各方，都需要做出相應(yīng)修復(fù)，才能相互補(bǔ)充，徹底消除隱患。這種前所未有的聯(lián)動修復(fù)，決定了它需要比此前漏洞更久的解決時間。

如果不是被提前踢爆，早已知情的科技大公司們本打算按原計劃，在1月9日各方已全面做好準(zhǔn)備，發(fā)布補(bǔ)丁之后，再行宣布。

多家云廠商均向《財經(jīng)天下》周刊透露，它們確實(shí)早就知情，但出于協(xié)同保密考慮，并未公開，只私下進(jìn)行修復(fù)。只待1月9日之后，各家分別以“日常維護(hù)”的名義，完成這次修復(fù)升級。

此外，包括芯片廠商、云廠商、網(wǎng)絡(luò)安全專家等多方人士均向《財經(jīng)天下》周刊表示：該漏洞具有一定門檻，雖然覆蓋面廣，但也不容易被利用。到目前為止，全網(wǎng)尚未發(fā)生一例正式攻擊報告。

基于以上種種原因，這次的“超級漏洞”從2017年6月1日發(fā)現(xiàn)，到媒體曝光，隱瞞7月有余。

這不是結(jié)束

只因媒體曝光，就早于協(xié)議時間公布漏洞細(xì)節(jié)，谷歌錯了嗎？谷歌到底在這個大漏洞事件中扮演了怎樣的角色？

在安全圈“大牛”、騰訊玄武實(shí)驗(yàn)室負(fù)責(zé)人于旸（業(yè)界人稱TK）看來，漏洞披露機(jī)制不是什么新鮮事，早在一二十年前就開始討論。如今，全世界對于漏洞披露機(jī)制都有一個共識——那就是“要披露”。

尤其在美國，人們認(rèn)為漏洞披露是言論自由的一部分，受憲法修正案保護(hù)。

從廠商角度而言，被指出產(chǎn)品有漏洞，既丟面子，也要投入成本修復(fù)。因此，有些廠商提出要“負(fù)責(zé)任地披露”，以免公開后被黑客利用，影響用戶利益。但在TK看來，這是個“道貌岸然”的說法，如果沒有公開的壓力，廠商大可出于成本顧慮，枉顧用戶安全風(fēng)險，獲知漏洞而不補(bǔ)。

多方妥協(xié)的結(jié)果是：從內(nèi)部告知到公開漏洞，中間相隔一個緩沖期。美國CERT（計算機(jī)安全應(yīng)急響應(yīng)組）組織的普遍緩沖期是45天，到期之后，不管廠商是否修復(fù)，都會公開。

而對谷歌而言，其對漏洞披露的緩沖期是90天。這一數(shù)字，是經(jīng)過“多年認(rèn)真考慮和行業(yè)討論的結(jié)果”，谷歌安全研究人員已使用大致同樣的披露原則達(dá)15年之久……最終效果顯示，大多數(shù)漏洞都在90天的披露日期之前被修復(fù)，這正是廠商努力負(fù)責(zé)的一個證明。

但谷歌也不得不承認(rèn)，安全威脅發(fā)生變化時，披露原則也要相應(yīng)的變化——這正解釋了，向來只給90天緩沖期的谷歌，為什么給這次芯片大漏洞開出了一份長達(dá)222天的保密協(xié)議。

這顯然是針對“超級漏洞”的一次特事特辦。從這方面而言，谷歌仁至義盡了。即使是受影響最大的英特爾，其CEO科再奇也在最新的一封公開信中，“特別感謝”谷歌團(tuán)隊(duì)“負(fù)責(zé)任的披露”，為整個行業(yè)協(xié)調(diào)解決這些問題創(chuàng)造了條件。

然而，英特爾、AMD、ARM等芯片廠商對此漏洞的修復(fù)速度不盡如人意。媒體先于協(xié)議到期日一周踢爆此事，使得谷歌隨后公開漏洞細(xì)節(jié)，將其呈現(xiàn)于公眾——尤其是黑客眼皮底下，這給各家廠商的修復(fù)工作帶來了更大難度，以及時間上的空前緊迫感，也打亂了廠商一開始想要秘密解決，以平緩渡過危機(jī)的計劃。

在科再奇最新的公開信中，他承諾英特爾會在修復(fù)過程中保持“透明而及時的溝通”，呼吁產(chǎn)業(yè)界的伙伴繼續(xù)支持這次修復(fù)，“每個人扮演的角色都非常重要”。

在科技界的共同努力下，截至發(fā)文，英特爾宣布，已針對過去5年推出的大多數(shù)芯片產(chǎn)品發(fā)布了軟件和固件更新。到1月15日，英特爾發(fā)布的更新預(yù)計將覆蓋過去5年內(nèi)推出的90%以上的芯片產(chǎn)品。而針對其他產(chǎn)品的更新將在今年1月底前發(fā)布。至于隨修復(fù)造成的性能損失，也將逐步減少到最低。

由于此次漏洞由芯片設(shè)計缺陷導(dǎo)致，是硬件層面的問題。多家云廠商對《財經(jīng)天下》周刊表示，經(jīng)此一役，不排除更換數(shù)據(jù)中心硬件的可能。不過，他們同時強(qiáng)調(diào)，比起普通用戶，云廠商的硬件更換頻率，本來就要高出好幾倍。

不過，關(guān)于如何修復(fù)此次漏洞，計算機(jī)科學(xué)“圣地”卡耐基梅隆大學(xué)的CERT（計算機(jī)安全應(yīng)急響應(yīng)組）已將建議從“更換CPU”調(diào)整為“保持更新”。

此次漏洞源自芯片設(shè)計理念上的缺陷，源于上世紀(jì)60年代IBM發(fā)明的OOO（Out of Order亂序執(zhí)行）技術(shù)，后被Intel、ARM、AMD等現(xiàn)代處理器廠商廣泛采納。換句話說，這是一個存在了幾十年的漏洞，是幾乎所有現(xiàn)代芯片設(shè)計源頭的通病。怎么解決？是換掉所有芯片？還是去修復(fù)漏洞？就像現(xiàn)代人理所當(dāng)然地用鋼筋水泥修建高樓大廈，突然有一天被告知：不行。是從此城市只用木頭石頭蓋房，還是盡量去彌補(bǔ)鋼筋水泥的缺陷？答案不言而喻。

截至發(fā)文，AWS、微軟Azure、阿里云、騰訊云、百度云等已陸續(xù)在1月4日、1月10日、1月12日完成了針對此次漏洞的修復(fù)更新。

但人們必須意識到，這不意味著風(fēng)波平息。事實(shí)上，一切才剛開始。

安全信息網(wǎng)站安全牛主編李少鵬認(rèn)為，隨著時代發(fā)展，類似芯片這種底層設(shè)計會暴露出一些新問題，將來可能還有新的芯片漏洞出來。

金山云安全專家張娜也告訴《財經(jīng)天下》周刊，對于云廠商而言，漏洞是不可避免的，只是程度會有輕重緩急之分。此次漏洞對云廠商而言，除了及時修補(bǔ)，更多的影響在于提示他們持續(xù)加大底層研究的投入。

蘋果資本創(chuàng)始人胡洪濤認(rèn)可了這些說法，在他看來，“只要是人做的東西，都有漏洞”。比如，特斯拉也有硬件級別的漏洞被中國白帽子發(fā)現(xiàn)，但最終只對廠商通報，而沒有公布于眾，畢竟人命關(guān)天。

秘密結(jié)盟計劃失敗的各家科技公司們現(xiàn)在可能已經(jīng)意識到：因?yàn)楦偁庩P(guān)系，他們很難奢求一榮俱榮；但在云普及的時代，伴隨人工智能這種技術(shù)的進(jìn)一步普及，一旦發(fā)生安全問題，卻很可能一損俱損。

而在這種新形勢下，全生態(tài)鏈透明、公開的團(tuán)結(jié)攜手，才是解決這一問題的最佳方式。endprint