英特尔官宣第三大漏洞 L1TF 细节与防御措施

8 月 16 日早间，曾报道，英特尔芯片发现新漏洞“预兆（Foreshadow）”，这是 2018年初英特尔芯片被曝“熔断”和“幽灵”漏洞之后的第三个重要漏洞。

据称，这个漏洞可能让攻击者窃取存储在计算机或第三方云上的信息 ，漏洞由一些研究人员发现并于1月向英特尔报告，该漏洞包括为 L1TF 或 L1Terminal Fault 三个品种。随后，研究人员又发现了两个被叫做“Foreshadow-NG”的类似变体，会攻击代码、操作系统、管理程序软件以及其它微处理器。

8 月 16 日，英特尔方面给发来了关于此漏洞的详细说明。

在英特尔的说明中，这一漏洞不叫“预兆”，而被命名为 “L1 终端故障（L1 Terminal Fault，简称为 L1TF）”。

L1TF是一种最近发现的推测执行侧信道分析的安全漏洞，会影响一部分支持英特尔软件保护扩展的微处理器产品。与英国金融时报报道的“该漏洞由两个研究团队发现”不一样的是，英特尔称，“鲁汶大学、以色列理工学院、密歇根大学、阿德莱德大学和Data61 的研究人员首次向我们报告了这个问题”，经英特尔安全团队进一步研究， 他们发现 L1TF的另外两种相关应用还存在影响其它微处理器、操作系统和虚拟化软件的可能。

这份说明还指出，L1TF 的三种应用都是与预测执行侧信道缓存计时相关的漏洞。 在这方面，它们与之前报告的变体类似。它们的目标是访问一级数据高速缓存——这是每个处理器内核中的一小块内存，用来存储关于“处理器内核下一步最有可能做什么”的信息。今年早些时候，英特尔发布了微代码更新（MCUs），该更新是针对L1TF所有三种应用的防御策略的重要组成部分，为系统软件提供了一种清除该共享缓存的方法。除了这些微代码更新，英特尔还发布了针对操作系统和管理程序软件的相应更新。

此外，英特尔称，在硬件层面作出的改变也会抵御 L1TF，这些硬件层次的改变将首先应用在下一代至强可扩展处理器（研发代号为CascadeLake）以及预计今年晚些时候推出的全新个人电脑处理器上。

目前，英特尔方面还没有收到这些漏洞被实际攻击利用的报告。

附英特尔关于该漏洞的防御措施及修复建议：

在系统更新后，我们预计那些运行非虚拟化操作系统的消费者和企业用户（包括大多数的数据中心和个人电脑）所面临的安全风险会降低。基于我们在测试系统上运行的性能基准测试，我们尚未看到上述防御措施对性能产生任何显著的影响。

针对另外一部分市场 ——特别是运行传统虚拟技术的细分领域（主要在数据中心领域），我们建议客户或合作伙伴采取额外措施来保护其系统。这主要是为了在IT管理员或云服务商无法保证所有虚拟化操作系统都已安装必要更新时，应对并防护该种情况下可能出现的风险。这些措施可以包括启用特定管理程序内核调度功能，或在某些特定场景中选择不使用超线程功能。这些额外措施可能只适用于相对较小的应用领域，但对我们来说，为所有客户均提供解决方案至关重要。

对于这些特定情况，某些特定负载上的性能或资源利用率可能会受到影响，并相应发生变化。我们与行业合作伙伴正在研究多种解决方案来应对这一影响，以便客户可以根据自己的需求选择最佳方案。为此，我们已经开发了一种方法，以在系统运行期间即时检测基于L1TF漏洞的攻击，并仅在必要时才启用防御措施。我们已经为一些合作伙伴提供了具有这项功能的预览版微代码，以供他们进行评估试用，并希望在今后逐步推广这一功能。