英特尔漏洞曝光后，网络安全视角变了

专题：网安协会点名英特尔：“端起碗吃饭，放下碗就砸锅”

　　自中国网络空间安全协会发布建议启动针对英特尔网络安全审查文章后，网络安全的讨论仍在持续。

　　10月17日，英特尔对于中国网络空间安全协会发文进行回应，称将“将与相关部门保持沟通，澄清相关疑问，并表明对产品安全和质量的坚定承诺。”

　　网络安全行业人士对记者表示，此次英特尔网络安全事件更适合作为一则消息去观察后续行业变化，文章披露的安全漏洞不是近期发生的，但暴露出更大的安全风险——半导体行业，尤其是CPU等微处理器的网络安全风险与其他行业相比，影响广泛、难以修补，具有隐蔽性和长期风险，需要信创行业进一步修补核心技术缺位，也给网络安全行业带来更大的挑战。

　　及时应对CPU漏洞风险

　　中国网络空间安全协会发文内容显示，英特尔产品漏洞频发、故障率高。

　　安全漏洞问题方面，据文章披露，2023年8月，英特尔CPU被曝存在Downfall漏洞，该漏洞影响英特尔第6代至第11代酷睿、赛扬、奔腾系列CPU，以及第1代至第4代至强处理器。

　　另在2023年11月，谷歌研究人员披露英特尔CPU存在高危漏洞Reptar。利用该漏洞，攻击者不仅可以在多租户虚拟化环境中获取系统中的个人账户、卡号和密码等敏感数据，还可以引发物理系统挂起或崩溃，导致其承载的其他系统和租户出现拒绝服务现象。2024年以来，英特尔CPU又先后曝出GhostRace、NativeBHI、Indirector等漏洞。

　　可靠性问题方面，据文章披露，从2023年底开始，大量用户反映，使用英特尔第13、14代酷睿i9系列CPU玩特定游戏时，会出现崩溃问题。

　　另外，中国网络空间安全协会发文表示英特尔产品存在监控与后门问题。英特尔联合惠普等厂商，共同设计了IPMI（智能平台管理接口）技术规范，声称是为了监控服务器的物理健康特征，但模块也曾被曝存在高危漏洞（如CVE-2019-11181），导致全球大量服务器面临被攻击控制的极大安全风险。同时，英特尔还在产品中集成存在严重漏洞的第三方开源组件。

　　据此，中国网络空间安全协会建议对英特尔在华销售产品启动网络安全审查，切实维护中国国家安全和中国消费者的合法权益。公开资料显示，中国网络空间安全协会于2016年3月25日在北京成立的全国性、行业性、非营利性社会组织，接受业务主管单位中华人民共和国国家互联网信息办公室和社团登记管理机关中华人民共和国民政部的业务指导和监督管理。

　　英特尔方面回应称：始终将产品安全和质量放在首位，一直积极与客户和业界密切合作，确保产品的安全和质量。将与相关部门保持沟通，澄清相关疑问，并表明英特尔对产品安全和质量的坚定承诺。

　　“（自主运行的子系统）可能是英特尔用来管理的小系统。设置小系统本身是正常的操作，其他芯片也有。但这个小系统用户感知不到，芯片研发方可能做一些后门操作。”一名芯片设计人员告诉记者。

　　应对此次英特尔被曝出的安全漏洞，亚信安全副总裁徐业礼对记者表示，从行业层面来讲，当行业企业使用的半导体芯片被检测出风险漏洞时，采取及时有效的应对措施至关重要。关注芯片制造商和操作系统提供商发布的安全补丁，确保系统和应用程序得到及时更新，以修复已知漏洞。

　　另外，进行全面的风险评估也是必要的，以确定漏洞可能带来的影响，并根据风险等级制定相应的应对策略。在确认漏洞被修复之前，企业应将受影响的系统从网络中隔离，以防止潜在的攻击扩散。同时，增强网络安全监控和日志记录，可以帮助企业快速响应异常行为，及时处理安全事件。定期备份关键数据也是一种有效的防护措施，以确保在发生安全事件时能够迅速恢复业务。

　　对于普通个体用户而言，徐业礼称，保持系统更新是自我保护的基础，定期更新操作系统、应用程序和防病毒软件，以确保拥有最新的安全修复。此外，使用强密码、开启防火墙、谨慎点击链接、安装可靠的安全软件等措施，都能有效降低恶意软件感染的风险。定期备份个人数据、避免在公共设备上进行敏感操作、了解最新的网络钓鱼手段，以及启用多因素认证，都是增强个人网络安全防护能力的重要手段。通过这些综合措施，个体用户和企业都能有效减少由于CPU漏洞带来的风险，保护自身的网络安全。

　　网络安全视角转变

　　实际上，除了英特尔，半导体行业领域多家企业近年来持续曝出漏洞问题。

　　就在今年10月，高通公司（Qualcomm）发布安全警告称，其多达64款芯片组中的数字信号处理器（DSP）服务中存在一项潜在的严重的“零日漏洞”——CVE-2024-43047，且该漏洞已出现有限且有针对性的利用迹象。根据高通公告，CVE-2024-43047源于使用后释放（use-after-free）错误，可能导致内存损坏。

　　该漏洞影响范围广泛，涉及高通FastConnect、Snapdragon（骁龙）等多个系列共计64款芯片组，涵盖了智能手机、汽车、物联网设备等多个领域，将影响非常多的品牌厂商，如小米、vivo、OPPO、荣耀等手机品牌厂商都有采用高通骁龙4G/5G移动平台及相关5G调制解调器-射频系统，苹果iPhone 12系列也有采用骁龙 X55 5G 调制解调器-射频系统。

　　AMD在2023年被曝出Inception（CVE-2023-20569）漏洞，该漏洞是一种新的瞬态执行攻击，影响所有AMD Zen架构的处理器。结合了“Phantom speculation”和“Training in Transient Execution”（TTE）技术，允许攻击者从非特权进程中泄露任意数据，影响包括从Zen 1到Zen 4的所有Ryzen和EPYC处理器。

　　AMD Sinkclose（CVE-2023-31315）漏洞允许攻击者在系统管理模式（SMM）中运行恶意代码，可能导致系统管理中断（SMI）处理程序被利用，影响包括Ryzen 3000及第一代EPYC及更新的CPU。AMD Zen 2处理器寄存器漏洞（CVE-2023-20593）影响所有Zen 2处理器，攻击者可以在虚拟机内监听宿主机数据。

　　2022年，NVIDIAGPU被曝出CVE-2022-28181漏洞，NVIDIA GPU Display Driver内核模式层中的越界写入漏洞，允许非特权普通用户通过crafted shader导致越界写入。2021年，NVIDIA被曝出CVE-2021-1056漏洞，系NVIDIA GPU驱动程序中的设备隔离漏洞，允许攻击者在容器中创建特殊的字符设备文件，从而获取宿主机上所有GPU设备的访问权限。

　　2019年，清华大学计算机系研究团队发现电压管理机制漏洞骑士漏洞（VolJokey），影响ARM TrustZone和Intel SGX等可信执行环境。攻击者可以通过该漏洞突破安全区限制，获取核心密钥并运行非法程序，广泛存在于彼时主流处理器芯片中。

　　对于半导体领域安全漏洞的密集发生，知道创宇404实验室总监隋刚对记者表示，说明当下行业包括制造工艺在内的技术进入一个瓶颈期，安全行业的视角也发生了变化。过去网络安全的聚焦主要在应用系统层面，如今已经开始涉及车联网、5G、卫星、星链等领域。

　　半导体业内资深人士李国强告诉记者，除去是否故意设置漏洞的因素，一些芯片上市时未被发现存在漏洞，后期才发现存在漏洞，有以往技术认知不足的因素。这些漏洞存在一定历史渊源，英特尔早期设计了80系列芯片，而产品向前兼容，即新一代产品兼容前一代或前几代产品。英特尔的问题可能是其设计基于几十年前的一个经典架构，这个架构存在一些当时无法预见、后续才能被发现的漏洞和隐患。

　　徐业礼对记者表示，在AI时代，类似英特尔安全漏洞的问题，可能基于AI系统的高价值目标属性被以更快和更具破坏性的方式利用。如AI系统因其处理和存储大量敏感数据而成为攻击者的理想目标。AI算法，特别是机器学习模型，对处理器的特定功能（如SIMD指令集）有很高的依赖性，这可能被漏洞利用。云服务提供商广泛使用，使得攻击者可以通过远程漏洞利用影响大量用户和数据。另外，攻击者可以利用AI技术自动化漏洞扫描和利用过程，提高攻击的速度和规模。

　　推动产业链发展完善

　　网络安全漏洞包括多种类型，如攻击者注入恶意脚本代码的跨站脚本攻击（XSS），通过在应用程序的用户输入中插入恶意SQL语句欺骗数据库执行非法操作的SQL注入攻击，攻击者通过伪装成合法用户向应用程序发送恶意请求，利用用户在应用程序中的身份执行未经授权操作的跨站请求伪造（CSRF），应用程序意外或故意将敏感数据（如密码、信用卡信息等）泄露给未经授权的用户，导致用户隐私受到侵犯或经济损失的敏感数据泄露等形式。

　　CPU安全漏洞类型的安全风险并不会非常频繁地发生，但一旦发生，将影响范围非常广泛，且修复难度较大。例如，2018年曝光的“熔断”（Meltdown）和“幽灵”（Spectre）漏洞影响了全球大多数处理器芯片，几乎涵盖了所有主流的智能终端设备。这些漏洞允许攻击者绕过内存访问的安全隔离机制，通过恶意程序获取操作系统和其他程序的被保护数据，造成内存敏感信息泄露。

　　徐业礼对记者表示，CPU等微处理器的网络安全风险与其他行业相比，具有隐蔽性和长期风险的特点，硬件漏洞隐蔽性强，可能长期存在，难以检测和防御。同时硬件漏洞难以通过软件补丁修复，可能需要硬件更换或复杂的固件更新。同时在软件层面，由于软件和应用程序依赖CPU特性，硬件漏洞可能波及整个技术生态系统的稳定性和安全性。

　　隋刚对记者表示，安全行业依附于技术发展。类似于“知识无边界”，技术作为知识的另一种层次体现也是同理。但当下的国际环境中，知识与技术呈现有边界的特点，也会出现分流的趋势。目前国内市场中，伴随信创趋势的确定，较为核心的技术——包括软件层面的操作系统，硬件层面的CPU等芯片制造等，都需要时间去沉淀，需要技术去打磨，同时需要时间去等待软硬件互相适配，这些都将影响信息产业的建设与推进进展。

　　李国强表示，一家芯片公司在某个领域几近一家独大带来一定隐患，但对于半导体行业，这种情况难以避免。当规模越大、成本越低、效益越好的逻辑成立时，行业天然会形成接近垄断的局面。而要找到更安全的路径，国内还是要发展自己的PC和服务器芯片。目前国产CPU在一些对信息安全要求高的领域已经在应用，但基于性能要求，可能仍无法完全替代最先进的英特尔芯片或者要靠数量来获得足够的性能。

　　英特尔漏洞一事对国内服务器市场影响仍需观察，国内一家业务包含服务器租售的知名云计算平台相关商务人员告诉记者，该事件还未影响客户使用CPU芯片的意愿，英特尔在x86领域的地位仍难以撼动，该公司的AI领域客户用的还是搭载英特尔芯片的服务器。

　　作为技术发展的重要依附方，安全行业也会发生分流，比如聚焦海外核心技术产品与国内信创产业。近年来，国务院、网信办、工信部发布一系列网络安全相关政策，旨在加强网络安全体系保障与能力建设，推进传统安全产品升级，筑牢可信可控的数字安全屏障。在这一背景下，网络安全硬件设备成为行业关注焦点，它是定制化集成上游元器件后，针对客户特定网安需求场景，提供一系列专业化解决方案的安全设备。

　　艾瑞咨询在研报中分析称，相关国产化软硬件成熟度提升，从“可用”进入到“好用”阶段，在政策的大力支持下国产化网络安全硬件设备将会成为未来行业增长的主要动力；在复杂多变的网络环境下，需求方对于网络安全产品的要求将继续提升，专用网络安全硬件平台将逐步替代通用网络安全硬件设备。

　　徐业礼表示，在国家安全的层面上，中国网络空间安全协会对英特尔产品的网络安全风险提出审查建议，反映了对关键信息基础设施安全的深切关注。这一举措可能会促使国内各行业加强对所使用的硬件产品的安全评估，确保它们不会成为国家网络安全的潜在威胁。同时，这也可能会推动国内半导体行业的自主创新，减少对外部供应商的依赖，从而增强国家供应链的安全性和自主可控能力。此外，这一事件也可能加强国际网络安全合作，共同应对全球性的网络安全挑战，为维护网络空间的和平与稳定贡献力量。

　　（本文来自第一财经）