自从今年初 Spectre 幽灵、Metldown 熔断两大安全漏洞被曝光、对整个处理器行业造成重大冲击以来，以 Intel 为首的软硬件行业公司都加强了对于处理器安全漏洞的检测、防范和修复。现在，Intel 与伙伴主动披露了一个新的安全漏洞“L1 终端故障”(L1 Terminal Fault)，简称 L1TF，并同时公布了完整的防御措施。
（截图 -1） 漏洞解析 L1TF 是一种最近发现的推测执行侧信道分析的安全漏洞，会影响一部分支持 Intel SGX 软件保护扩展的处理器，包括自第二代酷睿(Sandy Bridge)以来的各类桌面、移动笔记本、服务器和数据中心产品。 该漏洞由鲁汶大学、以色列理工学院、密歇根大学、阿德莱德大学、Data61 的研究人员首次发现并向 Intel 报告。 Intel 进一步研究后发现，L1TF 漏洞的另外两种相关应用还存在影响其它处理器、操作系统和虚拟化软件的可能。 L1TF 和此前发现的幽灵漏洞多个变体类似，三种应用都是与预测执行侧信道缓存计时相关的漏洞，不过这次的攻击目标是一级数据高速缓存，其中存储着关于“处理器内核下一步最有可能做什么”的信息。
（视频截图 - 2） 防御措施 L1TF 漏洞报告是 Intel 主动公布的，因为在此之前 Intel 已经完成了相关研究，并部署了相应的防御措施。 事实上，Intel 今年早些时候发布的微代码更新(MCU)，就包含了针对 L1TF 所有三种应用的防御策略，为系统软件提供了清除该共享缓存的方法。 即日起，行业合作伙伴和开源社区也会陆续发布针对操作系统和管理程序软件的相应更新。 此外，今年 3 月份 Intel 就已经宣布，会在硬件层面作出改变，以抵御安全漏洞，其中就包括 L1TF 在内，首先是代号 Cascade Lake 的下一代 Xeon 至强可扩展处理器，和今年晚些时候推出的全新 PC 处理器。 Intel 强调，目前还没有收到这些漏洞被实际攻击利用的报告。 Foreshadow Attack：https://v.youku.com/v_show/id_XMzc4MTE3MjIzNg==.html 性能影响 Intel 预计，针对漏洞进行系统更新后，运行非虚拟化操作系统的消费者和企业用户面临的安全风险会降低，而基于在测试系统上运行的性能基准测试，尚未看到上述防御措施对性能产生任何显著的影响。 针对另外一部分市场，特别是数据中心领域运行传统虚拟技术的，由于无法保证所有虚拟化系统已安装必要更新，Intel 建议采取额外措施来保护其系统，包括启用特定管理程序内核调度功能、在某些特定场景中关闭超线程。 对于这些特定情况，某些特定负载上的性能或资源利用率可能会受到影响，并相应发生变化。 Intel 与行业合作伙伴正在研究多种解决方案来应对这一影响，以便客户可以根据自己的需求选择最佳方案。 为此，Intel 已经了一种方法，可以在系统运行期间即时检测基于 L1TF 漏洞的攻击，只在必要时才启用防御措施。 Intel 已经为一些合作伙伴提供了具有这项功能的预览版微代码，供评估试用，并希望在今后逐步推广。 |
