呃！這裡的腦洞大開，指的是電「腦」的漏「洞」一個接一個的被發現！CPU是電腦裡面的大腦，也是最重要的元件，若CPU資安漏洞很多，就很容易遭受到駭客或有心人士的攻擊，造成個人機敏資料被盜取，引發資安危機。

早前大家最常聽到的就是「Intel處理器資安問題」，儘管AMD也會有一些相關的新聞流出，不過往往也因為以前其勢力不大，所以類似的新聞很快就會沉下去。不過今次由於AMD 7nm勢頭，當它們被爆出也有資料外流危機時，這次的新聞就被放大了...只能說樹大終究會招風。雖說這次漏洞並沒有Intel那麼嚴重，AMD也在官網表示其實那個並非新的攻擊方式，因此不太需要恐慌，且建議只要有更新到最新軟體與「緩解」(mitigate)程式，即可防堵這類的漏洞！

至於Intel方面，只能說Intel的狀況也好不到哪裡去，先前他們為了解決「Meltdown」和「Spectre」的漏洞，花了不少時間推出各式軟體更新來「緩解」這些漏洞所造成的疫情！然而補了這麼久，居然還有一些漏洞是根本無法透過軟體更新方式來解決、緩解的。最近Intel就被資安公司踢爆他們近5年來的CPU都有嚴重的漏洞，甚至無法透過軟體更新來修正，解決方式居然是「放棄治療」，直接升級到最新10代處理器才有解！換句話說，也就是只有他們最新第10代處理器才能化解這次新的漏洞... 看來Intel第10代CPU會不會因為並非效能比較突出很多，而是因為其具有修補最新漏洞的功能而「發大財」？就看後續的發展了！

AMD 2011年後處理器都被挖到有「Take A Way」漏洞

奧地利一所科技大學的研究員近期研究報告指出，一組被研究人員名為「Take A Way」的側道攻擊(side channel attack)影響AMD自2011年以來發表的處理器產品，從Athlon 64 X2、Ryzen 7、甚至到Threadripper系列無一倖免，主要的攻擊模式是藉由L1快取洩漏記憶體資料內容。這組側道攻擊有兩種，一名「Collide+Probe」，使得攻擊者無須任何實體位址或記憶體分享就能獲得監控權；另一種則是「Load+Reload」，是一種更隱密的攻擊手法，不需要使快取無效即可獲得記憶體分享權限，進而從中獲得資料。這樣的處理器缺陷使得駭客只需要透過簡單的JavaScript即可在常見的Chrome、Firefox瀏覽器中獲得利益，研究人員表示：「如此一來更別提隱藏在雲端的虛擬裝置了，只會更容易被侵入。」儘管「Take A Way」不像先前的「Meltdown」和「Spectre」兩種漏洞這麼嚴重，但有心人士已經可以藉由這項漏洞獲取AES加密金鑰了。



AMD先前尚未針對此事發表意見，不過該報告的研究人員指出，「AMD方的反應速度緩慢」，他們說在2019年8月時就已經和AMD表示過這項漏洞，但對方仍舊保持沉默。而關於這項報告也不乏許多陰謀論，正如前文所提：「樹大招風」，難道真是因為AMD聲勢築起，所以更容易被人發現問題嗎？倒也未必，外媒Hardware Unboxed在其Twitter中表示，其實該科技大學這項研究是由Intel發起，主要目的在於針對自家和其他競品做資安檢測，追查是否有漏洞，所以整起事件不過是一個「剛好」而已，

然而，針對這次事件對於AMD過去處理器的潛在問題，AMD也馬上在其官網做說明。AMD表示，上述的白皮書聲稱AMD CPU具有潛在的安全性漏洞，使用者的惡意行為者可以操縱與快取相關的功能，來以意想不到的方式來竊取其他使用者的資料。該白皮書中，研究人員透過將資料路徑與已知緩解軟體或推測性執行側通道漏洞進行配對。AMD相信這些並非新的推測攻擊 (因此才沒回應該研究人員或單位的新發現)。當然，AMD也建議使用者在最新電腦平台裝上最新作業系統與安全性更新，同時將韌體更新到最新版本，並安裝防毒軟體，就可以阻絕這類型的漏洞了！

看來這個Take A Way的新漏洞，也許只是虛驚一場！

Intel近5年的CPU都有CSME漏洞，無法用軟體修復

幾乎可以說是每個禮拜都有Intel的漏洞新聞了吧！先前2月的時候才爆出漏洞，要玩家趕快下載修補，結果三月初又被爆漏洞消息，Positive Technologies研究報導指出：「過去五年處理器全都有資安風險！雖然攻擊可以被偵測，但藉由軟體來修復的話只是治標不治本。」目前研究人員也建議，如果想要完全避免風險的話，最好的方法就是換掉現有的CPU，目前來說的話，只有最新的10代處理器得以避免。

Intel這項漏洞主要和CSME有關，也就是Intel的聚合式安全與管理引擎(Converged Security and Management Engine, CSME)，這個漏洞原先在去年五月時就有被發現、Intel雖然也已經發出更新讓玩家補上，但現在研究人員認為，這個漏洞可能比想像的更嚴重。CSME主要是Intel近期處理器的安全功能，被外界認為是Intel旗下所有搭載Intel平台技術的「密碼學基礎」，當Intel系統開啟時，CSME是系統最初期會開啟的功能之一，主要負責密碼驗證和軟體授權。Positive Technologies指出，該漏洞其實是一個無法修補的漏洞，將允許駭客竊取機密資訊，且Intel最近5年來所發表的大部份晶片組都含有該漏洞。

Positive Technologies的研究人員Mark Ermolov也指出，這是一個存在於晶片唯讀記憶體(ROM)的安全漏洞，此一漏洞已危害到硬體層級，Positive Technologies也建議玩家應該要關閉CSME加密功能，獲得更簡單的處理方式是直接更新到10代以後的Intel處理器了。看來Intel真正安全的處理器，只能寄望在第10代了吧?!

相關文章

(1)Intel CPU漏洞再修補一波，微軟推出Win10修補程式，玩家快下載！
(2)傻眼貓咪? Intel Xeon處理器發現新漏洞，全新NetCAT快取漏洞可透過DDIO來竊取敏感資料!

-------------------------------------------------------------
【PCDIY!官方Telegram頻道正式開創！】

★沒新聞心癢？加入PCDIY!官方Telegram頻道：https://t.me/PCDIY
☆「找嘸人」聊科技？加入PCDIY! Telegram討論群：https://t.me/PCDIY_Chat