升级网页浏览器到最新版

现在恶意攻击主要都是通过联网进行，网页浏览器自然是一个重要的入口，特别是这次“Spectre”缺陷便可被恶意程序利用来潜伏在网页的JavaScript里面来无影去无踪，虽然还有很多利用这两个缺陷的攻击方式还不明确，但网页浏览器至少是一道不可忽视的防线。

目前微软已经放出了新版Edge和IE浏览器封堵漏洞，Firefox可更新到57版来修补，Google将在1月23日放出新版Chrome 64，苹果也将在未来数日为其Safari提供安全补丁，国产网页浏览器方面则暂时还没有这类安全更新。

升级操作系统最新安全补丁

由于恶意攻击会通过操作系统底层操作来利用“Meltdown”和“Spectre”这两个硬件缺陷，所以设备上的系统更新非常有必要。目前Linux已经有针对性的封堵漏洞，微软已于近日为Windows 10推送了安全补丁更新（KB4056890、Version 1709），而苹果早在去年十二月的iOS 11.2和macOS 10.13.2上针对“Meltdown”作了缓解措施，大家应该检查自己PC和手机上系统版本是否为最新版。

需要注意的是，由于操作系统进行的这些安全补丁更新有对一些底层功能进行禁用，难免会对设备的性能造成一定的影响（大多数情况都是微不足道的影响），根据“Meltdown”特性，一些频繁访问用户程序的操作，如磁盘I/O和网络上下行操作，这可能会出现性能下降，但如果是对这些操作不敏感的应用，如游戏，则不会有影响。

升级设备的固件

除了软件升级的措施外，设备上固件同样要更新到制造商提供的最新版本，如笔记本电脑的固件、台式机主板的BIOS，这个是防范硬件缺陷有很大作用的方式。目前这次受影响最大的Intel已经联合多家厂商研究应对方案，在OEM方面，惠普、戴尔、联想等都为他们的设备放出固件升级，微软也为其Surface系列产品提供了更新，但由于这些设备型号太多了，厂商们还无法全部提供，大家可以根据自己电脑型号到厂商官方网站进行查询支持信息是否有新版升级。

最后，上述步骤绝大部分都只是针对“Meltdonw”缺陷，而“Spectre”则如其名字一样，目前仍有太多未知和不确定的情况，所以还没有很有效的方式进行防范。另外由于这两个缺陷都是存在于处理器本身的底层执行方式上，所以很可能要对处理器的基本架构进行重新改进，才可以彻底解决问题，这意味着在未来数年内，我们都要面临这些潜在风险。关于这个事件持续的跟进，大家敬请留意后面的更新哦，也可以来我们超能群组一起聊聊，加入超能群组请找小超哥（微信9501417）~~

“Meltdown”和“Spectre”严重性在于它们利用到处理器的底层执行指令，这是自处理器架构设计而来的特性。由于现代化的处理器都采用了推测执行（speculative execution）来进行任务调度，即处理器会根据工作任务预先给出猜测指令，如果符合特定的条件即进行执行，否则的话就会丢弃这条推测的指令，不进行执行。推测执行是所有处理器中最基本的一个架构功能，所以它可以直接从缓存中获取所有包括标识为不可读的数据，另外有这样权限的还有处理器的分枝预测（branch predictor），这些处理器功能都可以被利用来获取一些敏感信息。

据外媒ArsTechnica在报道中解释到，“Meltdown”利用的是推测执行来获得用户程序中的内核数据，目前Intel、AMD和ARM的处理器都会在内存内进行推测执行，其中Intel最为激进，其芯片允许用户程序使用内核数据和执行进入检查，从而可以访问到内核内存（Kernel memory），这里往往保存了用户的隐私数据，但AMD和ARM的处理器则没有这样被攻击的风险，因为AMD禁止了这类执行，而ARM早已经有补丁进行防范。

目前要封堵“Meltdown”存在隐患，主要通过打补丁来关闭操作系统的共享内核映射，这是个自上个世纪九十年代初，便用于来提高系统运行效率的操作系统功能，在关闭该功能后会彻底禁止用户程序读取内核内存，从而阻止“Meltdown”漏洞攻击。但这种修复方法也带来很大的问题，一些对用户程序很依赖的任务会因此变慢，比如执行磁盘和网络操作，所以昨天便有报道Intel在修复了该硬件漏洞后，其处理器可能会出现35%的性能损失。

对于AMD和ARM处理器更需要面临的漏洞则是来自“Spectre”（当然Intel处理器也有这个缺陷），其利用到更多推测执行的能力，所以这个危害性要比“Meltdown”更为广泛和深入，不仅会获取系统内核的信息，还可以获取虚拟机管理员到访客系统的大范围信息，而且利用这个缺陷进行的攻击还无法被追踪到（所以称为幽灵），这使得目前还没有很有效的防范措施放出。

庆幸的是，现阶段还没有人利用“Meltdown”和“Spectre”进行攻击，这两个缺陷对于云服务商的威胁更大，而普通用户受到的影响要小很多，大众只要安装Windows、macOS和Linux系统提供的安全补丁即可。当然这些都只是补救手段，要彻底解决这两个缺陷，还需要处理器在未来的架构上作改进了。关于这个事件持续的跟进，大家敬请留意后面的更新哦，也可以来我们超能群组一起聊聊，加入超能群组请找小超哥（微信9501417）~~