路透社今日发表文章，详细揭秘英特尔近期的被曝出的芯片漏洞是怎么被发现的：一名 31 岁的信息安全研究员成功攻入自己计算机的 CPU 内部，并由此发现了英特尔的芯片漏洞。一天晚上，信息安全研究员丹尼尔·格鲁斯（Daniel Gruss）正在摆弄自己的电脑。他发现了过去 20 年中，英特尔大部分芯片都存在的一个严重漏洞。31 岁的格鲁斯是奥地利格拉茨技术大学的博士后研究员。他刚刚攻入了自己计算机 CPU 的内部，窃取了其中的保密信息。 直到成功之前，格鲁斯和他的同事莫里茨·利普（Moritz Lipp）和迈克尔·施瓦茨（Michael Schwarz）都认为，对处理器内核存储的攻击只停留在理论上。内核存储不对用户开放。格鲁斯在接受路透社邮件采访时表示：“ 当我看到来自火狐浏览器的私人网址被我编写的工具导出时，我非常震惊。” 他在邮件中介绍了，如何解锁本应该得到充分保护的个人数据。 12 月初的一个周末，格鲁斯、利普和施瓦茨在家里工作。他们互相发短信，以验证各自的结果。 格鲁斯表示：“ 我们坐了好几个小时，不敢相信这个结果，直到我们排除了结果可能错误的可能性。” 在关掉计算机之后，他也一直在思考，几乎难以入睡。格鲁斯和他的同事们刚刚证实了他认为的 “ 有史以来最严重的 CPU 漏洞之一 ”。这个漏洞目前被命名为 Meltdown，于周三公布，影响了英特尔自 1995 年以来制造的大部分处理器。 此外，另一个名为 Spectre 的漏洞也被发现存在于大部分搭载英特尔、AMD 和 ARM 处理器的计算机和移动设备中，可能导致核心存储泄露。 利用这两个漏洞，黑客可以从台式机、笔记本、云计算服务器和智能手机中获取密码和照片。目前尚不清楚，黑客是否有能力执行这样的攻击，因为利用 Meltdown 和 Spectre 的攻击都不会在日志文件中留下记录。 英特尔表示，该公司已经开始提供软件和固件升级，应对安全问题。ARM 也表示，正在与 AMD 和英特尔合作，修复安全漏洞。 寻找解决办法 科技网站 The Register 最先报道了这个发现，这导致与漏洞相关的研究比相关厂商的计划提前公布了一周，而这些厂商尚未拿出完整的修复方案。 格拉茨技术大学的团队正在开发一种工具，防范黑客从内核存储中窃取机密信息。在去年 6 月发表的一篇论文中，他们将其称作 “ KAISER ” ，即 “ 通过内核地址隔离有效移除旁路 ” 的缩写。 顾名思义，KAISER 的目标是保护内核存储，避免所谓的旁路攻击。在当代处理器中，旁路的设计是为了提升速度。 负责任地披露 在 12 月尝试对自己的计算机进行黑客攻击之后，格拉茨技术大学团队的早期工作开始变得清晰起来。事实证明， KAISER 工具能有效抵御通过 Meltdown 的攻击。 该团队迅速联系了英特尔，并了解到其他研究人员也获得了类似发现。他们基于 “ 负责任地披露 ” 程序来推进，告知受影响公司自己的发现，给企业时间去开发补丁。格鲁斯表示，其中关键的人员包括独立研究员保罗·科切（Paul Kocher）及其在 Cyberus Technology 的团队。而谷歌 Project Zero 的简恩·霍恩（Jane Horn）也独立得出了类似结论。 格鲁斯表示：“ 12 月中旬，我们将工作汇总在一起，制作了两份关于 Meltdown 和 Spectre 的发布报告。”格鲁斯此前并不清楚霍恩所做的工作。他表示：“ 霍恩完全独力进行了开发，非常厉害。我们开发出了类似的攻击方法，但我们有 10 名研究员。”大团队表示，基于 KAISER 为 Meltdown 漏洞提供的补丁已准备好发布给 Windows、Mac 和 Linux 操作系统。 目前，Spectre 漏洞还没有任何补丁。Spectre 可以欺骗程序泄露信息，但研究人员认为，黑客使用这个漏洞也非常困难。关于这两个漏洞哪个带来的挑战更大，格鲁斯表示：“ 眼前的问题是 Meltdown。随后是 Spectre。Spectre 更难利用，但也难以解决。因此从长期来看，我认为 Spectre 更麻烦。” 稿源：cnBeta、，稿件以及封面源自网络；

Mozilla 确认近日全平台中招的 Meltdown（熔断）和 Spectre（幽灵）两个漏洞能够用于提取用户上网的登陆信息。尽管这种情况的发生概率极小，但已经证明确实存在这种安全隐患。 Mozilla 通过多个 JavaScript 脚本文件确认了这种攻击方式的可行性，假如网页创建者怀揣恶意目的，能够提取任意访客的相关信息。不过这种情况概率极小，首先是软件和固件始终处于未更新状态，而且硬件是过去 20 年生产的。 Mozilla 软件工程师 Luke Wagner 在博文中确认：“ 近期公布的数篇科研文章已经证实了在近代 CPU  上存在新型攻击方式（熔断和幽灵）。我们的内部测试发现，能够相似的技术能够从网页内容中读取隐私信息。”所幸的是，近年来下载的 Firefox 在默认情况下都会进行自动更新。 稿源：cnBeta，封面源自网络；

英特尔处理器安全漏洞事件仍在继续，英特尔 CEO 已经表示「手机等所有产品」都将受到影响。ARM 发布的最新安全更新表示部分 iPhone、iPad、iPod 和 Apple TV 可能会受影响。ARM 处理器安全更新罗列了容易受影响的处理器列表，其中包括 Cortex-A8、Cortex-A9 和 Cortex-A15。 虽然苹果自己定制 A 系列芯片，但这些都是基于 ARM 架构的。一些 A 系列芯片包含一些 Cortex-A8、-A9 和 -A15 处理器的元素，所以容易受到影响。 A4 芯片包括 Cortex-A8 处理器，被用在第一代 iPad、iPhone 4、四代 iPod Touch 和二代 Apple TV 中。A5 和 A5X 芯片包括双核 Cortex-A9 处理器。A5 用在 iPad 2、 初代 iPad mini、iPhone 4S、第三代 Apple TV 和第五代 iPod Touch。A5X 用在第三代 iPad。A6 带有 Cortex-A15 的一些元素，用在 iPhone 5 和 iPhone 5C 中。 可能会受到影响的苹果设备如下： – iPhone 4 – iPhone 4S – iPhone 5 – iPhone 5C – iPad (1st gen) – iPad 2 – iPad (3rd gen) – Apple TV (2nd gen) – Apple TV (3rd gen) – iPod Touch (4th gen) – iPod Touch (5th gen) 虽然 ARM 表示部分 iOS 设备和 Apple TV 可能会受到影响，但其表示被利用的几率很低。而且苹果也会像对待 macOS 那样即使更新补丁，只不过至于性能是否会下降目前还不是很清楚。 稿源：MacX，封面源自网络

白宫新闻秘书 Sarah Sanders 星期四说，白宫将开始禁止员工在工作中使用个人手机。 Sarah Sanders 在一份声明中表示，白宫技术系统的安全和完整性是特朗普政府的首要任务。因此，她说，在白宫西楼不再允许使用所有的个人用具和设施。 她补充说，工作人员将能够通过政府发放的设备开展业务，并继续为美国民众服务。这一变化意味着特朗普政府的助手将不允许在白宫内使用他们的个人手机。 据新闻媒体报道，这项新规定是由总参谋长凯利（John Kelly）施加的。一些助手表示，这一规定将使他们难以与家人保持联系，彭博报道，白宫提供的手机不允许发短信，增加了工作人员的抱怨和不满。特朗普总统自从任职以来，经常谈到信息泄漏，这个问题从一开始就困扰着特朗普政府。 稿源：cnBeta.com，封面源自网络

去年的时候，Google 旗下 Project Zero 团队发现了一个由 CPU “ 预测执行 ” 导致的严重安全漏洞，而它也是一项被大多数现代处理器使用的性能优化方案。根据研究人员 Jann Horn 的演示，恶意攻击者可借此读取不该被它访问到的系统内存。某个未经授权的一方，可能在系统内存中读取到一些敏感信息，比如密码、加密密钥、或者在应用程序中打开的其它机密信息。 测试还表明，在一台虚拟机上发起的攻击，甚至能够访问到主机的物理内存。基于此，还可以获取在同一主机上、不同虚拟机的内存读取访问。 该漏洞影响许多 CPU，包括来自英特尔、AMD、ARM 的芯片，以及搭配运行的设备和操作系统。在获悉这种新型攻击的第一时间，谷歌安全和产品开发团队就积极动员了起来，以保护自家系统和用户数据。 万幸的是，谷歌现已更新了系统和受影响的产品，可以防止这类新型攻击。此外他们还与业内的软硬件制造商合作，帮助保护更广泛的客户，这些努力包括协作分析和开发新奇的缓解措施。 受到该漏洞影响的 Google 产品、以及它们当前的状态，可移步至这个页面查看： https://support.google.com/faqs/answer/7622138 鉴于这种攻击类型相当新颖，Google 只列出了当前已知的攻击方式和缓解措施。在某些情况下，用户和客户需要采取额外的步骤，才能确保他们已经用上了受保护的版本。 下面是当前已给出的产品清单：（未列出的 Google 产品需要用户自行采取额外的保护措施） ● Android（请更新至最新的安全补丁）； ● Google Apps / G Suite（含 Gmail、日历、网盘等）； ● Google Chrome（需采取部分额外措施）； ● Google Chrome OS（含 Chromebook）； ● Google Cloud Platform（需采取部分额外措施）； ● Google Home / Chromecast（无需采取额外措施）； ● Google Wifi / OnHub（无需采取额外措施）。 需要指出的是，这个列表和产品的状态可能随着新的进展而改变，必要的情况下，Google 安全团队会对这篇博客的内容进行修改和更新： https://security.googom/2018/01/todays-cpu-vulnerability-what-you-need.htmlleblog.c 稿源：cnBeta， 封面源自网络；

《华盛顿邮报》报道，NSA 正以令人担忧的速度失去它的优秀人才。报道援引知情人士的消息称，自 2015 年以来，NSA 失去了数百名黑客、工程师和数据科学家。知情人士称这将严重影响到国家安全。一名前官员称，NSA 的部分团队失去了近一半的雇员。 结果是部分项目被砍掉或放慢进度。流失人才的原因被认为是 NSA 给的薪水无法与私企竞争，士气低迷以及不受欢迎的重组。 NSA 发言人表示，雇员担心的高流失率正促使 NSA 提高薪水，增加升职和工作机遇。 稿源：cnBeta、solidot， 封面源自网络；

因为 Firefox 崩溃报告工具发现了一个 bug，Mozilla 决定删除所有收集的遥测数据。自 Firefox 52 发布起 Mozilla 收集了后台标签页的崩溃报告，但崩溃报告工具的 bug 让浏览器没有遵守用户的隐私设置，它会自动递交崩溃报告，最近发布的 Firefox 57.0.3 修改了这个 bug。 因为崩溃报告不是匿名的，为了保护用户的隐私，Mozilla 决定删除这一期间所有收集的崩溃报告。这将导致它失去九个月的遥测数据。 稿源：cnBeta、solidot， 封面源自网络；

据北京时间 1 月 3 日早间消息，由于英特尔处理器存在一个底层设计缺陷，迫使 Linux 和 Windows 内核需要展开重大的重新设计，以便消除芯片层面的安全漏洞。程序员都在正在加紧检修开源 Linux 内核的虚拟内存系统。 与此同时，微软也可能在下周二的补丁中发布对 Windows 系统展开必要调整：这些改版已经在去年 11 月和 12 月提供给 Windows Insider 的测试者。 关键问题在于，Linux 和 Windows 系统的更新会对英特尔的产品性能产生冲击。虽然具体影响有待确定，但预计速度会放慢 5% 至 30%，具体要取决于任务类型和处理器模式。英特尔最近的芯片配备了 PCID 功能，可以降低性能受到的影响。 苹果 64 位 macOS 等其他系统也需要进行类似的更新——该问题存在于英特尔的 x86 硬件之中，似乎无法通过微码升级来解决。必须要在系统层面通过软件来解决，或者购买没有设计缺陷的新处理器。 英特尔芯片的漏洞细节尚未披露，最早有望于本月初公布，可能会选在下周二的微软补丁发布日。事实上，Linux 内核补丁已经对所有人开放，但源代码的评论内容经过修改，导致人们无法详细了解问题。 稿源：cnBeta、， 稿件以及封面源自网络；

韩国金融安全研究所说，黑客正在挖掘加密货币来资助金正恩政权。彭博社援引韩国政府的分析报导，朝鲜黑客安达列尔（ Andariel ）今年夏天入侵韩国一家公司的服务器窃取 70 枚莫罗硬币。由 Mariah Carey 和 Fall Out Boy 等音乐人支持的这些电子货币价值总共为 25,000 美元（ 18,440 英镑或 31,880 澳元）。 这个消息显示国际上对于朝鲜的制裁正在收紧，朝鲜转向加密货币作为政府资金来源。美国上个月指责朝鲜5月份在全球范围发动 WannaCry 网络攻击事件，瘫痪了超过 30 万台服务器，但是朝鲜否认有任何参与。袭击的受害者发现他们的电脑被锁定，必须支付比特币赎金才能解锁他们的文件。 比特币被朝鲜用作“经济武器”的潜力也被认为是韩国政府想要对加密货币进行打击的一个原因。这次曝光莫罗硬币是专为那些偏爱隐私的人而设计，因为比起比特币和以太坊这样的竞争对手来说，追踪莫罗硬币更加困难。据彭博社报道，韩国政府金融安全研究所所长郭永举（Kwak Kyoung-ju）表示，因为这个原因，莫罗硬币是一个更容易洗钱的货币。 稿源：cnBeta.com， 封面源自网络；

德国将开始执行一项法律，要求社交媒体网站迅速采取行动，消除仇恨言论，假新闻和非法材料。 不删除明显非法的网站可能面临高达 5000 万欧元（ 4430 万英镑）的罚款。这项法律要求网站被告知存在违法内容之后在 24 小时之内采取的行动后。拥有 200 多万会员的社交网站和媒体网站将属于法律规定的范围。 Facebook，Twitter 和 YouTube 将成为法律的主要焦点，但它也可能被应用于 Reddit，Tumblr 和俄罗斯社交网络 VK。  Vimeo 和 Flickr 等其他网站也可能被纳入其覆盖的范围之中。 这项法律于 2017 年 6 月底获得通过，并于 10 月初正式生效。 多数社交网络直到 2017 年年底才准备好这项名为 NetzDG 法律的到来。 通过德国着名社交媒体公司，发生在几起引人注目的新闻和种族主义事件之后，德国司法部表示将在其网站上提供表格，公民可以使用该表格报告违反 NetzDG 或未被及时清除的内容。 除了迫使社交媒体公司迅速采取行动之外，NetzDG 还要求他们建立一个全面的投诉结构，以便员工可以迅速报告非法内容。 Twitter 最近更新了处理仇恨言论时遵循的准则，大多数材料将不得不在 24 小时内被删除，但将有一个星期来处理“复杂案件”。 据报道，Facebook 在德国招募了数百名员工处理关于 NetzDG 报告的内容，并更好地监控人们发布的内容。 德国的法律一直存在争议，有些人认为这可能会导致审查过头或者限制言论自由。 稿源：cnBeta，封面源自网络。