本文來自微信公眾號“安全牛”。
10月16日，中國網(wǎng)絡(luò)空間安全協(xié)會(huì)發(fā)布題為《漏洞頻發(fā)、故障率高應(yīng)系統(tǒng)排查英特爾產(chǎn)品網(wǎng)絡(luò)安全風(fēng)險(xiǎn)》公眾號文章，明確指出了英特爾的四項(xiàng)安全問題：一是安全漏洞問題頻發(fā)；二是可靠性差，漠視用戶投訴；三是假借遠(yuǎn)程管理之名，行監(jiān)控用戶之實(shí)；四是暗設(shè)后門，危害網(wǎng)絡(luò)和信息安全。
這篇文章再一次警醒了我國對網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的思考，并引發(fā)了一系列的討論。
安全牛結(jié)合長期對網(wǎng)絡(luò)安全的研究與洞察認(rèn)為，當(dāng)下更應(yīng)加快并堅(jiān)定落實(shí)信創(chuàng)安全舉措，因?yàn)樾艅?chuàng)安全已不再是談?wù)搫e國式的類比性風(fēng)險(xiǎn)，而是真實(shí)存在的實(shí)戰(zhàn)性風(fēng)險(xiǎn)。
英特爾CPU的嚴(yán)重安全漏洞令人觸目驚心
英特爾作為全球最大的芯片廠商，其CPU產(chǎn)品在我國網(wǎng)絡(luò)空間和信息化建設(shè)中占據(jù)著舉足輕重的地位。從政府機(jī)關(guān)到關(guān)鍵基礎(chǔ)設(shè)施，從金融、電信到教育、醫(yī)療等重點(diǎn)行業(yè)，英特爾的身影無處不在。
然而，近年來英特爾CPU接連曝出的高危漏洞，如Downfall、Reptar、GhostRace、NativeBHI、Indirector等，給網(wǎng)絡(luò)安全蒙上了重重陰影。這些漏洞不僅可以泄露用戶的敏感信息，竊取企業(yè)的商業(yè)機(jī)密，更有可能導(dǎo)致系統(tǒng)癱瘓，甚至引發(fā)災(zāi)難性后果。
英特爾開發(fā)的遠(yuǎn)程管理技術(shù)IPMI（智能平臺(tái)管理接口）和AMT（主動(dòng)管理技術(shù)）存在嚴(yán)重漏洞，給全球無數(shù)服務(wù)器和PC帶來極大的安全隱患。例如CVE-2019-11181和CVE-2017-5689等高危漏洞，讓攻擊者輕松獲取受害設(shè)備的最高權(quán)限。一旦被不法分子利用，其危害不堪設(shè)想。更讓人不安的是，存在嚴(yán)重漏洞的ME管理引擎竟然被默認(rèn)嵌入了英特爾的所有CPU，這無異于給全球無數(shù)設(shè)備都預(yù)制了一個(gè)隨時(shí)爆炸的定時(shí)炸彈。
面對如此嚴(yán)重的安全漏洞和故障，英特爾的態(tài)度卻令人擔(dān)憂。他們未能積極應(yīng)對、及時(shí)修復(fù)，而是存在一定的延誤，甚至在明知漏洞存在的情況下繼續(xù)銷售有缺陷的產(chǎn)品。作為一家全球領(lǐng)先的科技企業(yè)，英特爾應(yīng)承擔(dān)起維護(hù)網(wǎng)絡(luò)安全的責(zé)任。當(dāng)前存在的問題產(chǎn)品之多、危害之廣，已經(jīng)引起了廣泛關(guān)注。
啟動(dòng)對英特爾CPU的安全審查已經(jīng)刻不容緩
在我國，英特爾幾乎壟斷了CPU市場。據(jù)報(bào)道，英特爾CPU在我國臺(tái)式機(jī)、筆記本和服務(wù)器市場的份額均在80%以上?？梢哉f，我國的政府機(jī)關(guān)、企事業(yè)單位、關(guān)鍵信息基礎(chǔ)設(shè)施，乃至普通個(gè)人用戶，都高度依賴英特爾CPU。一旦這些產(chǎn)品存在安全漏洞或后門，后果不堪設(shè)想。
在這種情況下，攻擊者可以利用英特爾CPU漏洞，竊取我國的國家機(jī)密、商業(yè)秘密和個(gè)人隱私，甚至可以隨時(shí)癱瘓我國的信息系統(tǒng)。惡意組織若控制了英特爾CPU中的ME后門，更是如同"定時(shí)炸彈"，可對我國實(shí)施大規(guī)模網(wǎng)絡(luò)攻擊和監(jiān)控。這將嚴(yán)重危害我國的國家安全、經(jīng)濟(jì)安全和社會(huì)穩(wěn)定。
面對上述這些安全威脅，安全牛認(rèn)為，我國應(yīng)該對在信息系統(tǒng)中占據(jù)核心底座位置的CPU已知風(fēng)險(xiǎn)，給予最高級別的應(yīng)對舉措，當(dāng)務(wù)之急是由國家主管部門牽頭對英特爾在華產(chǎn)品開展網(wǎng)絡(luò)安全審查。這不僅是一個(gè)企業(yè)產(chǎn)品質(zhì)量問題，更關(guān)乎國家安全和公共利益。
具體而言，主管部門應(yīng)該成立由網(wǎng)絡(luò)安全、信息技術(shù)、法律等多領(lǐng)域?qū)＜医M成的審查組，對英特爾CPU的技術(shù)參數(shù)、源代碼、內(nèi)置組件等進(jìn)行全面而深入的分析和測試，查找潛在的后門、漏洞和安全隱患。要重點(diǎn)關(guān)注對國家政治、經(jīng)濟(jì)、軍事等敏感領(lǐng)域信息系統(tǒng)的影響，評估可能帶來的安全風(fēng)險(xiǎn)。同時(shí)，要審查英特爾公司在華所售產(chǎn)品的質(zhì)量控制、安全管理、應(yīng)急響應(yīng)等相關(guān)制度和措施，評估其是否符合國家有關(guān)法律法規(guī)要求，是否切實(shí)履行了保障用戶安全、維護(hù)公共利益的責(zé)任和義務(wù)。
需要強(qiáng)調(diào)的是，開展網(wǎng)絡(luò)安全審查，絕非對外資企業(yè)的歧視和打壓，而是依法依規(guī)的正常監(jiān)管行為，符合國際通行標(biāo)準(zhǔn)和行業(yè)最佳實(shí)踐。對內(nèi)資、外資企業(yè)一視同仁，沒有例外。
加快推進(jìn)信創(chuàng)發(fā)展是國家安全和發(fā)展的根本保障
安全牛認(rèn)為，開展安全審查是解決英特爾CPU安全問題的當(dāng)務(wù)之急，加快推進(jìn)信息技術(shù)應(yīng)用創(chuàng)新，大力發(fā)展國產(chǎn)CPU，確保國家在關(guān)鍵領(lǐng)域的技術(shù)自主可控，避免核心技術(shù)受制于人，才是更加主動(dòng)地解決此類問題的終極之道。
值得一提的是，在信息通信技術(shù)領(lǐng)域，我國已經(jīng)逐步實(shí)現(xiàn)了云計(jì)算中心、小型機(jī)、PC、數(shù)據(jù)庫、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等關(guān)鍵環(huán)節(jié)的國產(chǎn)化替代。然而，在操作系統(tǒng)和芯片這兩個(gè)最底層、最核心的技術(shù)領(lǐng)域，我們?nèi)悦媾R巨大挑戰(zhàn)。
CPU作為芯片產(chǎn)業(yè)皇冠上的明珠，是我國IT產(chǎn)業(yè)實(shí)現(xiàn)完全自主可控的一個(gè)亟待攻克的"堡壘"。
我們必須發(fā)揚(yáng)“兩彈一星”精神，集中力量攻克“卡脖子”難題；要著眼長遠(yuǎn)，加大基礎(chǔ)研究投入，為關(guān)鍵核心技術(shù)攻關(guān)夯實(shí)基礎(chǔ)；要完善產(chǎn)業(yè)布局，在設(shè)計(jì)、制造、封裝、測試等環(huán)節(jié)形成完整的創(chuàng)新鏈條；要發(fā)揮新型舉國體制優(yōu)勢，充分調(diào)動(dòng)各方面積極性，打通科研、產(chǎn)業(yè)、資本、人才等要素的堵點(diǎn)，營造協(xié)同攻關(guān)、聯(lián)合突破的生態(tài)。
近年來，龍芯、飛騰、申威、兆芯等國產(chǎn)CPU發(fā)展迅速，部分性能已接近或達(dá)到國際先進(jìn)水平，完全可以替代英特爾CPU。在此基礎(chǔ)上，應(yīng)加大對國產(chǎn)CPU的支持力度，盡快在政府機(jī)關(guān)和關(guān)鍵信息基礎(chǔ)設(shè)施中實(shí)現(xiàn)國產(chǎn)替代。
安全牛曾在《信創(chuàng)安全能力建設(shè)技術(shù)指南（2023年）》報(bào)告中，對信創(chuàng)安全提出了4個(gè)重要“落實(shí)”解決方案建議：一是落實(shí)信創(chuàng)基礎(chǔ)設(shè)施；二是落實(shí)信創(chuàng)產(chǎn)業(yè)上下游供應(yīng)鏈建設(shè)；三是落實(shí)信創(chuàng)安全系統(tǒng)建設(shè)；四是落實(shí)信創(chuàng)環(huán)境實(shí)戰(zhàn)安全體系建設(shè)。
總之，網(wǎng)絡(luò)安全事關(guān)國家安全和發(fā)展大局。面對英特爾CPU的安全威脅，我們必須保持高度警惕，采取有力措施予以應(yīng)對，堅(jiān)決維護(hù)國家網(wǎng)絡(luò)安全。這不僅需要政府部門和企業(yè)的共同努力，也需要全社會(huì)的積極參與。只有萬眾一心，眾志成城，我們才能筑牢網(wǎng)絡(luò)安全防線，為建設(shè)網(wǎng)絡(luò)強(qiáng)國提供堅(jiān)實(shí)保障。
報(bào)道原文
漏洞頻發(fā)、故障率高應(yīng)系統(tǒng)排查英特爾產(chǎn)品網(wǎng)絡(luò)安全風(fēng)險(xiǎn)
中國網(wǎng)絡(luò)空間安全協(xié)會(huì) 2024年10月16日 17:02北京
漏洞頻發(fā)、故障率高
應(yīng)系統(tǒng)排查英特爾產(chǎn)品網(wǎng)絡(luò)安全風(fēng)險(xiǎn)
1.安全漏洞問題頻發(fā)
2023年8月，英特爾CPU被曝存在Downfall漏洞，該漏洞是一種CPU瞬態(tài)執(zhí)行側(cè)信道漏洞，利用其AVX2或者AVX-512指令集中的Gather指令，獲取特定矢量寄存器緩沖區(qū)之前存儲(chǔ)的密鑰、用戶信息、關(guān)鍵參數(shù)等敏感數(shù)據(jù)。該漏洞影響英特爾第6代至第11代酷睿、賽揚(yáng)、奔騰系列CPU，以及第1代至第4代至強(qiáng)處理器。實(shí)際上，早在2022年，就有研究者向英特爾報(bào)告過該漏洞，但英特爾在明知漏洞存在的情況下，既不予承認(rèn)，也未采取有效行動(dòng)，還持續(xù)銷售有漏洞的產(chǎn)品，直至漏洞被公開報(bào)道，英特爾才被迫采取漏洞修復(fù)措施。已有五位受害者以自身及“全美CPU消費(fèi)者”代表的名義，于2023年11月在美國北加州聯(lián)邦地方法院圣何塞分院，針對上述情況向英特爾發(fā)起集體訴訟。
無獨(dú)有偶，2023年11月谷歌研究人員，又披露英特爾CPU存在高危漏洞Reptar。利用該漏洞，攻擊者不僅可以在多租戶虛擬化環(huán)境中獲取系統(tǒng)中的個(gè)人賬戶、卡號和密碼等敏感數(shù)據(jù)，還可以引發(fā)物理系統(tǒng)掛起或崩潰，導(dǎo)致其承載的其他系統(tǒng)和租戶出現(xiàn)拒絕服務(wù)現(xiàn)象。
2024年以來，英特爾CPU又先后曝出GhostRace、NativeBHI、Indirector等漏洞，英特爾在產(chǎn)品質(zhì)量、安全管理方面存在的重大缺陷，表明其對客戶極不負(fù)責(zé)任的態(tài)度。
2.可靠性差，漠視用戶投訴
從2023年底開始，大量用戶反映，使用英特爾第13、14代酷睿i9系列CPU玩特定游戲時(shí)，會(huì)出現(xiàn)崩潰問題。游戲廠商甚至在游戲中添加了彈窗處理，警告使用這些CPU的用戶。視覺特效工作室ModelFarm的虛幻引擎主管和視覺特效負(fù)責(zé)人Dylan Browne發(fā)帖說，其所在公司采用英特爾處理器的電腦故障率高達(dá)50%。
在用戶反映集中、無法遮掩的情況下，英特爾公司最終不得不承認(rèn)產(chǎn)品存在穩(wěn)定性問題，給出所謂初步調(diào)查報(bào)告，將問題歸咎于主板廠商設(shè)置了過高的電壓。但隨即遭到主板廠商的駁斥，表示其生產(chǎn)的主板是按照英特爾提供的數(shù)據(jù)進(jìn)行BIOS程序開發(fā)，崩潰原因不在主板廠商。2024年7月，英特爾才發(fā)布聲明，對于CPU頻繁崩潰事件給出了解釋，承認(rèn)由于錯(cuò)誤的微代碼算法向處理器發(fā)出過高的電壓請求，導(dǎo)致了部分第13、14代處理器出現(xiàn)不穩(wěn)定現(xiàn)象。
2023年底就頻現(xiàn)崩潰問題，半年以后英特爾公司方才確定問題并給出更新程序，且半年內(nèi)給出的緩解措施也不奏效，充分反映出英特爾在面對自身產(chǎn)品缺陷時(shí)，不是積極坦誠面對問題，而是一味漠視、推諉和拖延。有專業(yè)人士推測，其根本原因是英特爾為了獲得性能提升，重獲競爭優(yōu)勢，而主動(dòng)犧牲產(chǎn)品穩(wěn)定性。另據(jù)報(bào)道，美國“Abington Cole+Ellery”律師事務(wù)所，已開始調(diào)查英特爾第13、14代處理器不穩(wěn)定的問題，并將代表最終用戶提起集體訴訟。
3.假借遠(yuǎn)程管理之名，行監(jiān)控用戶之實(shí)
英特爾聯(lián)合惠普等廠商，共同設(shè)計(jì)了IPMI（智能平臺(tái)管理接口）技術(shù)規(guī)范，聲稱是為了監(jiān)控服務(wù)器的物理健康特征，技術(shù)上通過BMC（基板管理控制器）模塊對服務(wù)器進(jìn)行管理和控制。BMC模塊允許用戶遠(yuǎn)程管理設(shè)備，可實(shí)現(xiàn)啟動(dòng)計(jì)算機(jī)、重裝操作系統(tǒng)和掛載ISO鏡像等功能。該模塊也曾被曝存在高危漏洞（如CVE-2019-11181），導(dǎo)致全球大量服務(wù)器面臨被攻擊控制的極大安全風(fēng)險(xiǎn)。
除此之外，英特爾還在產(chǎn)品中集成存在嚴(yán)重漏洞的第三方開源組件。以英特爾M10JNPSB服務(wù)器主板為例，該產(chǎn)品支持IPMI管理，目前停止售后，2022年12月13日發(fā)布了最后一次固件更新包，分析可知其web服務(wù)器為lighttpd，版本號為1.4.35，竟然是2014年3月12日的版本，而當(dāng)時(shí)lighttpd的最新版本已升級至1.4.66，兩者竟然相差9年之久，時(shí)間跨度之大令人驚訝。這種不負(fù)責(zé)任的行為，將廣大服務(wù)器用戶的網(wǎng)絡(luò)和數(shù)據(jù)安全，置于巨大的風(fēng)險(xiǎn)之中。
4.暗設(shè)后門，危害網(wǎng)絡(luò)和信息安全
英特爾公司開發(fā)的自主運(yùn)行子系統(tǒng)ME（管理引擎），自2008年起被嵌入幾乎所有的英特爾CPU中，是其大力推廣的AMT（主動(dòng)管理技術(shù)）的一部分，允許系統(tǒng)管理員遠(yuǎn)程執(zhí)行任務(wù)。只要該功能被激活，無論是否安裝了操作系統(tǒng)，都可以遠(yuǎn)程訪問計(jì)算機(jī)，基于光驅(qū)、軟驅(qū)、USB等外設(shè)重定向技術(shù)，能夠?qū)崿F(xiàn)物理級接觸用戶計(jì)算機(jī)的效果。硬件安全專家Damien Zammit指出ME是一個(gè)后門，可以在操作系統(tǒng)用戶無感的情況下，完全訪問存儲(chǔ)器，繞過操作系統(tǒng)防火墻，發(fā)送和接收網(wǎng)絡(luò)數(shù)據(jù)包，并且用戶無法禁用ME?；贛E技術(shù)實(shí)現(xiàn)的英特爾AMT（主動(dòng)管理技術(shù)），曾在2017年被曝存在高危漏洞（CVE-2017-5689），攻擊者可通過設(shè)置登錄參數(shù)中響應(yīng)字段為空，實(shí)現(xiàn)繞過認(rèn)證機(jī)制，直接登錄系統(tǒng)，獲得最高權(quán)限。
2017年8月，俄羅斯安全專家Mark Ermolov和Maxim Goryachy通過逆向技術(shù)找到了疑似NSA（美國國家安全局）設(shè)置的隱藏開關(guān)，該開關(guān)位于PCHSTERP0字段中的HAP位，但此次標(biāo)志位并沒有在官方文檔中記錄。戲劇性的是，HAP全稱為High Assurance Platform（高保障平臺(tái)），屬于NSA發(fā)起的構(gòu)建下一代安全防御體系項(xiàng)目。
如果NSA通過開啟HAP位隱藏開關(guān)直接關(guān)閉ME系統(tǒng)，與此同時(shí)全球其他英特爾CPU都默認(rèn)運(yùn)行ME系統(tǒng)，這就相當(dāng)于NSA可以構(gòu)建一個(gè)只有其自己有防護(hù)，其他所有人都在“裸奔”的理想監(jiān)控環(huán)境。這對于包括中國在內(nèi)世界各國的關(guān)鍵信息基礎(chǔ)設(shè)施來說，都構(gòu)成極大的安全威脅。目前，ME上的軟硬件是閉源的，其安全保障主要靠英特爾公司的單方面承諾，但事實(shí)表明英特爾的承諾蒼白無力，難以令人信服。使用英特爾產(chǎn)品，給國家安全帶來了嚴(yán)重隱患。
5.建議啟動(dòng)網(wǎng)絡(luò)安全審查
據(jù)報(bào)道，英特爾公司500多億美元的全球年收入，近四分之一來自中國市場。2021年英特爾公司的CPU占國內(nèi)臺(tái)式機(jī)市場約77%，在筆記本市場占約81%；2022年英特爾在中國的x86服務(wù)器市場份額約91%?？梢哉f英特爾在中國賺得盆滿缽滿，但這家公司反而不斷做出損害中國利益、威脅中國國家安全的事情。
此前，美政府通過所謂《芯片和科學(xué)法案》，對中國半導(dǎo)體產(chǎn)業(yè)進(jìn)行無端排擠和打壓，英特爾公司就是這一法案的最大受益者。英特爾公司首席執(zhí)行官帕特?基辛格成功地將英特爾與美國政府綁定在一起，成為美國芯片戰(zhàn)略的最大合作公司，不僅得到了85億美元的直接補(bǔ)助，還有110億美元的低息貸款。
為討好美國政府，英特爾在所謂涉疆問題上積極站位打壓中國，要求其供應(yīng)商不得使用任何來自于新疆地區(qū)的勞工、采購產(chǎn)品或服務(wù)，在其財(cái)報(bào)中更是將臺(tái)灣省與中國、美國、新加坡并列，還主動(dòng)對華為、中興等中國企業(yè)斷供停服，這是典型的“端起碗來吃飯，放下碗就砸鍋”。
建議對英特爾在華銷售產(chǎn)品啟動(dòng)網(wǎng)絡(luò)安全審查，切實(shí)維護(hù)中國國家安全和中國消費(fèi)者的合法權(quán)益。
