幽灵和熔毁处理器漏洞的曝光是2018年令人震惊的开始。这些漏洞几乎影响到每一个处理器，几乎影响到每一个操作系统和体系结构。处理器**商和操作系统开发人员迅速发布了补丁程序来防范这些漏洞。

但也有一些严重的出牙问题。

现在，距离最初的报告已经过去一年多了，我们是否离真正修复熔毁和幽灵漏洞更近了？

幽灵和熔毁漏洞

2018年初发现的幽灵和熔毁漏洞继续影响计算。熔毁对英特尔微处理器的影响可以追溯到1995年。这个问题的长期存在意味着世界上大多数的英特尔处理器都面临着风险，甚至像微软Azure和亚马逊网络服务这样的服务也面临着风险。

幽灵也有类似的全球效应。幽灵漏洞影响英特尔的微处理器，以及其他主要设计师，包括AMD和ARM。因此，幽灵和熔毁使世界上大多数的计算机变得脆弱，这种情况可以追溯到20多年前。

可以理解的是，这些曝光事件继续令消费者和企业感到恐慌。担忧是多方面的。英特尔、AMD和ARM都发布了针对这些漏洞的修补程序；这些修补程序能正常工作吗？更换全部库存的微处理器更简单吗？完全安全的处理器何时上市？那费用呢？

TrustedSec的首席执行官大卫•肯尼迪（davidkennedy）说：“我们从来没有见过像这样一个扩展性的错误，它会影响到每一个主要的处理器。”TrustedSec为企业提供渗透测试和安全咨询服务。

“上周，我至少接到了10个大公司的电话，昨天又接到了两个电话，解释了发生的事情。他们不知道修补时该怎么办。这真是一团糟。”

幽灵下一代

不，这不是你梦寐以求的詹姆斯邦德星际迷航跨界车。幽灵下一代是幽灵的第二代漏洞。第二代是由谷歌的“零计划”（projectzero）发现的（他还发现了第一代）。

ProjectZero是谷歌的工作组，负责在邪恶的个人发现漏洞之前发现并负责地披露零日漏洞。

我不打算在这里讨论所有的细节，但这里有一篇文章解释幽灵下一代的含义。

有幽灵和熔毁补丁吗？

易受攻击设备的范围之广带来了另一个问题。每种类型的硬件都需要一个稍微不同的单独构建的解决方案。自2018年1月以来的补丁程序简直令人难以置信。

英特尔匆忙开发并发布了一个安全补丁。缺点是严重的性能问题。英特尔曾声名狼藉地说：“任何性能影响都取决于工作负载，对于普通计算机用户来说，影响不应该很大，而且会随着时间的推移而减轻。”这句话当时是不真实的，在撰写本文时仍然如此。

即使是刚刚上市的新处理器也能感受到这种影响。

事实上，在2018年1月22日，因特尔收回了一个幽灵补丁，因为它导致了随机重启问题。英特尔建议网络管理员只需回滚已安装的任何更新，英特尔执行副总裁尼尔·谢诺伊（Neil Shenoy）表示，“对于这一指南更改可能造成的任何中断，我深表歉意。”VMware、联想和戴尔都在同一时间发布了类似的声明。

随后在1月底，微软还宣布，针对windows10的Spectre和Meltdown补丁正在损害性能，并导致随机致命错误，证实他们的安全修补程序存在漏洞。

哦，苹果公司也同样收回了关于旧机器保护的声明，为High Sierra、Sierra和El Capitan发布了大量补丁。

linus和linux

LinusTorvalds是Linux内核的创建者和主要开发者，他对整个幽灵/熔毁补丁程序过程仍持高度批评态度。（到底什么是内核？）。事实上，托瓦尔兹甚至宣称英特尔补丁是“完全的垃圾”

你可以在这里读他的长篇大论。它很值得一读。

莱纳斯分析了这些补丁。他发现英特尔正试图让安全补丁成为可选的，并且基于操作系统，这样他们就不必彻底修改自己的CPU设计（这是真正安全的唯一选择——我马上解释原因）。

另一种方法是发布两个补丁，其中一个启用安全补丁，另一个实现对内核的修复。

相反，托瓦尔兹辩称，英特尔正通过允许一种“可选安全模式”（Optional Secure Mode）迫使两者共同掩盖性能上的缺陷，即用户必须选择自己的CPU进行修复，并让性能上的缺陷由客户决定，而不是由英特尔来承担责任。此外，如果用户启动一个以前不知道补丁的旧操作系统，他们会立即受到攻击。

1月29日，Linux 4.15内核面世，其特点是在Linux设备上的Intel和AMD CPU中新扩展的安全功能。尽管Linus Torvalds rant专注于Linux，但很明显，英特尔的补丁并没有达到任何操作系统的标准。

中国知道幽灵和崩溃吗？

尽管英特尔在其盈利报告中躲过了一枪（尽管世界上大多数电脑都存在严重的漏洞，但英特尔的利润增长得相当不错），但据报道，英特尔向阿里巴巴和联想等中国大客户披露了破产和幽灵的消息，因此受到了大量批评，在它告诉美国**之前。

美国几家主要机构只有在报告公开时才意识到幽灵和熔毁，而不是任何预先披露的通知程序。虽然没有迹象表明这些信息被不当使用（例如，被中国**转达和使用），但这也引起了人们对英特尔选择向谁通报的严重关切。

鉴于中国互联网监控的深度和规模，在美国**之前，中国**似乎完全不可能没有意识到这些漏洞。

windows 10 retpoline幽灵修复程序

Retpoline是一个“防止分支目标注入的软件结构”。换句话说，它是一个补丁，通过引入一个替代的预测分支来保护系统免受幽灵式的推测攻击。

2018年12月，微软为其Insider计划提供了retpoline补丁。Insider程序和Insider预览是微软在即将发布的windows10进入主流版本之前对其进行测试的地方。最新的更新19H1包含retpoline更新。

然而，在2019年3月，微软宣布retpoline补丁可供任何想要下载它的人使用。有几个规定：

• 系统必须运行Windows 10 October 2018 update。
• 该修复程序只适用于英特尔Skylake之前的处理器和较旧的处理器（该修复程序也适用于AMD机器、AMD阅读器）。

不确定您当前使用的是哪个Windows 10版本？按Windows键+I，然后按System&gt；About。您可以在Windows规范下查看当前的Windows版本。如果上面写着1809，你可以安装更新。如果没有，你将不得不等到你的Windows版本赶上。

retpoline更新KB4470788将通过常规的Windows更新过程到达您的系统。但是，您可以通过Microsoft update目录下载KB4470788更新。下载适合您的操作系统体系结构的正确版本（例如，64位为x64，32位为x86），然后安装。

幽灵和熔毁会永远被修复吗？

第一代幽灵和熔毁补丁是临时解决方案。用户不应承担启用漏洞阻止补丁的责任，更不用说必须在内核级安全问题和CPU性能影响之间做出权衡。这根本不公平，更不用说完全不道德了。

retpoline修复的缓慢推出对消费者来说更好，它修补了系统漏洞，并使系统速度恢复到以前的水平。尽管如此，有些用户没有retpoline修复的好处，所以它不是一个神奇的创可贴。

早在2018年初，英特尔财报就刊登了首席执行官布赖恩·克扎尼奇（Brian Krzanich）的信息，他承诺，经过真正硬件修复的芯片将于今年开始出货。不幸的是，克扎尼奇没有详细说明这一大胆声明的含义。

然而，因为Krzanich确实确认了英特尔计划在2018年继续开发其14nm产品（从2014年起英特尔CPU——卡比湖、咖啡湖、天空湖等）。这就创造了各种可能性：对当前一代CPU的“硅”修复和对即将推出的Cannon Lake处理器的修复，或者其中一种。

2018年晚些时候，英特尔宣布，硬件修复（这是一种基于处理器的硅修复）将与即将到来的英特尔CPU一代一同到来。一些补丁将推出低功耗处理器系列，威士忌湖，而更多的是将抵达事实上的第十代处理器，冰湖。新一代的英特尔CPU也应该能够抵御这种潜在的漏洞。

你认为你不受幽灵和崩溃的影响吗？请查看未受这些漏洞影响的计算机硬件列表，然后再想一想。