瀏覽器是關(guān)鍵 微軟抵御漏洞推出Edge、IE11更新

近日CPU漏洞比較受人關(guān)注，微軟認(rèn)為瀏覽器是抵御新漏洞的關(guān)鍵，微軟今天已經(jīng)針對(duì)該問(wèn)題發(fā)布更新。推送了Edge、IE11的更新，并將從AMD、ARM處理器下手。

今天最大的新聞就是因?yàn)樵O(shè)計(jì)缺陷而帶來(lái)的CPU漏洞，一些惡意程序會(huì)利用該漏洞擁有原本不應(yīng)該擁有的高權(quán)限，以此隨意在內(nèi)存當(dāng)中訪(fǎng)問(wèn)數(shù)據(jù)。對(duì)，沒(méi)錯(cuò)，就是“Meltdown”和“Spectre”，前者目前僅僅針對(duì)Intel處理器發(fā)作，不過(guò)好在存在“解藥”，微軟今天已經(jīng)針對(duì)該問(wèn)題發(fā)布更新。而后者的殺傷力要更大，不僅可以針對(duì)原本毫無(wú)關(guān)聯(lián)的AMD、ARM處理器下手，甚至還沒(méi)有有效的解藥存在。

既然沒(méi)有解藥，那就只能在預(yù)防環(huán)節(jié)下功夫，具體來(lái)說(shuō)就是在流通環(huán)節(jié)排除異常文件的傳播，其實(shí)我們常用的外接存儲(chǔ)設(shè)備都是潛在的傳播源，但最重要、使用頻率最高的是我們的網(wǎng)頁(yè)瀏覽器，根據(jù)Google Project Zero發(fā)布的細(xì)節(jié)，前文所提及的漏洞可以通過(guò)瀏覽器當(dāng)中的JavaScript語(yǔ)言代碼傳播，這意味著Google、Mozilla需要加緊發(fā)布更新，而微軟今天已經(jīng)通過(guò)補(bǔ)丁KB4056890更新Microsoft Edge、Internat Explore 11兩款瀏覽器，通過(guò)一些微調(diào)，來(lái)降低漏洞通過(guò)讀取內(nèi)存來(lái)竊取數(shù)據(jù)的問(wèn)題，注意微軟的原文是“miTigate”，not“Eliminate”。

其實(shí)要封堵這項(xiàng)漏洞，基本的思路還是針對(duì)訪(fǎng)問(wèn)內(nèi)存、預(yù)測(cè)執(zhí)行功能動(dòng)手，雖然這樣聽(tīng)起來(lái)很不靈活，但是也是最簡(jiǎn)單粗暴的方案。首先微軟將會(huì)移除原本在Windows 10 Fall Creator Update當(dāng)中為上述兩個(gè)瀏覽器加入的ShareArrayBuffer，然后就是將Performance.now（）的執(zhí)行精度從千分之五毫秒（五微秒）降低到百分之二毫秒（二十微秒），這兩項(xiàng)改變可以很大程度上增大從瀏覽器進(jìn)程當(dāng)中推斷處理器緩存的難度，其實(shí)基本的思路還是這樣。