自从今年初Spectre幽灵、Metldown熔断两大安全漏洞被曝光、对整个处理器行业造成重大冲击以来，以Intel为首的软硬件行业公司都加强了对于处理器安全漏洞的检测、防范和修复。

现在，Intel与伙伴主动披露了一个新的安全漏洞“L1终端故障”（L1 Terminal Fault），简称L1TF，并同时公布了完整的防御措施。

【漏洞解析】

L1TF是一种最近发现的推测执行侧信道分析的安全漏洞，会影响一部分支持Intel SGX软件保护扩展的处理器，包括自第二代酷睿（Sandy Bridge）以来的各类桌面、移动笔记本、服务器和数据中心产品。

该漏洞由鲁汶大学、以色列理工学院、密歇根大学、阿德莱德大学、Data61的研究人员首次发现并向Intel报告。

Intel进一步研究后发现，L1TF漏洞的另外两种相关应用还存在影响其它处理器、操作系统和虚拟化软件的可能。

L1TF和此前发现的幽灵漏洞多个变体类似，三种应用都是与预测执行侧信道缓存计时相关的漏洞，不过这次的攻击目标是一级数据高速缓存，其中存储着关于“处理器内核下一步最有可能做什么”的信息。

【防御措施】

L1TF漏洞报告是Intel主动公布的，因为在此之前Intel已经完成了相关研究，并部署了相应的防御措施。

事实上，Intel今年早些时候发布的微代码更新（MCU），就包含了针对L1TF所有三种应用的防御策略，为系统软件提供了清除该共享缓存的方法。

即日起，行业合作伙伴和开源社区也会陆续发布针对操作系统和管理程序软件的相应更新。

此外，今年3月份Intel就已经宣布，会在硬件层面作出改变，以抵御安全漏洞，其中就包括L1TF在内，首先是代号Cascade Lake的下一代Xeon至强可扩展处理器，和今年晚些时候推出的全新PC处理器。

Intel强调，目前还没有收到这些漏洞被实际攻击利用的报告。

【性能影响】

Intel预计，针对漏洞进行系统更新后，运行非虚拟化操作系统的消费者和企业用户面临的安全风险会降低，而基于在测试系统上运行的性能基准测试，尚未看到上述防御措施对性能产生任何显著的影响。

针对另外一部分市场，特别是数据中心领域运行传统虚拟技术的，由于无法保证所有虚拟化系统已安装必要更新，Intel建议采取额外措施来保护其系统，包括启用特定管理程序内核调度功能、在某些特定场景中关闭超线程。

对于这些特定情况，某些特定负载上的性能或资源利用率可能会受到影响，并相应发生变化。

Intel与行业合作伙伴正在研究多种解决方案来应对这一影响，以便客户可以根据自己的需求选择最佳方案。

为此，Intel已经开发了一种方法，可以在系统运行期间即时检测基于L1TF漏洞的攻击，只在必要时才启用防御措施。

Intel已经为一些合作伙伴提供了具有这项功能的预览版微代码，供评估试用，并希望在今后逐步推广。