為了防個小偷，不得不把家里一半的房間門焊死，這種令人“智熄”的操作，最近卻在使用AMD處理器的云服務(wù)商身上上演了。

事情的起因是近期德國一家安全機(jī)構(gòu)發(fā)現(xiàn)了一個名為StackWarp的芯片級漏洞，這個漏洞主要影響AMD的Zen系列處理器，導(dǎo)致云計算最核心的“隔離能力”出現(xiàn)了缺口。

什么意思？對于云服務(wù)平臺而言，作為平臺，是無權(quán)也無法觸碰用戶的數(shù)據(jù)，這就像房東不該進(jìn)租客的臥室。

但StackWarp漏洞暴露出的問題是，攻擊者可以利用硬件設(shè)計的缺陷，獲得一種非法的“穿墻”能力，直接修改租戶正在運(yùn)行的程序和數(shù)據(jù)，換句話來說，原本應(yīng)該是保密的信息，在攻擊者面前變得透明且可被篡改。

如此嚴(yán)重的漏洞，必須馬上拿個解決方案出來，AMD給的解決方案很直接，既然是同步多線程（SMT）引起的問題，那把同步多線程禁用不就完了。

這一堪稱“甜菜”操作背后，直接導(dǎo)致了算力的縮水，同步多線程一旦禁用，處理器的并行處理能力會大幅下降。

對于云服務(wù)商而言，原本能支持100個虛擬服務(wù)實例的服務(wù)器，在執(zhí)行防御措施后，支撐能力將直接減半，在算力需求激增的當(dāng)下，這種折損背后的成本有多高，不言而喻。

但在中國市場，海光C86處理器的用戶不需要擔(dān)心這個問題。

因為從最底層的架構(gòu)設(shè)計上，海光全系處理器就對StackWarp漏洞天然免疫，用戶無需升級固件，無需禁用超線程，更不需要犧牲任何計算性能，服務(wù)器可以保持滿負(fù)荷運(yùn)轉(zhuǎn)，業(yè)務(wù)連續(xù)性不受影響。

在由StackWarp漏洞引發(fā)的危機(jī)背后，不難看出，海光C86架構(gòu)雖然在應(yīng)用層保持了對x86生態(tài)的兼容，但在底層的安全邏輯和微架構(gòu)實現(xiàn)上，已經(jīng)與X86技術(shù)路線完成了解耦，走出了一條獨(dú)立演進(jìn)的道路。

通過對底層代碼的消化與重構(gòu)，國產(chǎn)芯片廠商在同樣的指令集生態(tài)下，早已經(jīng)構(gòu)建出了完全不同的安全內(nèi)核。

不同的架構(gòu)邏輯

海光能夠防御StackWarp漏洞，根本原因在于其底層的虛擬化技術(shù)與AMD走的X86路線存在本質(zhì)差異，海光通過自研的CSV3技術(shù)，在硬件層面打造了一套全新的防御機(jī)制。

要理解為什么海光能防住，首先得搞清楚攻擊者是怎么得逞的。

利用StackWarp漏洞展開攻擊的主要前提，是攻擊者必須強(qiáng)行讓虛擬機(jī)進(jìn)入一種“走一步停一步”的狀態(tài)，在技術(shù)上，這叫“單步執(zhí)行”，只有讓虛擬機(jī)停下來，攻擊者才有機(jī)會在間隙中動手腳，修改關(guān)鍵數(shù)據(jù)。

AMD的架構(gòu)設(shè)計中保留了一個功能，允許主機(jī)（也就是云平臺管理方）去修改虛擬機(jī)的內(nèi)存映射表（頁表），攻擊者正是鉆了這個空子，通過頻繁修改頁表，強(qiáng)行制造卡頓，從而實施精準(zhǔn)攻擊。

而海光C86架構(gòu)下，這個問題就不存在，因為主機(jī)本來就不該碰虛擬機(jī)的數(shù)據(jù)，在海光C86架構(gòu)下，主機(jī)沒有修改頁表的權(quán)限。

海光自研的CSV3技術(shù)，鎖死了主機(jī)對虛擬機(jī)頁表的修改權(quán)，無論主機(jī)擁有多高的系統(tǒng)權(quán)限，都無法觸碰這一核心區(qū)域。

由于主機(jī)無法篡改頁表，攻擊者就無法制造出“單步執(zhí)行”的環(huán)境，沒有了那個動手的間隙，后續(xù)的所有攻擊手段自然也就失效了。

從技術(shù)代際上看，海光的CSV3技術(shù)在功能上對標(biāo)的是AMD Zen 3架構(gòu)中的SEV-SNP技術(shù)。

對標(biāo)自然不是照搬，如果技術(shù)路線不是自研，而是被動引入上游的新版本，那么上游架構(gòu)中的每一個設(shè)計缺陷都會被同步繼承，這在ARM等其他技術(shù)體系的迭代中并不鮮見，引入新版本的同時，往往也引入了新的漏洞。

StackWarp攻擊的最終靶點(diǎn)是AMD的SEV-SNP技術(shù)模塊。

由于海光堅持底層自研，其處理器架構(gòu)中根本不存在SEV-SNP這一模塊，攻擊者找不到預(yù)期的靶點(diǎn)，針對性的攻擊手段自然無法生效。

這種“原生免疫”能力，正是海光切斷了技術(shù)依賴、避免掉入上游研發(fā)陷阱的直接結(jié)果。

這種防御能力的差異，源于技術(shù)路線的分化。

海光C86架構(gòu)雖然仍兼容X86生態(tài)，但在涉及安全的“信任根”（Root of Trust）層面進(jìn)行了徹底重構(gòu)，AMD架構(gòu)的信任根是PSP（平臺安全處理器），而海光在C86架構(gòu)中，將其替換為自研的HSC（海光安全處理器）。

海光C86處理器內(nèi)部集成了通用的C86核心和專用的安全處理器。

安全處理器擁有獨(dú)立的ROM和RAM資源，且具有比通用核心更高的安全權(quán)限，上電時，芯片首先執(zhí)行安全處理器內(nèi)部固化的ROM代碼，這部分代碼在芯片生產(chǎn)時寫入，無法被外部篡改。

為了配合自研的信任根，海光還重寫了安全啟動的微碼，ROM代碼會使用內(nèi)置的公鑰驗證加載固件的簽名，只有通過驗證的固件才能運(yùn)行。

隨后，固件再驗證BIOS代碼的簽名，BIOS再驗證操作系統(tǒng)的簽名。這種鏈?zhǔn)津炞C機(jī)制，從第一行代碼開始就確保了系統(tǒng)的純凈。

換言之，海光C86在處理虛擬化、內(nèi)存加密、啟動驗證等關(guān)鍵任務(wù)時，調(diào)用的指令序列、微碼邏輯以及硬件電路，與X86架構(gòu)完全不同，正是因為海光在自研安全處理器、重構(gòu)虛擬化機(jī)制等領(lǐng)域多年的研發(fā)積淀，海光C86全系處理器才擁有了原生的StackWarp漏洞免疫能力。

對安全的重視，在海光的產(chǎn)品迭代中也在持續(xù)體現(xiàn)，海光每一代產(chǎn)品的微架構(gòu)都在針對新的安全威脅進(jìn)行調(diào)整。

例如，在應(yīng)對Meltdown（熔斷）漏洞時，海光CPU在代碼執(zhí)行過程中會嚴(yán)格檢查用戶訪問權(quán)限，一旦權(quán)限檢查失敗，數(shù)據(jù)訪問請求會立即失效，從硬件上免疫了熔斷攻擊。

針對Spectre（幽靈）漏洞，海光引入了IBPB（間接分支預(yù)測屏障）等指令，在進(jìn)程切換時，系統(tǒng)會調(diào)用這些指令清除分支目標(biāo)緩沖器中的條目，確保惡意代碼無法通過誘導(dǎo)預(yù)測執(zhí)行來竊取數(shù)據(jù)。

海光C86架構(gòu)的發(fā)展，實際上是一個與x86技術(shù)路線逐步解耦的過程。

在保持生態(tài)兼容的同時，海光已經(jīng)將安全內(nèi)核替換為自主可控的方案，這種基于底層重構(gòu)的差異化，構(gòu)成了應(yīng)對未知硬件漏洞時的最大屏障。

算力大基建時代的安全有多重要？

StackWarp事件暴露了傳統(tǒng)架構(gòu)在應(yīng)對底層硬件漏洞時的局限性。

AMD用戶被迫在封堵漏洞和保留性能之間做選擇，海光解決這一問題的路徑是構(gòu)建原生的安全體系，通過在處理器內(nèi)部集成密碼技術(shù)、可信計算和機(jī)密計算三項核心能力，海光構(gòu)建了一個無需犧牲性能的安全底座。

海光將這三項能力直接固化在處理器內(nèi)部，形成了三層防御體系。

第一層是原生的密碼技術(shù)。

在數(shù)字化時代，密碼是保護(hù)數(shù)據(jù)隱私的第一道防線，傳統(tǒng)的服務(wù)器解決方案通常依賴兩種方式來實現(xiàn)加密，一種是純軟件加密，雖然靈活但會大量占用CPU算力，導(dǎo)致業(yè)務(wù)性能下降；另一種是外掛加密卡，雖然卸載了計算壓力，但增加了硬件采購成本，且受限于PCIe接口的傳輸帶寬，在高并發(fā)場景下容易成為瓶頸。

海光選擇了一條不同的路徑，在處理器內(nèi)部直接集成密碼協(xié)處理器（CCP）。

這相當(dāng)于在主計算單元旁邊，內(nèi)置了一個專門負(fù)責(zé)加密的引擎，海光在指令集層面進(jìn)行了深度定制，擴(kuò)充了對國密SM2、SM3、SM4算法的原生支持。

當(dāng)系統(tǒng)需要進(jìn)行數(shù)據(jù)加密或簽名時，不需要經(jīng)過慢速的外部總線，而是直接在CPU內(nèi)部高速完成，根據(jù)實測數(shù)據(jù)，這種內(nèi)置方案在加解密、簽名驗簽等關(guān)鍵指標(biāo)上，性能表現(xiàn)優(yōu)于高端商用密碼機(jī)。

為了讓這項硬件能力真正落地，海光還開發(fā)了HCT（Hygon Crypto Technology）軟件套件。

它向下對接底層的密碼協(xié)處理器，向上提供OpenSSL、Tongsuo等標(biāo)準(zhǔn)的開源接口。對于上層應(yīng)用開發(fā)者來說，他們不需要修改代碼，也不需要關(guān)心底層使用的是軟加密還是硬加密，就能無感調(diào)用海光CPU的加密算力。

除了算得快，更重要的是密鑰本身的安全。

海光在處理器內(nèi)部構(gòu)建了可信密鑰管理模塊（TKM），在TKM的架構(gòu)中，密鑰被嚴(yán)格區(qū)分為“內(nèi)部密鑰”和“應(yīng)用密鑰”，內(nèi)部密鑰存儲在掉電不丟失的非易失性存儲中，負(fù)責(zé)保護(hù)其他密鑰；應(yīng)用密鑰則在安全處理器內(nèi)部動態(tài)生成。

整個過程中，密鑰的明文始終存儲在安全處理器內(nèi)部，實現(xiàn)了“可用不可見”，即使攻擊者物理接觸到了服務(wù)器硬盤，也無法提取出解密數(shù)據(jù)的密鑰。

海光C86-4G處理器也因此通過了國家密碼管理局的嚴(yán)格檢測，獲得了商用密碼產(chǎn)品認(rèn)證證書。

第二層是主動的可信計算。

如果說密碼技術(shù)是給數(shù)據(jù)上鎖，那么可信計算就是確保整個系統(tǒng)不被篡改，海光支持中國可信計算3.0標(biāo)準(zhǔn)（TPCM），并在此基礎(chǔ)上實現(xiàn)了獨(dú)有的TDM（可信動態(tài)度量）技術(shù)。

國際通用的TPM標(biāo)準(zhǔn)主要側(cè)重于“靜態(tài)度量”，即在系統(tǒng)啟動的瞬間，檢查BIOS、操作系統(tǒng)內(nèi)核等關(guān)鍵組件的完整性。

這就像安檢員只在旅客進(jìn)站時檢查證件，一旦旅客進(jìn)入候車廳，傳統(tǒng)的TPM就失去了監(jiān)控能力，如果惡意代碼在系統(tǒng)運(yùn)行過程中通過漏洞注入內(nèi)存，靜態(tài)防御往往無能為力。

海光的TDM技術(shù)填補(bǔ)了這一空白，將防御從“啟動時”延伸到了“運(yùn)行時”。

利用內(nèi)置的安全處理器，海光CPU可以在操作系統(tǒng)運(yùn)行的同時，周期性地對內(nèi)存中的關(guān)鍵目標(biāo)（如內(nèi)核代碼段、中斷向量表、系統(tǒng)調(diào)用表）進(jìn)行掃描和度量。這種掃描獨(dú)立于操作系統(tǒng)之外，攻擊者很難繞過。

TDM還引入了雙重授權(quán)保護(hù)機(jī)制，確保只有經(jīng)過授權(quán)的用戶才能修改度量策略。

一旦TDM發(fā)現(xiàn)內(nèi)存中的數(shù)據(jù)與預(yù)設(shè)的基準(zhǔn)值不符，它會立即觸發(fā)報警，根據(jù)用戶預(yù)設(shè)的策略，TDM甚至可以直接阻斷系統(tǒng)的運(yùn)行，防止損失擴(kuò)大。

這種主動免疫的能力，讓海光CPU在金融等高安全場景中獲得了廣泛應(yīng)用。

目前，海光是國內(nèi)首家內(nèi)置TCM2.0可信計算方案的廠商，其產(chǎn)品在可信計算認(rèn)證產(chǎn)品名單中的占比已達(dá)到50%。

第三層是隔離的機(jī)密計算。

針對云計算和虛擬化環(huán)境下的數(shù)據(jù)安全，海光通過CSV技術(shù)實現(xiàn)了內(nèi)存實時加密。這也是防御類似StackWarp漏洞的最后一道防線。

在公共云環(huán)境中，多個租戶的虛擬機(jī)運(yùn)行在同一臺物理服務(wù)器上，資源共享帶來了數(shù)據(jù)泄露的風(fēng)險，CSV技術(shù)的核心邏輯是：給每一個虛擬機(jī)分配一把獨(dú)立的加密密鑰。

這些密鑰由處理器內(nèi)部的隨機(jī)數(shù)發(fā)生器生成，并由安全處理器統(tǒng)一管理。

主機(jī)操作系統(tǒng)、虛擬機(jī)管理器（Hypervisor）甚至管理員都無法獲取這些密鑰。當(dāng)數(shù)據(jù)離開CPU核心寫入內(nèi)存條時，硬件會自動將其加密為密文；當(dāng)數(shù)據(jù)從內(nèi)存讀回CPU時，再自動解密。

整個加解密過程對操作系統(tǒng)完全透明，引入的性能開銷控制在1%以下。

這一機(jī)制不僅阻斷了軟件層面的越權(quán)訪問，也防御了物理層面的攻擊，即使攻擊者通過冷啟動攻擊或直接使用探針讀取DRAM內(nèi)存條上的數(shù)據(jù)，獲得的也只是一堆無法破解的亂碼。

此外，海光還支持安全加密虛擬機(jī)的遠(yuǎn)程身份認(rèn)證。

在用戶向云端發(fā)送敏感數(shù)據(jù)之前，可以要求服務(wù)器生成一份由海光CPU簽名的“體檢報告”。這份報告包含了當(dāng)前硬件環(huán)境、固件版本的度量值，用戶驗證通過后，才會建立連接。

海光第三代安全加密虛擬化技術(shù)（CSV3）進(jìn)一步增強(qiáng)了安全性，實現(xiàn)了對虛擬機(jī)數(shù)據(jù)的完整性保護(hù)。

主機(jī)操作系統(tǒng)無法通過改寫虛擬機(jī)嵌套頁表對虛擬機(jī)實施重映射攻擊，也無法讀取和寫入安全虛擬機(jī)的密文，這也是海光能夠免疫StackWarp漏洞的原因之一。

目前，海光CSV技術(shù)已廣泛應(yīng)用于隱私計算領(lǐng)域。

阿里云上線了基于海光CSV的機(jī)密虛擬機(jī)實例，在隱私計算影響力TOP10企業(yè)中，海光與90%的廠商建立了合作，推出了十余款基于海光CPU的一體機(jī)產(chǎn)品。海光安全加密虛擬機(jī)還支持機(jī)密容器，符合容器標(biāo)準(zhǔn)接口規(guī)范，能夠和Kubernetes等主流管理引擎無縫對接，保護(hù)容器內(nèi)的數(shù)據(jù)安全。

這三層技術(shù)構(gòu)成了海光C86架構(gòu)的內(nèi)生安全體系。

對于金融、電信、能源等關(guān)鍵行業(yè)而言，這種安全性提供了業(yè)務(wù)運(yùn)行的確定性。海光C86-4G處理器等產(chǎn)品已通過國家相關(guān)部門的高級別安全認(rèn)證，滿足了關(guān)鍵信息基礎(chǔ)設(shè)施對硬件安全的嚴(yán)苛要求。

此外，海光C86架構(gòu)在提供安全保障的同時，保持了對x86生態(tài)的完整兼容。

原本運(yùn)行在Intel或AMD服務(wù)器上的應(yīng)用軟件，無需修改代碼即可遷移到海光平臺，并直接獲得底層的安全防護(hù)。這種“平滑遷移”的能力，極大地降低了國產(chǎn)化替代的成本。

從StackWarp漏洞危機(jī)背后不難看出，依賴外部技術(shù)路線需要承擔(dān)不可控的連帶風(fēng)險。

當(dāng)上游架構(gòu)存在設(shè)計缺陷時，下游用戶卻需要支付昂貴成本，海光通過對x86架構(gòu)的消化和再創(chuàng)新，掌握了核心技術(shù)的演進(jìn)權(quán)，這種基于底層重構(gòu)的獨(dú)立性，讓海光在面對波及全球的硬件漏洞時，能夠保持系統(tǒng)的安全與性能穩(wěn)定。

在算力成為基礎(chǔ)設(shè)施的今天，海光C86架構(gòu)的獨(dú)立演進(jìn)，為中國的數(shù)字基礎(chǔ)設(shè)施建設(shè)提供了一個安全、可控且高效的選擇。

免責(zé)聲明：本文觀點(diǎn)僅代表作者本人，供參考、交流，不構(gòu)成任何建議。