B1 · 第1集 · 4:51
熔断与幽灵漏洞
本集讲解计算机处理器中的两大安全漏洞：熔断（Meltdown）和幽灵（Spectre），及其对用户数据和设备性能的影响。
来源：Qu'est-ce que Tu GEEKes ? · 许可：CC BY-SA 4.0
字幕
Salut Flo! Salut Tom!
你好，弗洛！你好，汤姆！
Salut à tous! Aujourd'hui nous allons vous parler d'un truc de ouf,
大家好！今天我们要聊一个超级厉害的东西，
mais vraiment un truc de ouf.
真的超级厉害！
Et ça va faire mal à pas mal de monde.
这会让很多人头疼。
Tous ceux qui utilisent des ordinateurs,
所有使用电脑的人，
des téléphones ou des appareils avec des processeurs dedans.
手机，或任何内置处理器的设备。
Il y a donc pas mal de chances pour que vous soyez concernés.
所以，你很可能也在受影响之列。
Allez, générique!
来吧，片头曲！
Ce dont on va vous parler concerne donc les processeurs.
我们今天要讲的内容，是关于处理器的。
Le processeur, c'est un des composants principaux de nos ordinateurs,
处理器是我们电脑的核心部件之一，
c'est lui qui fournit la puissance de calcul.
它负责提供计算能力。
Et depuis hier, internet s'agite autour des mots- clés processeur,
从昨天起，互联网上就围绕着‘处理器’、
meltdown et spectre.
‘熔断’和‘幽灵’这些词热闹起来。
Ces mots- clés concernent un gros problème de sécurité dans potentiellement tous les
这些关键词指向一个重大安全问题——
processeurs actuels, et ce depuis au moins dix ans.
可能波及当前所有处理器，且已存在至少十年。
Et ce n'est pas n'importe quel problème,
而且这不是普通的问题，
c'est une faille au niveau de la conception du matériel qui ne peut pas être comblée
而是一处硬件设计层面的漏洞，
en mettant à jour le logiciel du processeur.
仅靠更新处理器的软件无法修复。
La première mauvaise nouvelle, c'est qu'il y a deux failles:
第一个坏消息是：存在两个漏洞，
la première nommée meltdown et la seconde nommée spectre.
第一个叫‘熔断’，第二个叫‘幽灵’。
Pour faire simple, ces
简单来说，这两个漏洞，
deux failles permettent à un utilisateur malveillant de consulter l'espace de
能让恶意用户访问处理器的工作空间，
travail du processeur.
也就是它的运行内存区域。
Et ça, c'est très problématique,
这问题非常严重，
car l'espace de travail du processeur voit toutes les données passées qui sont
因为处理器的工作空间会接触到所有在电脑中处理过的数据，
utilisées au sein de l'ordinateur.
包括所有过往传输的数据。
Toutes les données, et en clair.
所有数据，而且是明文形式。
Donc ça concerne les mots de passe, les codes de carte bleue,
因此，这包括密码、银行卡验证码，
les clés de chiffrement, etc.
加密密钥等。
Tout ce que vous voudriez garder secret, et le reste aussi.
所有你想保密的信息，以及其余一切。
La deuxième mauvaise nouvelle,
第二条坏消息是，
c'est que spectre concerne quasiment tous les processeurs du marché.
‘幽灵’漏洞几乎影响市场上所有处理器。
Meltdown, c'est seulement Intel.
而‘熔断’漏洞仅影响英特尔处理器。
Bon, Intel. C'est juste la société numéro un dans la conception des processeurs.
嗯，英特尔——正是全球排名第一的处理器设计公司。
Donc comme on vous l'a dit en intro,
所以正如开场时提到的，
c'est bien quelque chose qui concerne tout le monde.
这确实关乎每一个人。
Meltdown est en cours de correction.
目前‘熔断’漏洞正在修复中。
Enfin, on a trouvé un palliatif.
确切地说，我们已找到一种临时解决方案。
Il faut modifier les systèmes d'exploitation pour qu'ils n'utilisent plus le
需要修改操作系统，使其不再使用处理器中
mécanisme problématique du processeur.
那个有问题的机制。
Mais le truc c'est que ça a des conséquences.
但问题是，这种修改会产生影响。
Ce n'est pas une modification anodine.
这不是一次无足轻重的改动。
Comme on ne peut pas se servir du processeur comme prévu,
由于无法再按原计划使用处理器，
on doit faire des opérations différentes qui sont coûteuses en temps.
就必须执行其他耗时的操作。
Et ça, ça se traduit par une baisse de performance.
而这直接导致性能下降。
Les chiffres avancés oscillent entre 5 et 30 %.
据称降幅在5%到30%之间。
Donc ça c'est une troisième mauvaise nouvelle.
因此，这是第三条坏消息。
Et l'ultime mauvaise nouvelle, et pas des moindres,
而最糟糕、也最不容忽视的坏消息是，
c'est qu'on ne sait pas comment combler la faille Spectre.
我们尚不知如何修补‘幽灵’漏洞。
Donc soit on ressort des processeurs d'il y a 15 ans,
要么重新启用15年前的处理器，
soit on attend que les services de R&D pondent un nouveau processeur exempt de
要么等待研发部门推出一款全新、无此问题的处理器。
problème. Mon spectre, c'est extrêmement problématique,
我的‘幽灵’漏洞极其棘手，
et on ne peut rien y faire aujourd'hui.
而今天，我们对此束手无策。
C'est un peu différent pour meldon.
梅尔顿的情况略有不同。
À ce stade, on ne sait pas exactement à quel point nos ordinateurs vont être
目前，我们尚不清楚
affectés. Ce qui est sûr, c'est que pour des sociétés qui ont des fermes de
计算机性能究竟会受到多大影响。
serveurs, c'est- à- dire des milliers de serveurs,
对拥有服务器集群的企业而言，
une baisse de performance qui pourrait aller jusqu'à 30% aurait des conséquences
即成千上万台服务器——
considérables.
性能下降最高可达30%，后果将十分严重。
Et ce sont ces fermes qui hébergent les services délivrés sur Internet,
而正是这些服务器集群，
comme les sites web par exemple.
承载着互联网上的各类服务，比如网站。
Bon, on pourrait se dire qu'on ne fait pas la correction pour conserver nos
有人或许会想：不打补丁，以保持性能。
performances. Mais légalement, les sociétés ne peuvent pas se le permettre.
但法律上，企业并不被允许这么做。
La loi exige que les sociétés fassent leur possible pour ne laisser aucune faille de
法律规定，企业必须竭尽全力
sécurité dans leur système.
确保其系统不存在任何安全漏洞。
Pour vous aider à estimer la gravité de la situation,
为帮助大家评估事态的严重性，
le CEO d'Intel a vendu quasiment la moitié de ses stock options le 29 novembre 2017.
英特尔首席执行官于2017年11月29日出售了近一半的股票期权。
Et les chercheurs qui ont trouvé la faille avaient communiqué vers Intel bien avant
而发现该漏洞的研究人员，
cette date. Pour résumer, il y a deux failles graves qui nous concernent tous,
早在该日期之前就已向英特尔通报。
qui au mieux vont faire baisser les performances de nos ordinateurs,
总之，有两处严重漏洞影响我们所有人：
et au pire nous faire racheter un ordinateur d'ici six mois tout en nous laissant
它们最乐观的结果是降低电脑性能，
exposés à des attaques d'ici là.
最糟糕的结果则是：六个月内就得换新电脑，且在此期间仍面临攻击风险。
Alors comment réagir sans tomber dans l'extrême?
那么，如何应对，又不至于走向极端？
Bah éteignez votre ordinateur et ouvrez un bouquin.
关掉电脑，翻开一本书吧。
Ouais, alors c'est une solution, mais on avait dit sans l'extrême.
嗯，这确实是个办法，但我们说过——别走极端。
Alors plus sérieusement, on peut considérer que nos mots de passe ne sont plus
更严肃地说，我们应视密码已不再保密。
secrets. La solution la plus simple à mettre en place est d'activer la double
最简单可行的对策，
authentification sur les sites qui le permettent.
是在支持该功能的网站上启用双重验证。
Les sites web critiques, banques, emails, réseaux sociaux,
批评性网站、银行、电子邮件、社交媒体，
le permettent presque tous.
几乎全都支持。
La double authentification, ça veut dire qu'en plus du mot de passe,
双重验证的意思是，除了密码之外，
il vous sera demandé un code que vous obtiendrez soit par SMS,
你还会被要求输入一个验证码，
soit par une application qui génère des mots de passe uniques et temporaires.
这个验证码可通过短信获取，也可通过一款专门生成一次性临时密码的应用程序获取。
Et ce qui est très important, c'est que ce second facteur d'authentification
非常重要的一点是，这个第二重身份验证因素，
provienne d'un autre appareil, votre téléphone par exemple.
必须来自另一台设备，比如你的手机。
Et vous pouvez aussi utiliser du matériel spécifique pour cela,
你还可以使用专用硬件来实现这一点，
par exemple une Yubikey.
例如YubiKey密钥。
On va vous mettre toutes les infos qu'il faut là- dessus dans la description.
相关详细信息，我们都会放在视频简介里。
Enfin, on peut se poser quelques questions.
最后，我们还可以提出一些问题。
Imaginez si un Amazon, un Google ou un Facebook,
试想一下，如果亚马逊、谷歌或脸书，
ou même un Deezer ou un Dailymotion doivent augmenter ces infrastructures de 30%,
甚至像Deezer或Dailymotion这样的平台，需要将基础设施扩容30%，
vont- ils répercuter ces coûts sur nous ou est- ce que les services vont ralentir?
它们会把这些成本转嫁给用户，还是服务会因此变慢？
On peut aussi se demander si les constructeurs de processeurs vont subir les plus
我们还可以思考：处理器制造商，
gros procès de leur histoire,
是否会遭遇其历史上规模最大的诉讼，
ou si le CEO d'Intel va prendre un procès pour délit d'initié.
或者英特尔CEO是否会因内幕交易被起诉。
Alors les nouvelles des prochains jours s'annoncent croustillantes,
接下来几天的新闻想必会非常劲爆，
alors gardez les yeux ouverts et faites les mises à jour que vous pouvez.
请大家保持关注，并及时完成你能做的所有更新。
merci à tous d'avoir pris le temps de regarder cette vidéo c'était le deuxième
感谢大家花时间观看本期视频——这是我们的第二期‘热点速递’，
épisode à chaud alors si ça vous a plu tippez mettez un pouce en l'air partagez sur
如果喜欢，请点赞、分享到社交平台，
les réseaux abonnez vous écrivez nous un commentaire et si vous voulez en savoir
订阅频道，并在评论区留言告诉我们你的想法；
plus allez lire les articles que l'on vous met dans la description
还想了解更多？请阅读我们在简介中为你准备的相关文章。
C'était Tom et Flo pour Qu'est- ce que tu geeks?
我是Tom和Flo，来自《你是个极客吗？》。
Salut!
大家好！