英特尔日前宣布，其将为 Tiger Lake 系列移动 CPU 提供一个全新的基于硬件的实验性控制流强制实施技术(CET)安全功能，籍此来防范未来可能存在的的 Spectre 和 Meltdown 类控制流劫持攻击。

自 2016 年发布 CET 的第一个版本以来，英特尔一直在开发 CET 技术。英特尔声称该技术通过控制流劫持攻击来防止合法代码被滥用。IT之家了解到，英特尔即将推出的 Tiger Lake 系列移动 CPU 将通过两种全新的安全机制(即阴影堆栈和间接分支跟踪)来保护控制流不受恶意控制。

阴影堆栈(shadow stack)是指建立应用预期控制流的备份(副本)，并将其储存在 CPU 的安全区域中，用于确保应用的预期执行顺序不会发生未经授权的更改，以防御 ROP 攻击。

间接分支跟踪(indirect branch tracking)是指对应用程序使用 “CPU jump" 的函数表(该函数表包含跨程序的内存地址)的能力进行限制和添加其他保护。

据悉，幽灵、熔断漏洞是 Google Project Zero 团队此前发现的三个安全漏洞变体的统称，该漏洞可利用分支预测执行 (speculative execution)特性中一个硬件缺陷使其按照攻击者规划的方向进行预测执行从获取某些机密信息。而最近新发现的 Spoiler 漏洞也正是基于此。此类漏洞仅仅凭借软件层面的修复是完全不够的，但硬件层面的修复往往伴随着性能损失，故此 CET 技术或无形之中提高了英特尔处理器在未来的性能。

值得一提的是，微软此前发布的 Windows Insiders 版本已经添加了对 CET 的支持，并将其作为 “硬件强制执行的堆栈保护 “功能推出，故英特尔只需要提供支持 CET 指令的新 CPU 即可。

责任编辑：kj005