原标题：新Spectre漏洞攻击手法，可从远端发动窃取机器资料
示意图，与新闻事件无关。
今年初发生在英特尔、AMD等晶片的Spectre漏洞令人余悸犹存，现在有研究人员发现新的Spectre漏洞攻击手法，让骇客可从远端发动攻击，不需植入任何程式码。
Spectre变种1（CVE-2017-5753）是发生于CPU中推测执行（speculative△execution）的功能漏洞，有被骇客发动缓冲溢位攻击，造成记忆体内容，包括密码、加密金钥外泄的风险。但条件是骇客必须在本机上执行程式码。奥地利格拉兹大学（University△of△Graz）研究人员展示的新攻击手法则可以从远端发动，并不使用本机CPU快取通道。
在名为“NetSpectre”的新手法中，研究人员是以极慢速度将资料从目标机器中外泄出来。首先，他们通过Evict+Reload快取攻击，以每小时15-bit速度汲取资料。另外，不像原本Spetre变种1攻击使用的快取通道，他们再利用Intel△AVX（Advanced△Vector△Extension，进阶向量延伸）通道以每小时60-bit速度暗中取得资料，这也是第一个不使用快取通道的Spectre漏洞攻击。他们并证实NetSpectre的攻击手法可以运用在本地网络以及Google△Cloud的VM之间。
研究团队认为，NetSpectre手法展示了Spectre攻击已经从本机端扩大为远端攻击，也让为数更多的装置暴露于风险中。攻击者只要传出特定变造过的呼叫，即可存取不同网络间相应应用程序的记忆体内容，甚至整个核心记忆体，通常是系统记忆体。而即使较小装置上不会造成真正资料的外泄，也会破坏位址空间配置的随机载入（address-space△layout△randomization）。
研究人员今年三月发现该漏洞后即通报英特尔，后者已经在第一波Spectre漏洞修补程式中解决。因此如果用户已经安装了更新，应该不必担心。此外，由于此类攻击会引发同一来源发送相同封包，一些能注意到极低速流量的网络防护产品也应该侦测得到。
英特尔7月更新的绕过边界检查漏洞的分析白皮书中，也加入本项新手法的说明。
相关：
【Google Cloud Next18】Google和美国国家卫生研究院联手打造全球生物医学资料生态系统
Google宣布加入美国国家卫生研究院（NIH）的科学技术研究STRIDES（Science△and△Technology△Research△Infrastructure△for△Discovery, Experimentation, and△Sustainability）倡议组织的合作伙伴，为生物医学研
【Google Cloud Next18】GCP推出可防窜改的虚拟机器安全技术
将工作负载移往云端，安全性是企业的重点考量之一，Google从3月开始，发布了一系列云端的安全性更新，更在5月的时候发布了安全的沙盒容器Runtime△gVisor，以及机密运算开发框架Asylo。而在Cloud△Next大会上，同样也
一周大事：甲骨文7月破纪录修补三百多个安全漏洞。GCP与Digital Asset联手开发区块链新应用
中国制扫地机器人遭爆有安全漏洞资安业者Positive△Technologies指出，由中国业者缔奇（Diqee）所生产的360扫地机器人含有两个安全漏洞，漏洞若遭成功开采将允许骇客自远端控制扫地机器人，甚至是拦截扫地机器人所处
第14届台湾骇客年会社交场开跑，HITCON ZeroDay漏洞通报现况与经验大公开
台湾最大的资安社交活动，第14届台湾骇客年会（HITCON）社交场于今明两日（27日、28日）于南港展览馆展开。在今日下午的议程中，去年台湾骇客年会社交场总召翁浩正，也针对HITCON△ZeroDay漏洞通报计划，公布最新发展
DevCore顾问蔡政达揭露不同软件处理字元差异，骇客能借此存取网站重要资料
图片来源: 周峻佑 一般来说，对于系统弱点的控管，我们可能都会从个别软件下手，而软件开发厂商也只集中留意自己推出的产品中，是否出现能够被拿来利用的弱点，然而，随着实务上多种软件的搭配运用，不同软件之间的字