安全研究人员发现了新的安全漏洞，影响采用 M2 或 A15 芯片及更高版本的 Apple 设备。这包括 iPhone、iPad、Mac 笔记本电脑和 Mac 台式机。这些被称为SLAP 和 FLOP 的漏洞首先由Bleeping Computer报告，可能允许攻击者从用户打开的 Web 选项卡中读取信息。根据您打开的选项卡，这可能会使密码和银行信息等敏感数据面临风险。
这不是软件问题，而是影响 CPU 并使它们容易受到旁道攻击的硬件缺陷。这种漏洞利用会测量 CPU 活动，并使用功耗、计时和声音等因素来推断有关用户行为的信息。 2018 年的Spectre 和 Meltdown缺陷也以类似的方式发挥作用。
这是相当复杂的事情，但重要的是，即使敏感信息受到 PC 运行的软件的适当保护，攻击者也有可能获得这些信息。这些弱点的原因并不纯粹是苹果的问题，而是大多数现代 CPU 上使用的性能优化。
计算机程序只是 CPU 执行的一长串指令，但由于要涵盖许多不同的结果，这些指令会扩展到各种不同的分支。 “如果 A 则执行 X，如果 B 则执行 Y”或“如果 A 发生，则返回到 X 点”——在一个大型程序中，为了取得进展，会发生数百万个这样的决策。
为了加快速度，现在的标准做法是预测 CPU 应采取哪条路径并开始进一步执行指令。这样，可以同时完成更多工作，而不是每条指令都按正确的顺序等待。
这种优化称为推测执行或分支预测，因为它基于预测，所以并不总是顺利。当预测适得其反时，我们就会发现这些硬件漏洞可供攻击者利用。
新漏洞的全称是“通过 Apple Silicon 上的负载地址预测进行数据推测攻击 (SLAP)”和“通过错误负载输出预测 (FLOP) 破坏 Apple M3 CPU”。它们本质上都会导致相同的问题，但 SLAP 仅限于 Safari 浏览器，而 FLOP 也适用于 Chrome。
研究通过演示证明基于这些缺陷的攻击是可能的，但目前没有证据表明任何网络犯罪分子正在使用它们。研究人员去年与苹果公司分享了他们的发现，并表示该公司做出了回应，表示计划解决这些问题。然而，几个月过去了，自从论文发表以来，苹果公司（对 BleepingComputer）唯一的官方评论是：
“我们要感谢研究人员的合作，因为这一概念验证增进了我们对此类威胁的理解。根据我们的分析，我们认为这个问题不会对我们的用户构成直接风险。”
尽管这些攻击不涉及恶意软件，但它们仍然从访问恶意网站开始。与往常一样，在我们获得安全更新之前保护自己的最佳方法是在浏览时小心可疑链接和 URL。