如何在 Mac 上启用 MDS / Zombieload 的完全缓解

处于特别强大的对抗性威胁环境中的高级 Mac 用户可能会觉得有必要在他们的 Mac 计算机（以及与此相关的 PC）上启用对 Intel MDS 处理器漏洞的全面缓解。 MDS 代表微架构数据采样 (MDS)，通俗地称为“Zombieload”，基本上是实际英特尔处理器本身的一个漏洞，理论上可能导致攻击者访问任何受影响的英特尔计算机、Mac 或 PC 上的敏感数据。（如果你密切关注安全新闻，Zombieload 漏洞有点像去年的 Spectre 和 Meltdown 安全漏洞）。

虽然 Apple 已为 macOS Mojave 10.14.5 应用了安全补丁，并为 High Sierra 和 Sierra 应用了安全更新 2019-003，这应该有助于防止大多数 Mac 用户遇到麻烦，但其他 Mac 用户在异常高的安全性下操作风险环境可能会觉得有必要更进一步并启用针对 MDS / Zombieload 的全面缓解。

为英特尔MDS 漏洞启用全面缓解涉及禁用CPU 本身的超线程，这可能导致机器性能降低大约40%。这显然是一个相当严重的性能损失，因此绝大多数人不应该为此烦恼，因为绝大多数人也不会处于安全威胁环境中，这会使他们面临成为此类漏洞目标的风险。

尽管如此，如果您特别担心配备英特尔 CPU 的 Mac 上的 Zombieload / MDS 攻击向量，我们将在下面讨论如何启用对攻击的全面缓解。

如何在Intel Mac 上启用对Zombieload / MDS 的全面缓解

记住，要在 Mac 上启用 MDS / Zombieload 的完全适应，您必须禁用 CPU 超线程，这会导致严重的性能损失。绝大多数Mac用户应该不用理会这个

注意 Mac 必须运行 MacOS Mojave、macSO Sierra、MacOS High Sierra 或更新版本。

首先，在Mac上安装MacOS Mojave 10.14.5，或Security Update 2019 for High Sierra，或Security Update 2019 for Sierra（或更高版本）
转到 Apple菜单并选择“重新启动”以重新启动Mac
重新启动时立即按住Command + R将Mac引导至恢复模式
当您进入“实用程序”屏幕时，下拉菜单栏中的“实用程序”菜单并选择“终端”
键入以下命令，然后按回车键

nvram boot-args=cwae=2"

接下来键入以下命令，然后再次按回车键：

nvram SMTDisable=%01

转到 Apple菜单并选择“重新启动”以重新启动Mac

这些全面缓解的指示直接来自Apple。

如何在 Mac 上恢复完整的 MDS 缓解和启用超线程

如果您想恢复完全缓解 Zombieload / MDS 并在 CPU 上重新启用超线程，您将需要重置 Mac NVRAM / PRAM 以清除在全面缓解。这在所有 Mac 机型上都是一样的：

关闭Mac
打开Mac，然后立即同时按住COMMAND OPTION P R键
同时按住COMMAND OPTION P R键约20秒，然后松开
在听到第二声开机提示音（在播放开机声音的Mac 上）或看到Apple 标志（在配备T2 芯片的Mac 上）后松开按键

Mac 现在将像往常一样启动，重置 NVRAM，再次启用超线程，并且不再对 MDS 进行完全缓解。

如果不确定设置的内容，您还可以在 Mac 上从命令行查看 NVRAM 变量。

注意如果您使用固件密码，您可能需要暂时关闭它才能有效地重置NVRAM。

MDS / Zombieload到底是什么？

有关MDS / Zombieload 的更多背景知识以及缓解过程，您不妨参考Apple 的支持文章，其中描述了MDS 风险和完全缓解措施，如下所示：

此外，启用全面缓解涉及禁用英特尔CPU 上的超线程，这会显着降低性能。苹果是这样描述的：

您可能还有兴趣在 Intel.com 上直接从英特尔阅读有关微架构数据采样 (MDS) 的更多信息。

关于Zombieload / MDS 的另一个信息来源是此处的官方Zombieload 攻击披露网站，由发现安全漏洞的研究人员创建。下面这些安全研究人员的视频演示了 Zombieload 攻击被用来从目标机器收集信息，尽管使用了包含在虚拟机中的 TOR（严重的安全问题！）。

再次强调，大多数 Mac（和 PC）用户无需过分担心这些安全漏洞，并且可能无需通过禁用超线程来完全缓解漏洞。只需安装 macOS Mojave 10.14.5 和适用于 High Sierra 和/或 Sierra 的相关安全更新 2019-003 即可帮助大多数 Mac 用户规避潜在风险。和往常一样，确保永远不要安装任何粗略或不受信任的软件，因为这也应该有很大帮助，因为几乎所有这些类型的漏洞都依赖于某种形式的恶意软件首先扎根。