CPU の 投機的実行 の セキュリティホール
2018 年 の年明け早々に 世間を騒がせている「 メルトダウン 」と「 スペクター 」。
炉心溶融 と 幽霊 という 物騒な名前が付けられた CPU の脆弱性は、悪用されると通常はアクセスできない メモリ領域 から パスワード などの 機密情報 や 画像 , 文書 などを盗むことが可能になるらしい。
トレンドマイクロ「 投機的実行に関する脆弱性「 Meltdown 」と「 Spectre 」について解説 」
同時に 2つの 脆弱性 が発表されたことで 話しがややこしくなっているが「 メルトダウン 」も「 スペクター 」も パフォーマンスを向上させる CPU の「 投機的実行 」のセキュリティホール。
「 メルトダウン 」は Intel の CPU 固有の脆弱性で 標的となる PC 上でプログラムを実行すると メモリ へのアクセスが可能になるらしいが、メルトダウンは Windows を更新することで対応が可能。
厄介なのが「 スペクター 」で 攻撃条件が複雑で実行は難しいようだが Intel , AMD , ARM などのCPU が 影響を受け、 根本的に解決するには ハードウェアの交換が必要になるだけでなく、「スペクター」に対する緩和策を実行すると PC のパフォーマンスに影響があり、すでに Windows で 配信された パッチの適用 で 2015年 以前の CPU で 2桁台の パフォーマンス低下 が確認されている模様。
「Understanding the performance impact of Spectre and Meltdown mitigations on Windows Systems」
Windows 10 で 2016年 以降 の CPU の場合は 1桁台のパフォーマンス低下のため ユーザーが体感できるほどではないようだが、2015年 以前の CPU を使用すると体感レベルでのパフォーマンス低下が発生。
Microsoftは緊急パッチを 2018年 1月9日 までに配信したものの、パッチを適用した一部のサーバでは 一時的にアクセスできない などの不具合も発生している。
「CPU脆弱性問題の影響か、佐賀県庁で一時Office365が利用できず」
影響を受けるのは Windows PC に限らず Mac や Android, iPhone , Chromebook などのほか 各ブラウザも対象になっており、現状では Android , iPhone , Chromebook は 最新のセキュリティアップデートを適用すれば それなりに保護されると アナウンスされている。
脆弱性への対策
メルトダウン は Intel 固有の問題で Windows のパッチを適用すると なんとかなるようなので、取り敢えず Intel の CPU を使用している場合は 2015年 以前の CPU なら大幅なパフォーマンス低下を覚悟してパッチを適用。
市販の PC を使用している場合は 各メーカーのページ で対策を確認。
自作ユーザーは使用しているマザーボードメーカーのサイトから 最新の BIOS を適用。
Intel が公開している ツールを実行して 今回の脆弱性への影響を調べることもできる。
ダウンロードページの「 SA-00086 Windows zip 」をクリック。
使用許諾書が表示されるので 問題なければ「 I accept the terms in ～ 」をクリックして ZIP ファイルをダウンロードし、ファイルを選択後に コンテキストメニュー ( 右クリックメニュー ) から「 すべて展開 」。
解凍したフォルダ内には 3つのフォルダ が入っているので「 DiscoveryTool.GUI 」を開いて 中の実行ファイル「 Intel-SA-00086-GUI 」を起動。
結果が表示される。
ただ Intel の Core i3 を搭載した Windows の更新パッチを適用する前の ノート PC でも「 このシステムに脆弱性はありません 」と表示されたので 結果が信用に値するのかは微妙。
Chrome ブラウザでの対策
Google は今回の脆弱性に対して Chrome ブラウザ ( 安定版 ) で「 Site Isolation 」が有効だとして 方法を公開している。
※ Chrome のベータ版でも「 サイトの分離 」は設定可能。
chrome://flags/#enable-site-per-process
Chrome ブラウザで上記の URL にアクセスしてページを開く。
「 Site Isolation 」を探して「有効にする」をクリック。
「 今すぐ再起動 」をクリックすると Chrome が再起動して「 サイトの分離 」が有効になる。
この「 サイトの分離 」については Google に以下の説明が掲載されている。
サイト分離を有効にすると、Chromeが別のプロセスで開いているWebサイトごとにコンテンツをレンダリングするため、投機的なサイドチャネル攻撃にさらされるデータが減少します。
2018年 1月 23日 にリリースされるアップデートに緩和策が含まれており、以降のアップデートにも 緩和策 と 強化対策 が含まれるようなので「 サイトの分離 」については 保険 のような感じ。
関連記事
トレンドマイクロから個人情報流出
ウイルスバスターを開発しているトレンドマイクロから流出した個人情報が詐欺犯罪に利用 国内のセキュリティソフトで大きなシェアを持っているウイルスバスターを開発しているトレンドマイクロが、2019年11月6日 元従業員の不正 […]
Dropbox Plusが値上げ
Dropboxの有料プランが機能を強化して値上げ 1週間前ほど前にアナウンスされていた気もするが、Dropboxから有料プラン「Dropbox Plus」の値上げに関するメールが届いた。 これまで月払いで月額1,200円 […]
AdSenseの広告ユニットが変わるらしい
AdSense ディスプレイ広告デザインを変更 広告デザイン変更については2018年8月に告知されていたが、ようやくGoogleから「Google AdSense の広告ユニットに対する重要な変更について」のタイトルで、 […]
ARMもHuaweiと取引停止を発表
アメリカの禁輸措置に従い 英国のARM もHuaweiと取引停止 2019/05/23 ソフトバンクグループが買収した英国「ARM」が、Googleに続きアメリカの禁輸措置に従い、Huaweiとの取引を停止したと報じられ […]
GoogleがHuaweiへのアプリ提供を一部停止に
米国 Huawei関連企業69社に対して禁輸措置 2019/05/14 「安全保障上の懸念がある外国企業」としてエンティティー・リストにHuaweiなど中国企業6社が追加され、ファーウェイ・ジャパンを含むHuawei関連 […]