CPUの脆弱性 MeltdownとSpecter


2018/01/11

新年早々、世間を騒がせているのが「メルトダウン」と「スペクター」。
「炉心溶融」と「幽霊」という物騒な名前が付けられたのはCPUの脆弱性で、これらを悪用されると通常はアクセスできないメモリ領域から、パスワードなどの機密情報や画像・文書などを盗むことが可能になるらしい。

トレンドマイクロ「投機的実行に関する脆弱性「Meltdown」と「Spectre」について解説」



同時に2つの脆弱性が発表されたことで話しがややこしくなっているが、「メルトダウン」も「スペクター」もパフォーマンスを向上させるCPUの「投機的実行」のセキュリティホール。
「メルトダウン」はIntelのCPU固有の脆弱性で、標的となるPC上でプログラムを実行すると、メモリへのアクセスが可能になるらしい。ただ、メルトダウンはWindowsを更新することで対応が可能。
厄介なのが「スペクター」で、攻撃条件が複雑で実行は難しいようだが、Intel・AMD・ARMなどのCPUも影響を受け、根本的に解決するにはハードウェアの交換が必要になる。
また、「スペクター」に対する緩和策を実行すると、PCのパフォーマンスに影響があり、すでにWindowsで配信されたパッチの適用で、2015年以前のCPUでは2桁台のパフォーマンス低下が確認されている模様。

「Understanding the performance impact of Spectre and Meltdown mitigations on Windows Systems」

Windows10で2016年以降のCPUの場合は1桁台のパフォーマンス低下で、ユーザーが体感できるほどではないようだが、2015年以前のCPUを使用すると体感レベルでのパフォーマンス低下が発生。

Microsoftは緊急パッチを1月9日までに配信したものの、パッチを適用した一部のサーバでは一時的にアクセスできないなどの不具合も発生している。

「CPU脆弱性問題の影響か、佐賀県庁で一時Office365が利用できず」

影響を受けるのはWindows PCに限らず、MacやAndroid・iPhone、Chromebookなどのほか、各ブラウザも対象になっており、現状ではAndroid・iPhone、Chromebookは、最新のセキュリティアップデートを適用すれば、それなりに保護されるとアナウンスされている。

脆弱性への対策

メルトダウンはIntel固有の問題で、Windowsのパッチを適用するとなんとかなるようなので、取り敢えずIntelのCPUを使用している場合、2015年以前のCPUなら大幅なパフォーマンス低下を覚悟してパッチを適用。

市販のPCを使用している場合は、各メーカーのページで対策を確認。
自作ユーザーは使用しているマザーボードメーカーのサイトから最新のBIOSを適用。

Intelが公開しているツールを実行して、今回の脆弱性への影響を調べることもできる。

Intel-SA-00086 Detection Tool

ダウンロードページの「SA-00086 Windows zip」をクリック。

使用許諾書が表示されるので、問題なければ「I accept the terms in ~」をクリックしてZIPファイルをダウンロードし、ファイルを選択後にコンテキストメニュー(右クリックメニュー)から「すべて展開」。

解凍したフォルダ内には3つのフォルダが入っているので、「DiscoveryTool.GUI」を開いて中の実行ファイル「Intel-SA-00086-GUI」を起動。

結果が表示される。

ただ、IntelのCore i3を搭載し、Windowsの更新パッチを適用する前のノートPCでも、「このシステムに脆弱性はありません」と表示された。。。

Chromeブラウザでの対策

Googleは今回の脆弱性に対して、Chromeブラウザ(安定版)で「Site Isolation」が有効だとして、その方法を公開している。

chrome://flags/#enable-site-per-process

Chromeブラウザで上記のURLにアクセスしてページを開く。

「有効にする」をクリック。

「今すぐ再起動」をクリックするとChromeが再起動して「サイトの分離」が有効になる。

この「サイトの分離」についてはGoogleに以下の説明が掲載されている。

サイト分離を有効にすると、Chromeが別のプロセスで開いているWebサイトごとにコンテンツをレンダリングするため、投機的なサイドチャネル攻撃にさらされるデータが減少します。

ただし、2018年1月23日にリリースされるアップデートに緩和策が含まれ、以降のアップデートにも緩和策と強化対策が含まれるようなので、「サイトの分離」については保険のような感じ。

ちなみにChromeのベータ版でも「サイトの分離」は設定可能。




 



トピックス&コラム

豪州・日本もファーウェイ・ZTEを排除

2018/08/27 智に働けば角が立つ、情に棹させば流される。 この世が住みにくいことに変わりないが、日本人は自我を抑えて物事を穏便に済ませる傾向がある。 協調性とか調和とか「和」という、日本を表す文字がすべてを物語っ … 続きを読む

Googleのロケーション履歴

2018/08/22 定期的に問題が持ち上がるGoogleとAndroidデバイスだが、今回はAP通信が報じた「ロケーション履歴をオフにしていてもGoogleが一部の位置データを保存している」というもの。 ‘Locati … 続きを読む

キャッシュレス決済の普及と問題

2018/08/18 ここ数年でやたらと「キャッシュレス化」が話題になっている。 しかも、そのニュースの大半は「キャッシュレス化が普及していない日本が遅れている」と煽るような内容だったりするが、個人的には妙な違和感がある … 続きを読む

FacebookとGmailのプライバシー問題

2018/07/08 性格診断アプリで収集された個人情報が、英国の選挙コンサルティング会社「ケンブリッジ・アナリティカ」に横流しされていることがリークで発覚した事に端を発したFacebookの情報漏えい問題は、その後、A … 続きを読む

Coinhiveの問題

2018/06/15 いま話題のCoinhive。 16人が摘発、3人が逮捕されている。 他人PCで仮想通貨「採掘」=サイト閲覧者に無断で-16人を初摘発・警察当局 すでに賛否両輪、様々な意見が噴出しているが、家宅捜索を … 続きを読む