インテルとクラウドベンダーは、今週発生した2つの主要なチップセキュリティ問題についてさらに詳しく説明した。
トム・クレイジット著
膨大な数のコンピューターを危険にさらす可能性のあるインテルのプロセッサーの設計上の欠陥についての報告が広まってから数時間後、このチップメーカーとセキュリティ研究者は、今後何年にもわたってセキュリティコンサルタントの仕事を支えることになる2つの脆弱性についての詳細を発表した。
Googleと複数の大学の研究者らが、昨年6月に発見された2つの未知の脆弱性に関する調査結果を発表しました。これらの脆弱性は、ほぼすべての最新マイクロプロセッサに影響を与える可能性があります。「メルトダウン」と呼ばれる脆弱性は、主にIntelに影響を与える問題である一方、「スペクター」と呼ばれる脆弱性は、PCとモバイルの両方のチップメーカーに影響を与えます。
両方の脆弱性は「サイドチャネル分析」と呼ばれる比較的新しい技術によって悪用される可能性があると、インテルのデータセンターエンジニアリンググループ担当副社長兼ゼネラルマネージャーのスティーブ・スミス氏は、インテルの株価が当初の報道を受けて8％近く下落した後、同日後半に反発したことを受けて、急遽設定された機関投資家向けの電話会議で述べた。
サイドチャネル解析とは、「この脆弱性を利用して、プロセッサで通常想定される権限レベルを回避し、特権メモリの内容を観察する攻撃者の手法」だとスミス氏は述べています。プロセッサはコンピュータのオペレーティングシステムと連携して、機密データが保存されている保護領域へのアクセスを制限することになっていますが、この手法は現在の保護を回避し、攻撃者が機密データを読み取ることを可能にする可能性があります。
この手法により、攻撃者は単一サーバー上で稼働する複数の仮想マシンにアクセスできるようになる可能性があり、これはクラウドサービスのユーザーにとって特に懸念される点です。クラウドサービスのユーザーは、仮想マシンを介して他のクラウドユーザーと単一サーバーを共有することが多いからです。「テストの結果、1台の仮想マシン上で実行された攻撃がホストマシンの物理メモリにアクセスし、それを介して同一ホスト上の別の仮想マシンのメモリへの読み取りアクセスを取得できることも明らかになりました」と、Googleは調査結果を詳述したブログ記事で述べています。
主にインテル製チップに影響を与えるメルトダウン問題は、ソフトウェアパッチで修正できます。しかし、セキュリティ研究者は、パッチによってシステムパフォーマンスが著しく低下する可能性があると懸念しています。これは、OSがチップ本来の役割と想定して設計されている動作を要求されるようになるためです。
インテルは電話会議でパフォーマンスに関する懸念を軽視しようとし、ほとんどのワークロードでは重大な問題は起きないはずだと述べたが、「アプリケーションとオペレーティングシステムの間を行き来するのに多くの時間を費やす他のワークロード」では、パッチのインストール後にパフォーマンスが最大30パーセント低下する可能性があることを認めたと、電話会議中にインテルのCPUコンピューティングアーキテクチャ担当ディレクター、ロナック・シンガル氏は述べた。
水曜日に公開されたもう一つの脆弱性「スペクター」は、プロセッサアーキテクチャの基本的な設計に由来すると思われる。研究者らによると、「メルトダウンよりも悪用は困難だが、軽減も困難だ」という。現時点ではスペクターに対する包括的なパッチは存在しないが、既存のシステムは、既に特定されている特定の脆弱性に対するパッチを適用することで防御できる。
研究者らは、チップ市場において長年インテルのライバルであり続けてきたAMDのチップでもSpectreが動作することを確認したにもかかわらず、AMDは自社のプロセッサがインテルのチップと同じリスクにさらされることはないと主張した。「AMDのアーキテクチャの違いにより、現時点でAMDプロセッサへのリスクはほぼゼロであると考えています」と、同社は声明で述べた。
地球上のほぼすべてのスマートフォンの心臓部となるプロセッサコアを設計するARMは、Cortex-AコアはSpectreの影響を受けるものの、組み込み機器やIoT機器に搭載されているCortex-Mコアは影響を受けないと述べた。同社は、ARMコアのライセンスを取得している顧客に対し、設計を検証し、ソフトウェアパッチが必要かどうかを判断するよう指示した。
インテルはまた、影響を受けるプロセッサが「設計通りに動作している」ことを非常に注意深く指摘したとスミス氏は述べた。つまり、インテルは過去に機能不全のコンポーネントを持つチップに対して行ったような、影響を受けるプロセッサのリコールは行わないということだ。これほど多くのシステムをリコールすれば、世界最大のチップメーカーであるインテルに計り知れない経済的打撃を与える可能性があった。
つまり、クラウドベンダーとオペレーティングシステムプロバイダーがパッチ適用を開始することになります。彼らの計画は以下のとおりです。
- Amazon Web Services：「Amazon EC2 フリート全体のインスタンスのうち、わずか1桁台の割合を除き、すべて既に保護されています。残りのインスタンスも今後数時間以内に保護が完了する予定です。」
- Microsoft：「Azureインフラストラクチャの大部分は、この脆弱性に対処するために既に更新されています。Azureの一部の機能は現在も更新中であり、セキュリティ更新を有効にするにはお客様のVMの再起動が必要です。多くのお客様は、ここ数週間でAzureの計画メンテナンスの通知を受けており、既にVMを再起動して修正を適用済みです。そのため、お客様による更なる操作は必要ありません。本日、このセキュリティ脆弱性が公開されたことを受け、計画メンテナンスの実施時期を前倒し、2018年1月3日午後3時30分（太平洋標準時）より、影響を受ける残りのVMの自動再起動を開始します。」
- Google：「この問題は多くのGoogle製品で軽減されています（または、そもそも問題ではありませんでした）。場合によっては、ユーザーや顧客は製品の保護されたバージョンを使用していることを確認するために追加の手順を実行する必要があります。」ここで挙げられているほとんどのケースでは、通常は再起動が必要です。
これらの情報はすべて来週公開される予定でしたが、火曜日のThe Registerの報道と水曜日にツイートされた概念実証エクスプロイトにより、関係企業は計画を開示せざるを得なくなりました。そのため、セキュリティ研究者は、これらの脆弱性に伴うリスクを正確に理解するために、開示情報とパッチを精査する時間が必要になるでしょう。
今のところ、PCユーザーであろうと、数百台のサーバーを管理するシステム管理者であろうと、パッチをインストールしてください。一般ユーザーはシステムを更新していればほとんど心配することはないかもしれませんが、クラウドベンダーや大規模なオンプレミスデータセンターの管理者にとっては、Spectreを悪用した新たな脆弱性が発見されたり、パフォーマンスの問題によりより高価な構成へのアップグレードが必要になったりした場合、大きな問題を引き起こす可能性があります。
