インテル社CPUの脆弱性問題とは
最終更新日
2023年09月07日
2018年1月に知れ渡ったインテル社 CPU の脆弱性問題 Spectre と Meltdown
インテル社の CPU の脆弱性問題は、2018年1月に大手検索サイトに属する研究機関によって大々的に発表されました。
発表の経緯や脆弱性問題とは具体的に何なのかは、 ASCII.jp：性能低下が取り沙汰されるインテルCPUの脆弱性とは？ (1/3)｜ロードマップでわかる！当世プロセッサー事情 がわかりやすいです。
発表された脆弱性は主に2種類で、Spectre（スペクター）と Meltdown（メルトダウン）があります。
発表の経緯や脆弱性問題とは具体的に何なのかは、 ASCII.jp：性能低下が取り沙汰されるインテルCPUの脆弱性とは？ (1/3)｜ロードマップでわかる！当世プロセッサー事情 がわかりやすいです。
発表された脆弱性は主に2種類で、Spectre（スペクター）と Meltdown（メルトダウン）があります。
インテル社 CPU の脆弱性問題 Spectre とは
Spectre は、インテル社の CPU に限らず他社の CPU にも存在する恐れのある脆弱性です。CPU で現在主流となっている投機的実行が引き起こす問題であり、Spectre の根は深いです。
Spectre は、インテル社の CPU に限ると少なくとも現在販売されている新しい CPU だけではなく、古い第1世代の CPU にまで存在する脆弱性問題であることが判明済みです。
原因は CPU の仕組み自体にあって、根本的に設計を見直さない限りどこまでも付きまとう脆弱性問題だと言えます。
CPU はプログラムを実行し様々な処理を行いますが、処理が分岐することが多いです。例えば、ある値が1だったら処理A、ある値が2だったら処理Bを行うというような分岐です。
この例の場合、ある値がわかってから処理を行うよりも値が1になると予測して処理Aを行う、または値が2になると予測して処理Bを行ってしまう方が処理にかかる時間を短縮できます。
このように投機的に処理を実行しても予測が外れることがありますので、必ずしも処理時間を短縮できるわけではありませんが、総合的に見れば投機的に処理を実行する方が処理を高速化できます。
通常では何らかの処理を実行する時、その処理が読み出せるメインメモリーのデータは制限されています。CPU が許可したデータのみ読み出せます。
投機的に実行する処理では、CPU が許可をするか許可しないのかどうか判定をする仕組みが始まる前に、本来は読み出せないメインメモリーのデータを読み出すことができます。
このように投機的実行が悪用されると、情報が盗まれたり、コンピューターを遠隔操作される恐れがあります。今のところ、深刻な被害報告はない状況です。（2018年2月14日時点）
Spectre は広範囲に影響する問題ですが、悪用して不正を行う難易度はとても高いので、今後も被害が発生する可能性は低いと見られます。
Spectre は、インテル社の CPU に限ると少なくとも現在販売されている新しい CPU だけではなく、古い第1世代の CPU にまで存在する脆弱性問題であることが判明済みです。
原因は CPU の仕組み自体にあって、根本的に設計を見直さない限りどこまでも付きまとう脆弱性問題だと言えます。
CPU はプログラムを実行し様々な処理を行いますが、処理が分岐することが多いです。例えば、ある値が1だったら処理A、ある値が2だったら処理Bを行うというような分岐です。
この例の場合、ある値がわかってから処理を行うよりも値が1になると予測して処理Aを行う、または値が2になると予測して処理Bを行ってしまう方が処理にかかる時間を短縮できます。
このように投機的に処理を実行しても予測が外れることがありますので、必ずしも処理時間を短縮できるわけではありませんが、総合的に見れば投機的に処理を実行する方が処理を高速化できます。
通常では何らかの処理を実行する時、その処理が読み出せるメインメモリーのデータは制限されています。CPU が許可したデータのみ読み出せます。
投機的に実行する処理では、CPU が許可をするか許可しないのかどうか判定をする仕組みが始まる前に、本来は読み出せないメインメモリーのデータを読み出すことができます。
このように投機的実行が悪用されると、情報が盗まれたり、コンピューターを遠隔操作される恐れがあります。今のところ、深刻な被害報告はない状況です。（2018年2月14日時点）
Spectre は広範囲に影響する問題ですが、悪用して不正を行う難易度はとても高いので、今後も被害が発生する可能性は低いと見られます。
インテル社 CPU の脆弱性問題 Meltdown とは
一方の Meltdown は、インテル社の CPU に限って脅威と見られている深刻度の高い特有の脆弱性問題です。プログラムの実行権限を無意味なものにする問題で、文字通り手が付けられなくなる炉心溶融的な状況を発生させます。
コンピュータはその仕組み上、プログラム毎に実行権限を設定して動作させるか否かを判断しています。より影響力の大きいプログラムは、全体に伝播する可能性が強いので権限によって実行が厳しく制限されます。
セキュリティ的な性格の強い仕組みですから、正しく機能しなくなる状態は避ける必要があります。Meltdown は、この仕組みを無意味にしてしまう致命的な欠陥で、実行権限の低いプログラムさえも、まるで最高権限を持っているかのように動作させます。
悪用の難易度的には、CPU ごとの違いに依存する Spectre よりも、Meltdown の方が低いことが分かっています。つまり、Meltdown の方が比較的被害に遭う可能性が高いですが、対応のハードルが低いのが不幸中の幸いです。
コンピュータはその仕組み上、プログラム毎に実行権限を設定して動作させるか否かを判断しています。より影響力の大きいプログラムは、全体に伝播する可能性が強いので権限によって実行が厳しく制限されます。
セキュリティ的な性格の強い仕組みですから、正しく機能しなくなる状態は避ける必要があります。Meltdown は、この仕組みを無意味にしてしまう致命的な欠陥で、実行権限の低いプログラムさえも、まるで最高権限を持っているかのように動作させます。
悪用の難易度的には、CPU ごとの違いに依存する Spectre よりも、Meltdown の方が低いことが分かっています。つまり、Meltdown の方が比較的被害に遭う可能性が高いですが、対応のハードルが低いのが不幸中の幸いです。
インテル社 CPU の脆弱性問題による被害を防ぐために個人でできることは
Spectre や Meltdown について聞くと恐ろしく感じますが、悪用のハードルが高いので被害に遭う可能性は低いです。脆弱性を突く不正なプログラムの登場は確認済みですが、被害の報告は上がっていませんので実際の実行は難しいことを窺わせます。
しかし、悪用のハードルを容易に乗り越える技術が開発されるかもしれませんので、安心し切らないことが大切です。気が付かぬ内に Spectre や Meltdown による被害に遭うリスクが指摘されているので、100% 安全ではありません。
個人でできる対処法としては、ウイルス等のマルウェアへの対処法と変わりはありません。各自いろいろな対処法を実施していると思われますが、OS、セキュリティソフトウェア、ウェブブラウザー等を常に最新状態に保ち、怪しいウェブサイトの閲覧を避けることが特に重要です。
しかし、悪用のハードルを容易に乗り越える技術が開発されるかもしれませんので、安心し切らないことが大切です。気が付かぬ内に Spectre や Meltdown による被害に遭うリスクが指摘されているので、100% 安全ではありません。
個人でできる対処法としては、ウイルス等のマルウェアへの対処法と変わりはありません。各自いろいろな対処法を実施していると思われますが、OS、セキュリティソフトウェア、ウェブブラウザー等を常に最新状態に保ち、怪しいウェブサイトの閲覧を避けることが特に重要です。
個人で対処法を完璧に実施しても不安は残る
個人を狙った攻撃だけでなく、セキュリティ業界の推測によればクラウドサービスに対する攻撃が懸念事項です。インターネットに接続してサービスを提供する企業は、早急に対応したり問題を回避することが必要です。
Meltdown に関しては最も確実な対処法は、インテル社以外の CPU を搭載するコンピュータに交換することです。ただし、交換にはコストが直結しますから、どの企業も簡単に選択できる方法ではありません。CPU を販売する企業にコストを負担させたり、無償による最新の製品との交換をしもらうのも難しい方法です。
第2の選択肢は、現状でできるセキュリティ対策を複合的に行いながら、事態が改善されるのを待つ方法です。インテル社を始めとする CPU のメーカーやIT業界では、協力し合って事態の解決に取り組んでいます。
個人でもパソコンを刷新するのはコストが原因で困難ですから、メーカーやIT企業各社の対応を待って問題の対処にあたるのが賢明です。
ソフトウェア面では、OS を販売するメーカーが先行して脆弱性に関する対応策を打ち出しています。簡易的ではありますが、取り敢えず脆弱性問題の脅威を減らす為に、影響力の大きい OS メーカーが動き出したのは朗報です。
インテル社は、CPU のソフトウェア的な修正を行うマイクロコードを開発しつつ、Spectre と Meltdown を修正した CPU を設計しています。マイクロコードは一時しのぎ的なものなので根本的な解決法とは言えませんが、それでも脆弱性を無視するよりは遥かにマシです。
ハードウェアに手を加えないで対処するということは、問題解決がソフトウェアレベルに留まるのでコンピュータ全体の性能低下が懸念されます。
過去に遡る前代未聞の脆弱性は、理論的には1995年以降に販売された全ての CPU が影響を受けます。小手先の対処では根本的な解決はできませんから、メーカーの動向に注意しながらリスクが取り除かれる日を待つこととなります。
Meltdown に関しては最も確実な対処法は、インテル社以外の CPU を搭載するコンピュータに交換することです。ただし、交換にはコストが直結しますから、どの企業も簡単に選択できる方法ではありません。CPU を販売する企業にコストを負担させたり、無償による最新の製品との交換をしもらうのも難しい方法です。
第2の選択肢は、現状でできるセキュリティ対策を複合的に行いながら、事態が改善されるのを待つ方法です。インテル社を始めとする CPU のメーカーやIT業界では、協力し合って事態の解決に取り組んでいます。
個人でもパソコンを刷新するのはコストが原因で困難ですから、メーカーやIT企業各社の対応を待って問題の対処にあたるのが賢明です。
ソフトウェア面では、OS を販売するメーカーが先行して脆弱性に関する対応策を打ち出しています。簡易的ではありますが、取り敢えず脆弱性問題の脅威を減らす為に、影響力の大きい OS メーカーが動き出したのは朗報です。
インテル社は、CPU のソフトウェア的な修正を行うマイクロコードを開発しつつ、Spectre と Meltdown を修正した CPU を設計しています。マイクロコードは一時しのぎ的なものなので根本的な解決法とは言えませんが、それでも脆弱性を無視するよりは遥かにマシです。
ハードウェアに手を加えないで対処するということは、問題解決がソフトウェアレベルに留まるのでコンピュータ全体の性能低下が懸念されます。
過去に遡る前代未聞の脆弱性は、理論的には1995年以降に販売された全ての CPU が影響を受けます。小手先の対処では根本的な解決はできませんから、メーカーの動向に注意しながらリスクが取り除かれる日を待つこととなります。
| キャンペーン情報(PR) |
|---|
|
・オータムセール 最大50,000円OFF (10月9日迄) DELL ・今週のおすすめ製品 対象製品が特別価格でお買い得 (キャンペーン実施中) パソコン工房 ・決算セール セール対象BTOパソコン最大55,000円OFF (10月1日迄) |
