インテル、セキュリティ上の欠陥はインテル以外のチップにも影響し、エクスプロイトによるデータの破損、変更、削除はできないと主張 [更新]

Intelは今日午後、CPUの 重大な設計上の欠陥とセキュリティの脆弱性 に関する 報告に対処し 、昨日明らかになり、その後大々的にメディアで取り上げられたこの問題にさらなる光を当てた。

Intelはウェブサイトに掲載し た声明 で、追加のソフトウェアパッチが入手可能になった来週にこの脆弱性を公表する予定だったが、「不正確なメディア報道」のため本日発表せざるを得なかったと述べた。

Intel によれば、この問題は Intel チップに限定されるものではなく、問題のエクスプロイトによってデータが破損、変更、削除される可能性はありません。 Intel の声明にもかかわらず、Intel チップはより大きな影響を受けており、Intel がカーネル レベルのデータの 読み取り について言及していないことは注目に値します。

インテルおよびその他のテクノロジー企業は、悪意のある目的に使用されると、設計どおりに動作しているコンピューティング デバイスから機密データを不適切に収集する可能性があるソフトウェア分析手法を説明する新しいセキュリティ研究を認識しました。インテルは、これらのエクスプロイトにはデータの破損、変更、削除を引き起こす可能性はないと考えています。

これらのエクスプロイトは「バグ」または「欠陥」によって引き起こされ、インテル製品に固有のものであるという最近の報告は誤りです。これまでの分析に基づくと、さまざまなベンダーのプロセッサやオペレーティング システムを搭載したさまざまな種類のコンピューティング デバイスが、これらのエクスプロイトの影響を受けやすいことがわかります。

Intelは、この問題を「迅速かつ建設的に」解決するために「業界全体のアプローチを開発」するために、AMD、ARM、オペレーティングシステムベンダーを含む他のテクノロジー企業数社と協力していると述べた。

昨日概説したように、この設計上の欠陥により、通常のユーザー プログラムが保護されたカーネル メモリの内容の一部を参照できるようになり、ハッカーや悪意のあるプログラムがパスワードやログイン キーなどの機密情報にアクセスできるようになる可能性があります。この問題を修正するには、OS レベルでカーネル ページ テーブル分離を使用して、カーネルのメモリをユーザー プロセスから分離する必要があります。

この脆弱性をソフトウェアで修正すると、一部のマシンで 5 ～ 30% の速度低下が生じる可能性があるとの報告があるにもかかわらず、Intel は、パフォーマンスへの影響はワークロードに依存しており、平均的なコンピュータ ユーザーには気付かれないと主張しています。

インテルは、これらのエクスプロイトを軽減するためのソフトウェアとファームウェアのアップデートの提供を開始しました。一部のレポートとは異なり、パフォーマンスへの影響はワークロードに依存しており、平均的なコンピュータ ユーザーにとっては重大なものではなく、時間の経過とともに軽減されます。

Intelはさらに、自社製品が「世界で最も安全」であると信じており、現在開発中の修正は顧客に「可能な限り最高のセキュリティ」を提供すると述べた。インテルは、オペレーティング システムのアップデートが入手可能になったらすぐにインストールすることを推奨します。

Mac ユーザー向けに、Apple は 12 月 6 日に一般公開された macOS 10.13.2 の 設計上の欠陥にすでに対処し ています。

最新情報: セキュリティ研究者は、ほとんどの Intel プロセッサと一部の ARM プロセッサに影響を与える 2 つの重大な脆弱性に関する 詳細を共有し ました。 Meltdown および Spectre と 呼ばれるこの脆弱性により、ハッカーは実行中のアプリのメモリにあるデータにアクセスし、パスワード、電子メール、文書、写真などを提供することができます。

ZDNet によると、1995 年以降、コンピューターやスマートフォンを含む「ほぼすべてのシステム」が影響を受けています。 Meltdown はターゲット マシンの物理メモリ全体を読み取ることができますが、Spectre は異なるアプリ間の分離を解除できます。 Meltdown は使いやすいエクスプロイトで、Intel チップにのみ影響し、セキュリティ パッチで対処できますが、パフォーマンス上の問題が発生する可能性があります。 Spectre は、ARM や AMD のプロセッサを含む すべてのプロセッサに影響を及ぼし 、悪用はより困難ですが、既知の修正はありません。 Spectre に完全に対処するには、プロセッサの設計方法を再構築する必要があります。

ハッカーが Meltdown と Spectre を悪用したかどうかは現時点では不明ですが、概念実証の例が世に出ています。 Google の Project Zero チームは脆弱性の発掘に関与しており、Google はエクスプロイトに関する 詳細も共有しています 。 Meltdown と Spectre に関する完全な研究論文は、 ここから入手できます 。

アップデート 2: Intel のプレスリリースを受けて、ARM と AMD は両方とも声明を発表しました。 AMDは現時点でAMDプロセッサには「ほぼゼロのリスク」がある と述べている が、ARMは同社のプロセッサには脆弱性がある と述べている 。

AMD より:

現在、最新のマイクロプロセッサと投機的実行に関連する潜在的なセキュリティ問題に関して多くの憶測が飛び交っています。潜在的なセキュリティ問題が特定されたときに通常行うように、AMD はユーザーが確実に保護されるように、セキュリティ研究チームによって特定された投機的実行攻撃を評価して対応するためにエコシステム全体で取り組んできました。

明確にしておきますが、セキュリティ研究チームは、投機的実行をターゲットとした 3 つの亜種を特定しました。 3 つの亜種に対する脅威と対応はマイクロプロセッサ会社によって異なり、AMD は 3 つの亜種すべての影響を受けやすいわけではありません。 AMD のアーキテクチャの違いにより、現時点では AMD プロセッサに対するリスクはほぼゼロであると考えています。セキュリティ調査は本日後半に公開される予定であり、その際にさらなる最新情報を提供する予定です。

ARM から:

ARM が Intel および AMD と協力して、一部の Cortex-A プロセッサを含む特定のハイエンド プロセッサで使用される投機的実行技術を利用するサイドチャネル分析手法に取り組んでいることを確認できました。この方法では、マルウェアをローカルで実行する必要があり、特権メモリからデータがアクセスされる可能性があります。低電力の接続された IoT デバイスに広く普及している当社の Cortex-M プロセッサは影響を受けません。

私たちは、シリコン パートナーに通知し、チップが影響を受ける場合に開発されたソフトウェア緩和策を実装するよう奨励しているところです。