「Meltdown」「Spectre」の脆弱性、大手クラウドサービスが格好の標的に

クラウド環境が「Meltdown」「Spectre」の脆弱性によって狙われる恐れがある。だがAWS、Microsoft、Googleは、攻撃を防ぐ対策は万全と説明している。

公開 2018年01月18日 05時00分

更新 2018年01月18日 17時56分

著者

Ed Scannell

[TechTarget]

印刷する

　最近のメモリ技術に存在する最大級の脆弱（ぜいじゃく）性は、特にクラウドコンピューティングプラットフォームに暗い影を落とす恐れがある。

　このほど報告された「Meltdown」「Spectre」と呼ばれる脆弱性は、IntelとAMDおよびARMのプロセッサに存在し、あらゆるサーバやデスクトップPC、スマートフォンに影響を及ぼす。中でもクラウド環境のホスティングをしている大規模データセンターのサーバ群は、最大の標的となりかねない。

　この2種類の脆弱性は、IntelとAMDおよびARMのプロセッサが採用している現代のアーキテクチャに20年以上前から存在していた。こうしたプロセッサはサーバやデスクトップPCやモバイル端末に普及している。だが現実的には、個人の端末や企業のIT環境が攻撃の標的になるとは考えにくいと、J.Gold Associatesの社長兼主席アナリスト、ジャック・ゴールド氏は解説する。

　「個人のPCが狙われることはないだろう。それよりデータセンターの情報を狙った方が、時間をかける価値がはるかにある」（同氏）

　ゴールド氏によると、MeltdownとSpectreの脆弱性は、ユーザーが次にリクエストするコードや機能を予測するプリフェッチ機能を使ってデータと命令をメモリに読み込むコンピュータアーキテクチャを悪用する。事前のプリフェッチを迂回（うかい）して、ディスクからデータを取得すれば脆弱性は回避できるが、この追加的作業のためにパフォーマンスに支障が出る。技術的には解決の難しい問題ではないものの、引き換えにパフォーマンスが低下することを考えると、効果的な対策は難しい可能性もある。

　学術論文によると、Meltdownはクラウドプロバイダーに最も深刻な影響を及ぼす。特にそのプラットフォームのゲストが完全に仮想化されていない場合、影響は大きい。多くのホスティングプロバイダーやクラウドプロバイダーは、仮想メモリのための抽象層が欠落していて、カーネルが全ゲスト間で共有されるDockerのようなコンテナを活用している。従って、Meltdownではゲスト間の分離が迂回され、他の全ゲストのデータが同じ物理ホスト上に露呈される恐れがある。

併せて読みたいお薦め記事

クラウドを狙った攻撃

クラウドサービスにおけるセキュリティ対策

クラウドプロバイダーの対応

　Amazon Web Services（AWS）やMicrosoftなどの大手クラウドプロバイダーは、ユーザーを安心させようと相次いで声明を発表し、ユーザーの多くは既に保護されており、残るユーザーも間もなく保護されると説明した。

　AWSは声明の中で、1桁台の割合のインスタンスを除き、「Amazon Elastic Compute Cloud」（Amazon EC2）のインスタンスは既に保護されていて、残るインスタンスも数時間以内に対策を完了すると述べた。

　Microsoftも同様に、「半導体メーカーと密接に連携して、クラウドサービスに対する緩和策の開発とテストをしている」と述べ、IntelやAMD、ARMのプロセッサを搭載したWindowsマシンのユーザーを守るため、セキュリティ更新プログラムを公開すると表明した。AWSのクラウドサービスである「Amazon Web Services」（AWS）と同様、Microsoftの「Microsoft Azure」を利用している顧客の大部分は、ハイパーバイザーレベルで脆弱性に対処する緩和策を適用しても、パフォーマンスに目に見えるような影響は出ないはずだと説明している。

　Googleが打ち出した「Retpoline」と呼ばれる緩和策は、ブランチターゲット挿入攻撃を防止するもので、同社によれば、サーバのパフォーマンスには取るに足らない影響しか与えないという。

　この緩和策に使われている「Kernel Page Table Isolation」（KPTI）は、メモリに保存されている情報を、同時に実行されている他のソフトウェアから守るための技術と説明されている。Googleによると、クラウドインフラを含む同社自らのワークロードでKPTIをテストした結果、同ソフトウェアがパフォーマンスを大幅に低下させるという大方の予想に反して、取るに足らない影響しか出なかったという。

　一方、IBMは、エンジニアリングチームが「潜在的な影響」と解決策の見極めに当たる一方で、サービス部門やセキュリティ部門はユーザーと連携しながら、潜在的な影響を受けるシステムのアップデートを計画しているという。

　同社はユーザーに対し、隣接する仮想マシンも含めて、センシティブなデータを扱う一切のシステム上で、許可されていないソフトウェアの実行を阻止することによって、まずは自らMeltdownとSpectreに対する守りを固めてほしいとアドバイスしている。

印刷する

この記事の著者

Ed Scannell

米TechTargetのニュースディレクター。IT担当者向けの技術トレンドに関する速報の執筆、ニュース解説、特集企画を担当。過去にはIT関連の情報を提供する『InfoWorld』『Computerworld』で26年間編集者を務め、IBMやMicrosoftなど大手IT企業の法人向け製品や技術に関するテーマを担当した。