多くの場合、情報セキュリティではOS、アプリケーション、ユーザーを重視する。一方、物理セキュリティやハードウェアセキュリティは無視されることが多い。通常、物理セキュリティは情報セキュリティチームの対象範囲外になる。チームがハードウェアセキュリティに対処することはめったにない。しかし、ハードウェアセキュリティが基礎になければ、適切にシステムを保護することは難しくなる。

　ハードウェアセキュリティ機能はプロセスの分離に不可欠だ。プロセスを分離することで、権限を分離し、標準ユーザーが特権ユーザーとしてコードを実行することを防ぐ。共有キャッシュなど、共有リソースへの不正アクセスも防止する。また、システムのBIOS更新時にはハードウェアセキュリティが最も効果的な場合もある。

　MeltdownとSpectreという脆弱性が公表されたのは2018年1月のことだ。しかし、2016年6月には関係者に対応の協力を求めるために非公式に明かされていた。Meltdownは、Intelベースシステム上でのユーザーアプリケーションとOSとの間における分離の脆弱性だ。この脆弱性では、権限を持たないプロセスがメモリ保護を迂回（うかい）し、システムメモリに不正アクセスできるようになる。

　SpectreはCPUにおける投機的実行の脆弱性だ。これにより、攻撃者はアプリケーションを欺いてメモリ内の秘密を漏えいさせることができる。投機的実行は、本来CPUのパフォーマンスを最大限に引き出すために利用されている。

　これらの攻撃はIntel、AMD、ArmのCPUを標的にする。これらのCPUがデバイスに占める割合は非常に大きい。どちらの攻撃もサイドチャネル攻撃を使用することで、標的にしたメモリの場所からデータを読み取る。そのようにして、安全な領域に保管されたパスワードや暗号キーといったメモリ内の機密データにアクセスする。また、どちらもローカルシステムでコードの実行を必要とする。これらは事実上権限昇格の脆弱性だ。

　クラウドシステム、仮想ホストシステム、サーバでは、これらの権限昇格の脆弱性による影響が大きい。だが、エンドポイントへの影響は比較的小さいと思われる。エンドポイントでは、多くのユーザーが依然として管理者アクセス権や特権アクセス権を持っている。エンドポイントではOSやアプリケーション内に多様な権限昇格の脆弱性が潜んでいることがある。これらの新しい脆弱性も、そうした既に存在する脆弱性の一部にすぎないだろう。

　これらの脆弱性を攻撃するには、ローカルシステムで信頼できないコードを実行しなければならない。Webブラウザは脆弱だとされている。攻撃者はJavaScriptのサイドチャネル攻撃を利用してブラウザからデータを読み取ることができるためだ。WebブラウザのJavaScriptでSpectreを悪用する概念実証コードを開発した研究者もいる。

MeltdownとSpectreにどう対策をするか

　ハードウェアの脆弱性に対する企業のセキュリティは通常のソフトウェアパッチよりも複雑になる場合がある。それでも、ハードウェアの脆弱性に対処する計画と、これらの脆弱性が企業にもたらすリスクを考慮した計画を用意すれば、適切な対応を決めやすくなる。

　多くの場合、ハードウェアの脆弱性が見つかると、それに対応するソフトウェアパッチが用意される。MeltdownとSpectreに対しては複数のパッチ、BIOSの更新、ファームウェアの更新が提供されている。これらの脆弱性にパッチを適用することによる影響は、システム、CPU、ワークロードによって異なるようだ。

　パッチが原因で速度が大幅に低下したという報告も幾つか上がっている。パッチの一部が壊れていたためだ。また、削除されて、置き換えられていたというものまである。Microsoftもパッチを提供しているが、ウイルス対策ソフトウェアの互換性の問題を報告している。そのため、運用環境にパッチを導入する前にそれらをテストすることが必要だ。

　Webブラウザなど、使用しているアプリケーションによってはアプリケーションレベルのパッチが用意される場合もある。これらの脆弱性に対処するには、CPUが再設計されて交換されるまで、OSやアプリケーションスタックに注意を払うことが求められるだろう。

　脆弱性を発見した研究者によると、これらの脆弱性に基づいた攻撃を検出することは極めて難しいという。特に、JavaScriptブラウザを悪用した攻撃は発見するのが困難とのことだ。ほとんどの悪用ではエンドポイントでコードを実行する必要がある。そのため、実行ファイルをログに記録することで疑わしいプロセスを検出できる可能性がある。

　悪意のあるJavaScriptは、エンドポイントのセキュリティツールや幾つかのマルウェア対策プログラムを使用することで検出できる。CPU利用率やハードウェアパフォーマンスを監視して、検出可能なアクティビティーの急増を突き止められる場合もある。だが、これは大量の誤検出が生じる結果にもなりかねない。これらの脆弱性を突く標的型攻撃を懸念している企業には、Linuxで使用できるツールがある。これらのツールはMicrosoftのWindowsに移植される可能性がある。

　MeltdownとSpectreの脆弱性は従来のデスクトップとノートPCのシステムに影響する。これらのシステムはパッチの適用が必要になる。IoTシステム、組み込みシステム、監視制御とデータ取得システム、産業用制御システムも同様だ。しかし、後に挙げたものほどセキュリティ保護が難しくなる可能性がある。

結論

　MeltdownとSpectreの脆弱性がクラウドシステムや共有ホスト環境に影響することは疑いようがない。また、どちらも慎重な調整と速やかな対応が必要とされる。エンドポイントは脆弱な状態にあり、サーバと同じくらいパッチの適用が難しいことがある。しかし、権限昇格の脆弱性が影響するのは特定のエンドポイントに限られため、影響は小さいかもしれない。

　これらの脆弱性は多様なアーキテクチャに存在する。そのため、研究者が脆弱性を完全に調査してメーカーが対応するには、さらなる分析と時間が必要になる。

　CPU設計を刷新してサービスに組み込んでも、研究者はパッチの更新を必要とする新しい亜種を今後も見つけるかもしれない。ハードウェアベンダーは対応策と軽減策を継続的に更新することになるだろう。