仕組みを解説「Meltdown」と「Spectre」は本当にCPUの脆弱性か、それとも単なる欠陥か

「Meltdown」と「Spectre」は本当に脆弱（ぜいじゃく）性なのかという議論がある。本稿では、何を持って脆弱性と見なすか、そしてこの2つは脆弱性なのかを考える。

[Michael Cobb，TechTarget]

　「脆弱性」とは何か。CNSS（Committee on National Security Systems）が作成した「National Information Assurance Glossary」によれば、脆弱性とは「情報システム、システムセキュリティ手続き、内部統制、実装の中で侵害される恐れのある弱点」と定義されている。米国空軍のソフトウェア保護戦略では、「システムの影響を受けやすい部分（欠陥）」「欠陥を見つけ出す脅威の能力」「欠陥を悪用する脅威の能力」という3つの要素が互い交わるところにシステムの脆弱性があると定義されている。

　こうした定義に基づくと、CPUの欠陥であるMeltdownとSpectreは脆弱性に分類されるのだろうか。それとも一部で主張されているように単なるCPUの特徴で、悪意を持った行為者が悪用する方法を成立させただけなのだろうか。

　最新のOSは、ユーザーアプリケーションがカーネルメモリ（保護されたメモリ領域）に読み取りや書き込みを行えないようにしている。また、他のアプリケーションのメモリにもアクセスさせない。デバイスが複数のアプリケーションやクラウドベースのサーバを安全に実行できるようにし、1台のPCで複数のユーザープロセスを独立させた状態に保つためには、こうしたメモリの分離が不可欠になる。

併せて読みたいお薦め記事

「Meltdown」「Spectre」についてもっと詳しく

• Spectre／Meltdown問題で脚光　「CPU脆弱性」の影響と対策
• 「Meltdown」「Spectre」の脆弱性、大手クラウドサービスが格好の標的に
• 「Meltdown」と「Spectre」で明らかになったクラウドベンダーの対応能力
• 発見者が解説――「Spectre」を発見したリバースエンジニアリング手法

CPUだけじゃない「脆弱性」の脅威と対策

• Windows脆弱性スキャンで“見えなかった欠陥”が見えるようになるチェックリスト
• 失効したユーザーでもログイン可能、Slackも影響を受けたSAMLの脆弱性とは？

MeltdownとSpectreの仕組み