テクノロジーセキュリティ研究者は、ゾンビ映画に出てくるウイルス研究者のような存在です。彼らの仕事は、理論的には確かに重要ですが、実際に説明しようとすると、なんとも言いようのない悪意に満ちているように聞こえます。「コンピューターをいじって新しい攻撃方法を見つける」というのは、「人間が本来知るはずのないもの」という傲慢さを感じさせます。今やテクノロジー業界で話題になっているHertzbleed脆弱性も同様です。つまり、ほとんどの人にとってそれほど心配するほどのことではありません。
Hertzbleedは、複数の大学のセキュリティ研究チームが共同で開発した発見で、近々開催されるセキュリティシンポジウムに先立ち、独立したウェブサイトとして公開されました。その基本的な考え方は、現代のCPUがコア周波数を動的に調整して演算内容を「把握」する仕組みを観察することで、理論的にはプログラムが暗号鍵を盗むことが可能になるというものです。この「サイドチャネル攻撃」は、ウイルスやランサムウェアなどの恐ろしい攻撃で一般的に見られるような侵入型のプログラムをインストールすることなく実行可能です。暗号化されたデータからパスワード、そして（もちろん）暗号通貨に至るまで、あらゆるものを盗むために利用される可能性があります。
Hertzbleedは、極めて一般的な周波数スケーリング機能を攻撃手段として利用するため、無害でありながら効果も非常に高く、その影響範囲は極めて広範囲にわたります。最新のIntelプロセッサに加え、Zen 2およびZen 3チップを搭載したデスクトップおよびラップトップを含む「複数」世代のAMDプロセッサにも影響を及ぼす可能性があります。理論的には、過去10年ほどの間に製造されたほぼすべてのCPUで動作する可能性があります。
しかし、心配するべきでしょうか？普通のノートパソコンやデスクトップで、極めて重要な企業や政府のデータを扱っている場合を除いて、おそらく心配する必要はありません。Hertzbleedはアクセスデータを盗むための巧妙で効果的な手段ですが、特に効率的ではありません。Intelによると、この種の攻撃を実行するために必要な理論上のマルウェアが、論文で実証されたような高度な電力監視を再現できたとしても、CPUのスケーリングを監視して暗号鍵を特定し、盗むには「数時間から数日」かかる可能性があるとのことです。
将来、誰かがHertzbleedを使ってデータを盗む可能性は確かにありますが、極めて限定的な標的設定と高度な技術力が求められるため、危険にさらされるのは、既に高度な攻撃キャンペーンの標的となっている人々に限られます。政府機関、巨大企業、暗号通貨取引所などがその例ですが、これらの組織の一般従業員もアクセス認証情報の漏洩リスクにさらされる可能性があります。
サイドチャネル攻撃の広範な適用可能性と、攻撃を成功させるために必要な複雑さのため、IntelもAMDも、自社チップの物理的な脆弱性を修正するパッチをリリースしていません。（このような極めて基本的で普遍的なCPU機能にパッチを適用することは、実際には不可能かもしれません。）IntelのChips & Salsaブログ（分かりますか？）で、セキュリティコミュニケーション担当シニアディレクターのJerry Bryant氏は、「この問題は研究の観点からは興味深いものですが、この攻撃はラボ環境以外では実用的ではないと考えています」と述べています。この種の攻撃の性質は、この特定の手法でなくても、既に知られており、一部の高セキュリティ環境では既に想定されています。Bryant氏はさらに、「電源サイドチャネル攻撃に対して強化された暗号実装は、この問題の影響を受けません」と述べています。
攻撃を軽減する方法は他にもいくつかあります。IntelのTurbo BoostやAMDのPrecision Boostを無効にすると、実質的に周波数スケーリングがオフになりますが、パフォーマンスに大きな影響が出ます。また、電力スケーリングにランダムな調整を加えたり、暗号シーケンスに「人工ノイズ」を挿入したりすることで、潜在的な観察者を欺くことも可能です。セキュリティを重視するソフトウェアメーカーは、今後これらの選択肢を検討していくことは間違いありません。
しかし、現時点では平均的なエンドユーザーにとっての実際の危険性はほぼゼロに近い。新たに発見された攻撃ベクトルであるHertzbleedは、まだ実環境では使用されていないことはほぼ確実であり、仮にそれが出現したとしても、WindowsやmacOSを使用している一般ユーザーは、最も効果的な標的にはならないだろう。
著者: Michael Crider、PCWorld スタッフライター
マイケルはテクノロジージャーナリズムのベテランとして10年のキャリアを持ち、AppleからZTEまであらゆるテクノロジーをカバーしています。PCWorldではキーボードマニアとして活躍し、常に新しいキーボードをレビューに使用し、仕事以外では新しいメカニカルキーボードを組み立てたり、デスクトップの「バトルステーション」を拡張したりしています。これまでにAndroid Police、Digital Trends、Wired、Lifehacker、How-To Geekなどで記事を執筆し、CESやMobile World Congressなどのイベントをライブで取材してきました。ペンシルベニア州在住のマイケルは、次のカヤック旅行を心待ちにしています。
