（編集者注：インテルは現在、影響を受けるプロセッサーのリストと、この問題を最初に認識した日付を公開している。）インテルは木曜日、来週までに過去5年以内にリリースしたプロセッサーの90％にパッチを適用し、PCとサーバーをスペクターとメルトダウンの両方の脆弱性から「保護」する予定であると発表した。
インテルの発表は、今週公開された2つの脆弱性に対するマイクロプロセッサのパッチ適用に向けた継続的な取り組みにおける最新のアップデートとなった。同社は、過去5年間にリリースされたチップの「大部分」に既にアップデートをリリースしており、来週には90%に達すると述べた。アップデートは、ファームウェアアップデートとソフトウェアパッチの形でリリースされる。
現在、SpectreとMeltdownの脆弱性については2つの懸念事項があり、これらについては別のFAQで詳しく説明しています。まず、セキュリティ上の懸念です。どちらの脆弱性も、通常は隠されている特権データへの侵入を攻撃者に許してしまう可能性があります。また、パッチを当てることでPCの速度が低下するのではないかという懸念もありますが、Intelは平均的なユーザーへの影響は軽微だと主張しています。
これが意味すること：現時点では、主要なチップベンダーとオペレーティングシステムベンダーがこの問題を認識しており、修正プログラムのリリースに取り組んでいることが分かっています。最初の修正プログラムは、おそらくMicrosoftのPatch Tuesday、あるいはそれより早くリリースされるでしょう。不明なのは、これらの修正プログラムがどの程度の種類のソフトウェアとCPUアーキテクチャに影響を及ぼすのか、そしてその結果PCのパフォーマンスがどの程度低下するのか（低下した場合）ということです。これは非常に複雑な問題であるため、Intel CPUカーネルバグに関するFAQを作成しました。このFAQでは、私たちが把握しているすべての情報を明確で読みやすい言葉で解説し、皆様の理解を深めるお手伝いをしています。
ここに至った経緯
SpectreとMeltdownはどちらもIntelにとって初めてのものだと思っているなら、そうではありません。木曜日に公開されたFAQの中で、Intelは2017年6月にこの問題を認識していたと述べています。「今回のケースでは、セキュリティ研究者が調査結果を内密に発表し、Intelと他社が協力して結果を検証し、影響を受ける技術向けのファームウェアとOSのアップデートを開発・検証し、可能な限り迅速に広く利用できるようにしました」とIntelは述べています。
水曜日の午後の電話会議で、インテルはCPUカーネルの脆弱性（現在「サイドチャネル解析エクスプロイト」と呼ばれている）についてさらに詳しく説明しました。インテル幹部によると、この脆弱性を修正するパッチは今後数週間のうちに公開される予定です。パッチによるパフォーマンスへの影響は0～30%程度と非常に大きなものになると予想されますが、「平均的な」PCユーザーにはほとんど影響がないと予想されます。
影響を受けるIntelマイクロプロセッサについてですが、ほぼすべてです。Intelが公開した完全なリストはこちらです。
- Intel Core i3 プロセッサ (45nm および 32nm)
- Intel Core i5 プロセッサー (45nm および 32nm)
- Intel Core i7 プロセッサ (45nm および 32nm)
- Intel Core M プロセッサー ファミリー (45nm および 32nm)
- 第2世代Intel Coreプロセッサー
- 第3世代Intel Coreプロセッサー
- 第4世代Intel Coreプロセッサー
- 第5世代Intel Coreプロセッサー
- 第6世代Intel Coreプロセッサー
- 第7世代Intel Coreプロセッサー
- 第8世代Intel Coreプロセッサー
- Intel X99 プラットフォーム向け Intel Core X シリーズ プロセッサー ファミリー
- Intel X299 プラットフォーム向け Intel Core X シリーズ プロセッサー ファミリー
- インテル Xeon プロセッサー 3400 シリーズ
- インテル Xeon プロセッサー 3600 シリーズ
- Intel Xeon プロセッサー 5500 シリーズ
- インテル Xeon プロセッサー 5600 シリーズ
- Intel Xeon プロセッサー 6500 シリーズ
- インテル Xeon プロセッサー 7500 シリーズ
- Intel Xeon プロセッサー E3 ファミリー
- Intel Xeon プロセッサー E3 v2 ファミリー
- Intel Xeon プロセッサー E3 v3 ファミリー
- Intel Xeon プロセッサー E3 v4 ファミリー
- Intel Xeon プロセッサー E3 v5 ファミリー
- Intel Xeon プロセッサー E3 v6 ファミリー
- インテル Xeon プロセッサー E5 ファミリー
- Intel Xeon プロセッサー E5 v2 ファミリー
- Intel Xeon プロセッサー E5 v3 ファミリー
- Intel Xeon プロセッサー E5 v4 ファミリー
- Intel Xeon プロセッサー E7 ファミリー
- Intel Xeon プロセッサー E7 v2 ファミリー
- Intel Xeon プロセッサー E7 v3 ファミリー
- Intel Xeon プロセッサー E7 v4 ファミリー
- インテル Xeon プロセッサー スケーラブル ファミリー
- Intel Xeon Phi プロセッサー 3200、5200、7200 シリーズ
- Intel Atom プロセッサー C シリーズ
- Intel Atom プロセッサー E シリーズ
- Intel Atom プロセッサー A シリーズ
- Intel Atom プロセッサー x3 シリーズ
- Intel Atom プロセッサー Z シリーズ
- インテル Celeron プロセッサー J シリーズ
- インテル Celeron プロセッサー N シリーズ
- Intel Pentium プロセッサー J シリーズ
- Intel Pentium プロセッサー N シリーズ
The Registerによる最初の報道で注目されたプロセッサを製造しているIntelは、ARMとAMDに加え、複数のOSベンダーにもこの脆弱性について通知済みであると述べた。Intelによると、この脆弱性はGoogleのProject Zeroセキュリティチームによって最初に発見され、Googleもこれを確認した。これらの脆弱性を識別するために、「Spectre」と「Meltdown」という2つの名称も使用されている。
インテルは、この問題に対処するため独自のマイクロコードアップデートをリリースし、そのうちのいくつかはハードウェアに組み込まれる予定だと述べた。記事執筆時点では、マイクロソフトは今後の対応についてコメントを控えているが、近日中に独自のパッチをリリースすると予想されている。グーグルも、影響を受ける可能性のある自社製品について独自のレポートを発表した。影響を受ける製品にはChromeとAndroidスマートフォンが含まれるが、Androidスマートフォンについてはスマートフォンメーカーがアップデートをどれだけ迅速にリリースするかに左右される。
サイドチャネル分析エクスプロイトとは何ですか?
インテルによると、このエクスプロイトは、攻撃者が特権メモリの内容を観察するための手段であり、投機的実行と呼ばれるCPU技術を悪用して想定される権限レベルを回避する。これにより、攻撃者は通常アクセスできないデータにアクセスできるようになるが、インテルはデータが削除または変更されることはないと述べている。
実際、Intelと研究者らは、「境界チェックバイパス」、「分岐ターゲットインジェクション」、「不正データロード」と呼ばれる3つの亜種を特定しました。これらはいずれも攻撃手法が若干異なっていましたが、いずれの場合もオペレーティングシステムのアップデートによって問題は軽減されました。
インテルのエンジニアリングリーダーの一人であり、同社の調査結果を報告したスティーブ・スミス氏は、この脆弱性を悪用した攻撃は実環境で確認されていないと付け加えた。また、この脆弱性が欠陥である、あるいはインテル特有のものだという報道を否定した。「プロセッサは実際には設計通りに動作しています」とスミス氏は電話会議で投資家に語った。
スミス氏は、この発見により、世界中のハードウェアメーカーが「責任ある態度」でこの脆弱性に対応するようになったと述べた。
インテル：これは業界全体の問題だ
両社は、パッチが利用可能になった来週に開示する予定でした。インテルは、「現在不正確なメディア報道」があるため、事前にコメントしたと述べましたが、声明文ではこれらの報道を否定する内容は一切ありませんでした。同社はメディア向けに声明を発表し、その後電話会議を行いました。
インテルは、「インテルをはじめとするテクノロジー企業は、悪意のある目的で使用されると、設計通りに動作しているコンピューティングデバイスから機密データを不正に収集する可能性のあるソフトウェア分析手法に関する新たなセキュリティ研究を認識しています」と述べた。「インテルは、これらの脆弱性を突く攻撃によってデータが破損、改ざん、または削除される可能性はないと考えています。」
インテルは、この脆弱性は自社のアーキテクチャだけでなく他のアーキテクチャにも関連していると主張し、自社のチップが影響を受けていることを否定したAMDや、ほとんどのスマートフォンプロセッサの中核を成すアーキテクチャであるARMホールディングスを、これらの脆弱性を悪用される可能性がある製品を製造する企業として挙げ、さらに複数のオペレーティングシステムベンダーも挙げた。
「当社は業界全体に関わるこの問題を認識しており、チップメーカーと緊密に連携して、お客様を保護するための緩和策の開発とテストに取り組んでいます」と、マイクロソフトの広報担当者はメールで述べています。「クラウドサービスへの緩和策の展開を進めており、Intel、ARM、AMDのサポート対象ハードウェアチップに影響を与える脆弱性からWindowsユーザーを保護するためのセキュリティアップデートもリリースしました。」
AMDは、自社のプロセッサが影響を受けたことを否定し、現時点では「AMDプロセッサへのリスクはほぼゼロ」であると述べた。また、同社は、この脆弱性の3つの亜種に対する対応を図で概説した。
AMDインテルは、この脆弱性をまだ公表していない理由を説明しようとし、ニュースが報じられる前に公表するところだったと主張した。「インテルは、潜在的なセキュリティ問題を責任を持って開示するという業界のベストプラクティスに尽力しています。そのため、インテルと他のベンダーは、来週、より多くのソフトウェアとファームウェアのアップデートが利用可能になった時点でこの問題を公表する予定でした」とインテルは述べた。
GoogleもChromeブラウザが影響を受けると報告していますが、2段階の対策があります。まず、ブラウザをバージョン63にアップデートしてください。次に、サイト分離と呼ばれるオプション機能を有効にして、ウェブサイトを別のアドレス空間に分離することで、脆弱性を緩和することができます。このオプションのフラグは、chrome://flags/#enable-site-per-process で有効にでき、サイト分離が有効になります。最後に、1月23日にリリースされるChrome 64では、サイドチャネル攻撃からユーザーを保護するとGoogleは述べています。
Mozillaは、2つの脆弱性の影響を軽減するためにFirefox内でタイミングを調整していると述べた。
その間、何ができるでしょうか？インテルのアドバイスは、「パッチ、パッチ、パッチ」という昔ながらの格言に従うことです。「OSベンダーまたはシステムメーカーに確認し、利用可能なアップデートがあればすぐに適用してください」とインテルは述べています。「一般的なマルウェア対策として有効なセキュリティ対策に従うことで、アップデートが適用されるまでの間、悪用される可能性からも保護することができます。」
パフォーマンスの問題: パッチにより PC の速度は低下しますか?
しかし、パッチを当てると、治療が病気よりも悪化してしまうのでしょうか？ この記事を最初に報じたThe Register紙によると、PCユーザーはパッチを適用すると「タスクやプロセッサのモデルにもよりますが、概算で5～30%の速度低下が見込まれる」とのことです。
インテルは、一般的なエンドユーザーには悪影響はないと考えているようだ。「一部の報告とは異なり、パフォーマンスへの影響はワークロードに依存しており、平均的なコンピューターユーザーにとっては重大なものではなく、時間の経過とともに軽減されるはずです」とインテルは声明で述べている。
インテルは発表でもう少し踏み込んだ説明をしましたが、やはり顧客が期待していたような明確な説明はありませんでした。「それは、実際に使用しているワークロードによって異なります」とスミス氏は述べました。
インテル幹部によると、このバグの影響を検証する際に、クライアントPCとデータセンターサーバーを区別していないという。主にユーザー空間で実行されるアプリケーションへの影響は0～2%程度としている。しかし、アプリケーションとオペレーティングシステムの相互作用に大きく依存する合成ワークロードでは、最大30%のパフォーマンス低下が見込まれるという。
PCユーザーはパッチによる重大な影響を感じないという証拠が増えています。以前のレポートで述べたように、パッチ適用済みのLinux（Windowsではない）を使用していくつかの人気ゲームをテストしたところ、誤差範囲を超えるフレームレートの低下は見られませんでした。テスト対象となったゲームは、 Core i7-8700Kと Radeon Vega 64を搭載したLinux 4.15-rc6マシンで、 Dota 2、Counter-Strike: Global Offensive、Deus Ex: Mankind Divided、Dawn of War III、F1 2017、 The Talos Principle でした。
しかし、これらのいずれも、Windows オペレーティング システムと深く統合されている Microsoft の DirectX テクノロジでは動作しませんでした。
今後のレポートについては PCWorld でご確認ください。また、最新の調査結果の概要については、更新された FAQ をご覧ください。
このストーリーは、影響を受けるプロセッサに関する Intel からの追加の詳細とともに 1 月 4 日午後 3 時 36 分に更新されました。
