2020 年 1 月 15 日 編集部記事

2018 年、事実上全てのコンピュータプロセッサに2 つの深刻な脆弱性である Meltdown と Spectre があることがセキュリティ研究者によって発表され、業界を震撼させました。プロセッサが持つセキュリティ脆弱性というパンドラの箱が開けられたのです。特に恐ろしいのは、これらの脆弱性が、物理環境やデスクトップで設定されて利用される時よりも、仮想環境で利用される場合の方が、はるかに危険で効果が大きいという点です。

ウォッチガードのシニアセキュリティアナリストである Marc Laliberte が寄稿した『Dark Reading』の最新のコラムの中では、投機的実行プロセスを悪用する攻撃が、プロセッサの高速化をめぐる競争の中でどのように生まれたか、また業界のリーダー企業は独自に設計した新しいプロセッサを作り出し、Meltdown や Spectre などの脆弱性からクラウドアプリケーションを保護することが予想される理由について述べています。以下は記事からの引用です。

「Meltdown と Spectre の発表以降、投機的実行を利用し、制限されているメモリにアクセスするいくつかのタイプの脆弱性が、研究者によって発見されてきました。インテルと AMD というプロセッサメーカー 2 大企業は、ほとんどの場合、処理性能を犠牲にしながら、イタチごっこで欠陥に対するパッチを出してきました。その対応による性能の犠牲は、極端な場合には 30% にも及びました。結果として、Spectre や Meltdown 、また同種の脆弱性による影響が比較的軽微なデスクトップユーザの多くは、処理速度を維持するためにセキュリティオプションをオフにしています。

クラウド環境では、セキュリティが最優先事項になりますが、このような脆弱性の影響を緩和するのは、困難であるか不可能であるかのどちらかです。このような脆弱性に対応するには、プロセッサそのもののマイクロコードをアップデートして対応する必要がありますが、それは困難です。そのため、インテルと AMD は、セキュリティ重視のCPUと、処理速度重視のCPUという別々のクラスのプロセッサを製造することになる可能性が高いでしょう」

『Dark Reading』の全文（英文）では、クラウドでの投機的実行プロセスを悪用する脆弱性の脅威、また業界がパフォーマンスとセキュリティの両方の要求をどのようにバランスよく満たしていくかについて詳述されていますので、ぜひお読みください。