Windows Defender Application Guardとかが分かりやすいのですが、最近のWindowsはローカルで悪意あるコードが走ることを前提にしたセキュリティー機能が結構あって、サイドチャネル系の脆弱性はそれらの機能が使用するハイパーバイザーによる分離をすり抜けて情報を盗めるので一応リスクはあるわけです。
Spectre の影響を受けないウェブを作るための概念実証について 2021年3月29日月曜日 (…) Intel Skylake CPU で Chrome 88 を実行している場合、デモのウェブサイトでは 1 kB/ 秒のスピードでデータが漏洩する可能性があります。なお、このコードはわずかに変更するだけで他のバージョンの CPU やブラウザにも適用できると考えられます。ただし、Google のテストでは、大きな変更を加えなくても、この攻撃を Apple M1 ARM CPU などの他のいくつかのプロセッサで成功させることができました。
切ってる人ぼちぼち増えてる (スコア:2)
デスクトップLinuxだとmitigations=off勧めちゃう人をぼちぼち見かけるので、あんまり脅威だと思ってない人が多いのかなと思います。クラウドだと同じCPUを借りてる人が攻撃してくる可能性が排除できないので有効にしておきたいところですが、古典的なウイルスに比べて悪用の可能性は低いと言われればそんな気もします。
しかしHVCI必須化で緩和策関連を捨てられることが理由だとすると、AMD CPUでHVCIに必要なMBECに対応しているのはZen 2以降、型番で言えばRyzen 3000以上(GPUなし)または4000G以上なところ、公式発表では一貫してMBECを搭載しないところのRyzen 2000(Zen+)以上を許容すると言ってしまってるので手遅れ感がありますね。
# Ryzenは型番と世代の数字が一致してないトラップがあるのだ
Re:切ってる人ぼちぼち増えてる (スコア:5, 興味深い)
IT系のメディアやライターさんがサイドチャネル系の脆弱性を「影響するのはサーバーだけ。デスクトップ・一般人には関係ない」と言っているを見かけますが、必ずしもそうとは言えないんですよね。
Windows Defender Application Guardとかが分かりやすいのですが、最近のWindowsはローカルで悪意あるコードが走ることを前提にしたセキュリティー機能が結構あって、サイドチャネル系の脆弱性はそれらの機能が使用するハイパーバイザーによる分離をすり抜けて情報を盗めるので一応リスクはあるわけです。
なのでベアメタルサーバーとかで信頼できるコードしか走らないと断言できる環境以外での緩和策offはやめておいたほうがいいんじゃないかと思います。
ウイルス対策ソフトはもろ影響 (スコア:5, 興味深い)
煽りじゃなくてこれマジで、動的に悪意のあるコードが大量自動生成されるようになったので、昔のようにファイルのハッシュ値でウイルスかを判別するといったシグネチャベースじゃあ対応できなくなりました。
なので、どんなウイルス対策ソフトであってもヒューリスティック検知が実装されているわけですけど、これサンドボックスでウイルスを実行して振る舞いを見ているんですね。
ってことで、SpectreやMeltdown対策がされていないなら、ウイルス対策ソフトが逆効果になって、ユーザーが実行もしていないマルウェアが自動スキャンされただけで、ウイルス対策ソフト自体に欠陥がなくても、悪意のある攻撃が成立する恐れがあります。
Re:ウイルス対策ソフトはもろ影響 (スコア:2)
あー確かに。サンドボックスすり抜けの一手法になるわけですね。とはいえMeltdown系は実行時間がわりと長かったはずなので短縮されるまでは大丈夫のような、開きっぱなしのElectronアプリのjsなんか誰も見てないのでやっぱり危ないような。
# 個人的には明示的に有効にも無効にもしてないし何も考えてないというのが正直なところ
Re: (スコア:0)
読み取り権限の無いデータを攻撃プロセスに読み取られるって意味では攻撃成立してるけど、
読み取ったデータをサンドボックスの外に投げる方法が無いなら害はないし、
自動スキャンによってサンドボックス内実行された攻撃プロセスが外部にデータを送れるなら、
CPU脆弱性云々以前の致命的脆弱性と言う他ない状況かと思いますが……
サンドボックスの外からデータを受け取る手段にはなるけど
サンドボックスの外でやられてる点でもう駄目な気が
# そもそもファイル実行時以外での自動スキャンで一々サンドボックス適用してる物だろうか？
# 意義のある実行時間掛けてたらスキャンにならんのでは。
Re:ウイルス対策ソフトはもろ影響 (スコア:1)
Re: (スコア:0)
外部通信機能持っててローカルのデータ読めてる時点でもう駄目だから、
アンチウィルスのサンドボックス内のマルウェアと連携する意味が無い。
タイマーの精度的な意味で効率上げるために双方向でやるってパターンがあり得るかどうか……
Re:とんちゃもん (スコア:0)
不特定多数でリソース共有をしているようなサービス以外ではめだって脅威にならんからね。
Re: (スコア:0)
それなんてWebブラウザ？
Re:とんちゃもん (スコア:1)
ブラウザは、高精度タイマー関係の命令を使えなくしたりして対策したので、
対策後のブラウザはあまり影響うけないのでは？
Re:とんちゃもん (スコア:2)
高精度タイマー無効化は2018年に入りましたが、解決はしてません。(#4066831 [srad.jp])のリンク先参照。今年3月の記事です。
# なぜか後からこっちにプラスモデが付いてるので
Re: (スコア:0)
タイマーの変更はWebブラウザは攻撃者として見ると攻撃力下がって実用上安全な感じにはなってるね。
被攻撃者としての防御力を見るとretpolineでいいのかな？ブラウザは全部緩和策入れてるんだと思うけど、
それだけだと他アプリの攻撃力は下がってないから、ブラウザデータが大事だってんならやっぱり
OSレベルの緩和策入れるとか、マシンに野良コード入りそうなアプリは入れないとかカバーしたほうがいい気がする。
# 余談だが銀行のWebサイトをずっと開きっぱなしの人は、残高は読まれるかもしれんが有効なセッション情報あたりを読まれることはかえってまれになると思う
Re: (スコア:0)
何言ってんの？まじで何言ってんの？
Re:とんちゃもん (スコア:2)
ブラウザで動くPoCありますよ。
Re: (スコア:0)
こういうバカが湧くのを見てると、本当に適切な脅威分析をした上で切っているのか不安になってくるな
ブラウザは一般人の場合、最も脅威なんですが (スコア:5, 参考になる)
SpectreおよびMeltdown脆弱性をブラウザで悪用できることは、既に証明されていいます。
一般人はよく使うサイトのタブを開きっぱなしにすることが多いです。
Google・Yahoo!・Facebookは勿論、銀行や証券会社のタブも開きっぱなしにしているかもしれません。
他のタブで悪意のあるサイトを開くと、WebAssemblyやJavaScript経由で、別Originのログイントークンなどが盗まれる恐れがあります。
JavaSciptのタイマーの精度を下げるといったブラウザ側で緩和策がとられている場合がありますが、あくまでも攻撃しにくくするための対策であって根本的な対処ではありません。
タブごとにプロセスを分離することは根本的な対策では？ と思うかもしれませんが、それはOSレベルでSpectreおよびMeltdown脆弱性に対応していた場合のみですし、OSでSpectreおよびMeltdownに対応するというのも根本的な対策ではなく緩和策にすぎないのです。
CPUの脆弱性なのですから、CPUで対応するのが最良であり、それ以外はパフォーマンスの大幅な低下といった問題も発生します。
Re:ブラウザは一般人の場合、最も脅威なんですが (スコア:2)
CPUで対応しても大して速くないんではないかと。こう、なんともコメントしにくい……
Re:ブラウザは一般人の場合、最も脅威なんですが (スコア:1)
理論上可能
であっても実用性皆無というのが今の判定ですわな
セキュリティ対策はコストとリスクの費用対効果っていつになったら理解されるんだろう
ことこんぴゅーたせきゅりてぃについてはゼロリスク信者が多すぎる
Re: (スコア:0)
Spectreの脆弱性対策を無効にすることで、パフォーマンスが2～3割ぐらい向上するかもしれませんが、
3割のパフォーマンスのために、そこまで危険を晒す必要があるのですか？
仮に今コストとリスクの費用対効果で、パフォーマンス2～3割アップのためにOSのSpectre対策を無効化した方が得だったとしても、
その評価が将来的に変わるかもしれないわけで、標準と違う設定を行う場合はそのリスク評価の情報を常にアップデートする必要があるんですが、
その情報収集に掛かる時間のコストは？
それと、標準外の設定をするとテストする人が少ないために不具合に遭遇する確率が高くなります。
（これはかなしいことに「セキュリティ向上のためにWindowsで標準で有効になっているサービスを無効にする」とか「レジストリを編集する」とかもなども将来のアップデートで問題が生じる可能性があるというのが現実ですが）
Re:ブラウザは一般人の場合、最も脅威なんですが (スコア:2)
天秤はどちらにでも傾き得るわけで、利益がない前提を置いて詰めるのは悪手かと。例えば性能さえ出ればいいXbox 360のCPUにはL1キャッシュのコヒーレンシをソフト側で担保する前提の命令があって、再現可能究明不能の動作を起こすので使われないことが多かったとかなんとか……
狂犬病予防接種不要論と同じですな (スコア:0)
Spectre/Meltdownのリスクが低いからとCPUパフォーマンスのためにセキュリティ対策を無効にするって、
狂犬病リスクと犬が予防接種で体調崩すリスクを計算して狂犬病予防接種を受けない人と同じようなもの。
他の人の対策にただ乗りしているだけで社会にとって迷惑な存在なんですよ。
何故、Spectre/Meltdownの攻撃があまり行われていないかというと、OS側でのパッチ、ブラウザでの緩和策等等で攻撃が成功する確率が下がってきていて他の攻撃をやった方が経済的に得だからです。
貴方より賢いMicrosoftやLinuxディストリ開発者が、何故デフォルトでSpectre/Meltdownのパッチを有効化するのかを考えてくださいね。
Re: (スコア:0)
>何故、Spectre/Meltdownの攻撃があまり行われていないかというと、OS側でのパッチ、ブラウザでの緩和策等等で攻撃が成功する確率が下がってきていて他の攻撃をやった方が経済的に得だからです。
×あまり行われていない
○行われたことが一度も観測されていない
ゼロ対策状態ですら、最初から利用条件が厳しすぎて誰も見向きしてないんですよｗ
他に有用な穴なんかいくらでもあるんですから。
Re:狂犬病予防接種不要論と同じですな (スコア:1)
「確かに穴だけど悪用するにはハードルが高すぎるので現実的な脅威ではないのでは」
と言われていたものに比較的容易に実行可能な方法が発見されたり、実際に利用されたりといった例もけっこうある世界でその認識は甘すぎます。
Re: (スコア:0)
あつものにこりてなますをふく
世界中のPCにほぼ100％存在しているのに、もう3年も必死にボテ繰り回して何にも出てこない実害も無い脆弱性を頑張って対策続けて下さい！
Re: (スコア:0)
そうだよ。
今のコンピュータの安全性は「これは本当になますなのか」と疑い続ける人のおかげで守られている面もある。
Re: (スコア:0)
発見されてから対策すればいいのでは？
～かもしれないで対策必要なのなら、VMなんて使えないし、もっといえばマルチタスクOSだって危ない。ネットワークに繋ぐのもダメですね。
Re: (スコア:0)
たった3割のパフォーマンス低下とか糞なセキュリティソフトを強いる無能情シスや、まともなロジックも考えられずクソース量産する低能プログラマがよく言うんだが、8時間稼働できるノートPCが6時間も持たなくなるって結構大きな問題だぞ。
確かにPCの処理性能では有り余る時代になったが無駄遣いが許されるリソースじゃない。
Re: (スコア:0)
Meltdownは致命的だけどSpectreは単独では攻撃が成立しない。
完璧にSpectreを避けるにはキャッシュメモリーを廃止しないといけない。
ここらへんを追求するメリットが理解できない。
Re: (スコア:0)
脆弱性の発見時にブラウザで動いたのは確かですが、ブラウザ側で対策された現在でも動くのですか？
Re:とんちゃもん (スコア:2)
Spectre の影響を受けないウェブを作るための概念実証について
2021年3月29日月曜日
(…)
Intel Skylake CPU で Chrome 88 を実行している場合、デモのウェブサイトでは 1 kB/ 秒のスピードでデータが漏洩する可能性があります。なお、このコードはわずかに変更するだけで他のバージョンの CPU やブラウザにも適用できると考えられます。ただし、Google のテストでは、大きな変更を加えなくても、この攻撃を Apple M1 ARM CPU などの他のいくつかのプロセッサで成功させることができました。
https://developers-jp.googleblog.com/2021/03/a-spectre-proof-of-concep... [googleblog.com]
ブラウザ向けに *最初の* 緩和策が出たのは発見から数か月後くらいだったと記憶してはいますが、塞がれたわけではないのかなと。
Re: (スコア:0)
Firefoxのテスト版にサイト分離機能を導入。MeltdownとSpectre問題に根本的な対策 [it.srad.jp]
Re: (スコア:0)
新型コロナワクチンとの類似性があるな。
老人とか、基礎疾患がない場合は、新型コロナのリスクはあまりない。
ワクチンのリスクの方が大きい。
というのと、SpectreやMeltdownはクラウドでなければ、あまりリスクはない。
性能低下はリスクではなく現実の課題として存在する。
SpectreやMeltdown対策は切らせてくれ、って人はワクチンを接種しないつもりの人と類似性がある。
逆に若者で基礎疾患がなくてもワクチン打つ人はSpectreやMeltdown対策の性能低下は許容しそうだ。
Re:切ってる人ぼちぼち増えてる (スコア:2)
まあ、絶対的尺度のない比較論は false dichotomy ですよね。
Re: (スコア:0)
そのような関係を、一般に「トレードオフがある」と言います。
いい機会だから覚えましょう。トレードオフ、次回からはこの一言で説明できます。グダグダ長文を書かなくて済みます。
Re:切ってる人ぼちぼち増えてる (スコア:1)
トレードオフの関係について初めて知ったACはヤバすぎるだろ
ACなら不思議じゃないけどさぁ
クラウドじゃないとリスクはあまりない ← 誤り (スコア:0)
今はOSでも、ブラウザでも、セキュリティ対策ソフトでも仮想化技術が多用されていることを知らないの？
Windowsだって、内部で動くプロセスはガチガチに権限制約されて動いてるんだよ？
貴方の思考だと、「WindowsではUACをOffにして、Linuxではrootを常用しても、あまりリスクがない」ということになるんだけど。
SpectreやMeltdownというのはまさに、同じCPUを使う別の権限で動くものの情報を奪える脆弱性だからね。
Re: (スコア:0)
UACとrootに仮想化技術が関係しているの？
Re: (スコア:0)
> 貴方の思考だと、「WindowsではUACをOffにして、Linuxではrootを常用しても、あまりリスクがない」ということになるんだけど。
ここは比喩です。
「SpectreやMeltdownというのはまさに、同じCPUを使う別の権限で動くものの情報を奪える脆弱性」なので、別の権限で動いているプロセスの情報を奪える脆弱性です。
クラウドのサーバじゃない限りはSpectreやMeltdown対策が不要な理由は、同じCPUを共有プロセスが悪意のあるコードを含んでいるリスクが低いと見積もっているからですよね？
もし、それが正しいのならば、プロセスは全部Admin/root権限で動かしても問題ないのでは？ ということです。
Re: (スコア:0)
新型コロナワクチンとの類似性があるな。
老人とか、基礎疾患がない場合は、新型コロナのリスクはあまりない。
ワクチンのリスクの方が大きい。
本筋から離れるけど、ここが気になる。
「ワクチンのリスクの方が大きい」という根拠は？
免疫を作るために接種するワクチンで何か不具合が起きる人って、コロナに感染したらもっとやばい事になる人なのでは。
「感染しない可能性vs.（感染して）重症化するリスク」の比較になるから、ワクチンを接種する方がリスクが小さいと思うのだけれど。