チップの欠陥、MeltdownとSpectreが迫ってくる

Tiffany Trader

HPCと幅広い技術コミュニティは、現代のほとんどすべてのマイクロプロセッサに影響を与える重大な設計上の欠陥が発見されたことを受けて今週注目を集めている。このバグは、悪意のある盗難に対してメモリの内容を公開してしまうものだ。さらに悪いことに、現時点でこれらの欠陥に対する修正が不明確であり、大幅に減速する可能性がありことだ。

話が進むにつれて、多くのレポートが「インテルのチップの欠陥」を中心に扱ってきたが、問題はそれよりはるかに大きく、AMDおよびARM CPUにも影響する。ニューヨークタイムズ紙はすべての動きをまとめる素晴らしい仕事をしてきた。

タイムズ紙がレポートしたように、2つの大きな欠陥がある。最初のMeltdownと呼ばれるものは、Ars Technica誌が包括的にカバーしているように、インテルのチップに許されている投機的な実行のためのものでインテルのマイクロプロセッサにしか影響を与えない。 KPTI（旧KAISER）と呼ばれるLinuxのパッチは、アプリケーションに応じて、プロセッサの性能速度を30％も遅くすることが示されている。

2番目の問題は、Spectreと呼ばれ、おそらく市場に出回っているすべてのチップラインに影響を与え、電話を含む数十億のデバイスが悪用される可能性があるため、さらに問題がある。「研究者は、この欠陥は悪用するのが難しいと考えています。既知の修正は皆無で、インテルのようなチップメーカーがこの問題に対処するために何をするのかは明らかではありません。」とタイムズ紙は書いている。

インテルは結果を軽視し、競合するチップも影響を受けることを強調した声明を発表した。

「インテルと他のテクノロジー企業は、悪意のある目的のために使用された場合、設計されたとおりに動作しているコンピューティングデバイスから機密データを不適切に収集する可能性があるソフトウェア分析方法を、説明する新しいセキュリティ研究に気づいています。インテルは、これらの悪用がデータを破損、改ざん、または削除する可能性はないと考えています。」と同社は主張している。

「これらの事象が”バグ”や”欠陥”によって引き起こされ、インテル製品に固有であると言う最近のレポートは間違っています。現在までの分析に基づきますと、様々なベンダーのプロセッサやオペレーティングシステムを使用している様々な種類のコンピューティングデバイスが、これらの事象の影響を受けやすくなっています。」

インテルは、「平均的なコンピュータユーザ」にとって、パフォーマンスへの影響は重大ではなく、時間の経過とともに緩和されるだろうと述べている。

これに対し、ある寄稿者が人気のあるHPCメーリングリストにおいて、「我々、非平均的なコンピュータユーザは、まだ[好きな動詞を入れてください]です。」と言い返している。

この問題が依然として浮かび上がっているため、米国政府は問題のあるCPUを本質的に救済できないことを暗示した悲しい声明(月3日）発表した。 「基本的な脆弱性は、主にCPUアーキテクチャ設計の選択に起因しています。この脆弱性を完全に除去するには、脆弱なCPUハードウェアを交換する必要があります。」と、米国国土安全保障省のコンピュータ安全部門であるUS-CERTは述べている。

告知の改訂版では、極端ではないがあいまいなガイダンスを提供している。影響を受ける当事者は、「オペレーティングシステムと一部のアプリケーションの更新により、これらの攻撃が緩和されます。」と通知されている。

これらの大きな欠陥の完全な影響についてはまだ不確実性が多くある。 AMDとARMも声明を発表した。

AMD：https://www.amd.com/en/corporate/speculative-execution

ARM：https://developer.arm.com/support/security-update

影響を受けたハイテク企業はこの欠陥を数か月にわたって知っており、公知となる前から問題を解決するために取り組んでいる。これはハッカーよりも先行するための一般的な習慣であるが、このタイミングはインテルのCEO Brian Krzanichが昨年後半に行った大規模な株式売却に注目している。 11月29日、Krzanichは2400万ドル相当の会社株式およびオプションを売却し、インテルとの契約で必要とされる最低限まで株式を削減したのだ。取引の範囲は許容範囲内ではあったが、売り切れのタイミングやハードウェアの脆弱性が株価に影響を及ぼす可能性については、さらに精査が必要となる可能性がある。 インテルの広報担当者は、Krzanichの売却は「無関係」だと語っている。

コンピューティングの専門家達は、メーリングリスト、ソーシャルメディアフォーラム、メッセージボードを利用して、フラストレーションを解消し、セキュリティとパフォーマンスの要件に対処するための戦略について議論している。失われたパフォーマンスの補償を求めているという話はすでにある。適度な性能でさえ、数百または数千のノードを含むHPCシステムの料金を使用している。この時点で、KPTIのパッチが典型的なHPCの作業負荷と使用パターンに対してどのくらいのペナルティを払うのかは不明のままであるが、我々はこの開発の話をしっかりと続けていく。

追加の情報：

https://spectreattack.com/
https://meltdownattack.com/

グラウンドゼロの投稿：

http://pythonsweetness.tumblr.com/post/169166980422/the-mysterious-case-of-the-linux-page-table

MeltdownとSpectreのロゴはNatascha Eiblによって設計され、クリエイティブ・コモンズのライセンスで上記に使用されています。