Windows 11がWindows 10より安全な理由とは？標準搭載された4つのセキュリティ機能を解説

Windows 10はこれまで、SpectreやMeltdownといったCPUの脆弱性から、近年のプリントスプーラーのバグまで、数多くのセキュリティ問題に悩まされてきました。脆弱性やハッキングの手口は枚挙にいとまがありません。そんな中、MicrosoftがWindows 11でセキュリティに本格的に力を入れていることは、多くのユーザーにとって心強いニュースと言えるでしょう。

Windows 11は、初期状態のままでもWindows 10よりも安全なOSです。MicrosoftはWindows 11において、いくつかの重要なセキュリティ機能を軸に防御体制を強化しています。ここでは、Windows 11の防御力を高める重要なセキュリティ機能を詳しく見ていきましょう。

1. TPM（トラステッド・プラットフォーム・モジュール）

MicrosoftがWindows 11にTPM 2.0のサポートを必須要件として求めると発表して以来、この話題は大きな議論を呼んできました。TPMチップは10年以上前から存在していましたが、デバイスメーカーやユーザーが本格的に注目するようになったのは今が初めてです。

TPMチップは、暗号化キー、パスワード、証明書などを保存する暗号ストレージです。保存された情報をもとに、デバイス、ソフトウェア、ユーザーを識別・認証します。

たとえばWindows 11では、Windows HelloがTPM 2.0チップと連携してログインプロセスを保護します。TPM 2.0チップはWindows Helloに関連するシークレット情報を保存し、それを使ってユーザーを認証する仕組みです。

MicrosoftがWindows Blogsで説明しているところによると、旧世代のTPM 1.2ではなく新しいTPM 2.0を採用した理由は、TPM 2.0の方がより高度な暗号アルゴリズムに対応しているためです。

つまり、TPM 2.0チップによって、Windows 11のPCが正規のものであり、不正アクセスを受けていないことが保証されるのです。

2. VBS（仮想化ベースのセキュリティ）

Windows 11には、Virtualization-based Security（VBS）が組み込まれています。この機能は、セキュリティソリューションをシステムメモリ内の隔離された安全な領域でホストすることで、エクスプロイト（悪用コード）から保護することを目的としています。

もう少し噛み砕くと、VBSはシステムメモリの一部を切り取り、OSの他の部分から隔離し、その空間にセキュリティソリューションを保存します。こうすることで、サイバー攻撃の主要な標的となりやすいセキュリティソリューション自体を守っているのです。

VBSはWindows 10でも利用可能ですが、既定では有効になっていませんでした。MicrosoftはWindows 11でこれを変更し、今後1年以内にほとんどのWindows 11マシンでVBSを既定で有効にすると発表しています。

3. HVCI（ハイパーバイザー保護コード整合性）

Hypervisor-protected Code Integrity（HVCI）は、VBSの機能の一つで、VBSが作り出す隔離されたメモリ環境を保護します。HVCIは、OSの頭脳とも呼ばれるWindowsカーネルが改ざんされないことを保証します。

多くのエクスプロイトは、カーネルモードへのアクセスを足がかりにシステムを乗っ取ろうとします。そのため、カーネルの安全性を確保し、悪用を防ぐHVCIは極めて重要な役割を果たしているのです。

平たく言えば、HVCIは「Windowsの頭脳（カーネル）が、システムのセキュリティを脅かすような誤った動作をしないようにする」仕組みです。

実はWindows 10にもHVCIは最初から搭載されています。しかし、古いCPUではパフォーマンスが大幅に低下するという課題がありました。これこそが、MicrosoftがHVCI専用のハードウェアを備えた第8世代以降のIntel CPU、およびZen 2以降のAMD CPUを要求する理由の一つです。

要するに、HVCIとVBSの活用により、Windows 11は初期状態でWindows 10よりも大幅に高いセキュリティを実現します。

4. UEFIセキュアブート

UEFIセキュアブートについて説明する前に、一つ整理しておきましょう。Windowsのあらゆるセキュリティツールやプロトコルも、起動前にシステムが侵害されていては無意味です。

つまり、Windowsが悪意のあるコードと一緒に起動してしまえば、エクスプロイトはすべてのセキュリティ対策を回避できてしまいます。UEFIセキュアブートは、信頼できるソースのコードだけでPCが起動することを検証することで、この事態を防ぎます。信頼できるソースとは、PCメーカー、チップメーカー、あるいはMicrosoftのことです。

すべてのWindows 11マシンには、最初からUEFIセキュアブートが搭載されます。これにより、Windows 11マシンはWindows 10デバイスに対して、大きなセキュリティ上の優位性を得ることになります。

あらゆる面でWindows 10より安全なWindows 11

Microsoftは、新しいOSが最初から安全であることを保証しようとしています。TPM 2.0や新型CPUといったセキュリティ重視のハードウェアが、VBSやUEFIセキュアブートなどの機能を支え、ユーザーをエクスプロイトから守ります。

とはいえ、大多数のWindowsユーザーは依然として古いマシンを使っています。そのため、Microsoftはユーザーに新規PCの購入を促さなければなりません。そしてそれは、決して容易な道のりではないでしょう。