MeltdownとSpectreの脅威からWindowsを守る方法|影響確認と対策を徹底解説

「新年は新たなスタート」と言いたいところですが、そうもいきませんでした。2017年にはWannaCryランサムウェアやEquifaxハッキング事件など、数々のセキュリティ被害が発生しましたが、2018年に入っても状況はあまり好転していません。

新年を迎えたほっとしたのも束の間、次のセキュリティ衝撃がニュースの見出しを飾りました。しかも脆弱性は1つではなく2つ。その名もMeltdown(メルトダウン)とSpectre(スペクター)と呼ばれるこれらの脆弱性は、コンピューターのマイクロプロセッサ(CPU)に起因するものです。深刻度や潜在的な影響範囲の観点から、専門家たちは2014年のHeartbleedバグに匹敵すると評価しています。

このバグはすべてのデスクトップOSに影響を及ぼす可能性がありますが、本記事ではWindowsに焦点を絞って解説します。脆弱性の仕組みと、自分のPCが影響を受けているかどうかを確認する方法を見ていきましょう。

MeltdownとSpectreの仕組みを詳しく解説

自分のシステムでこれらの脆弱性を検出する方法を説明する前に、まずそれぞれが何であり、どのように機能するのかをしっかり理解しておきましょう。

両方の問題を発見したのは、同じセキュリティ研究者グループです。根本的に言えば、これはプロセッサアーキテクチャの欠陥です。トランジスタや論理ユニットなど、プロセッサを構成する微小部品の設計に潜む問題だと言えます。

この欠陥により、悪意ある攻撃者はコンピューターが処理するほぼあらゆるデータを露出させることが可能になります。パスワード、暗号化されたメッセージ、個人情報など、思いつく限りの情報が標的になり得ます。

MeltdownはIntel製プロセッサのみに影響します。懸念されることに、このバグは2011年頃から存在していたことが分かっています。Meltdownはアウトオブオーダー実行(OOOE)プロセスの一部を利用してCPUのキャッシュ状態を改変し、通常ならアクセスできないはずのメモリ内容を取り出せるようにします。

一方、SpectreはIntel、AMD、ARMプロセッサに攻撃が可能なため、スマートフォン、タブレット、スマート家電にも影響を及ぼします。Spectreは投機的実行と分岐予測をキャッシュ攻撃と組み合わせて利用し、保護されたメモリ領域内に隠されているはずの情報をアプリに漏えいさせます。

Spectre攻撃はマシンごとにカスタマイズが必要なため、実行の難易度は高くなります。しかし、業界で長年確立されてきた技術に基づいているため、その分修正は格段に困難です。

Windows 10 PCがMeltdownの影響を受けているか確認する方法

幸いにも、Microsoftはシステム上で実行できる便利なPowerShellスクリプトを公開しています。以下の手順に従えば、追加モジュールをインストールして有効化でき、結果から追加の対策が必要かどうかが判断できます。

まず、PowerShellを管理者として実行します。「Windowsキー + Q」を押すか、スタートメニューを開いて「PowerShell」と入力し、最初の結果(Windows PowerShell デスクトップアプリ)を右クリックして「管理者として実行」を選択してください。

PowerShellが起動したら、以下の手順に従ってPCがMeltdownの影響を受けているかを確認しましょう。コマンドはコピー&ペーストできるので、入力ミス防止のためにも活用するのがおすすめです。

• Install-Module SpeculationControlと入力し、Enterキーを押してコマンドを実行します。
• NuGetプロバイダーの確認画面では、Y(Yes)を入力してEnterキーを押します。
• 信頼されていないリポジトリの確認画面でも同様に操作します。
• 次にSet-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuserと入力し、Enterキーを押します。
• インストールが完了したら、Import-Module SpeculationControlと入力してEnterキーを押します。
• 最後にGet-SpeculationControlSettingsと入力してEnterキーを押します。

コマンドの実行後、出力結果を確認してください。表示されるのはTrueまたはFalseのいずれかです。

すべてTrueと表示されれば、システムは保護されており、追加の対応は不要です。Falseが表示された場合は、システムが脆弱であることを意味するため、さらなる対策が必要です。結果に示される「推奨される対処法(suggested actions)」を必ず控えておきましょう。上のスクリーンショットの例では、テスト用PCにBIOS/ファームウェアの更新が必要で、加えてWindows Update経由で提供されるパッチも未適用という状態でした。

Meltdownへの対策方法

MicrosoftはMeltdownに対して迅速にパッチをリリースしました。これはWindows Updateツールから入手できます([設定] > [更新とセキュリティ] > [Windows Update] > [更新プログラムのチェック])。Windowsビルド16299を使用している場合は、パッチKB4056892をダウンロードしてインストールしてください。

ただし厄介なことに、このパッチは一部のアンチウイルスソフトと互換性がない点に注意が必要です。セキュリティソフトベンダー(ISV)がWindowsレジストリのALLOW REGKEYを更新している場合にのみ正常に機能します。

ブラウザも必ず最新版に更新しましょう。GoogleはChrome 64で、MozillaはFirefox 57(Quantum)で、Microsoftも最新版のEdgeでそれぞれMeltdownに対応済みです。主流以外のブラウザを使用している場合は、開発元に確認してください。

最後に、システムのBIOSとファームウェアも更新しましょう。多くのPCメーカーはWindows内に更新確認用の専用アプリを搭載しており、それを使えば簡単にチェックできます。もし付属していなかったり削除してしまったりした場合は、メーカーの公式サイトから更新プログラムを入手できます。

Spectreへの対策方法

Meltdownはより差し迫った脅威であり、ハッカーにとっては2つのうち比較的悪用しやすい脆弱性です。しかし、修正の難易度で言えば、Spectreの方がはるかに高いのです。

Spectreの仕組み上、完全な修正にはプロセッサの設計手法そのものを作り直す必要があります。このプロセスには何年もかかる可能性があり、現行世代のプロセッサが市場から完全になくなるまでには数十年かかるかもしれません。

とはいえ、Intelが対策を放棄していたわけではありません。ただ、残念ながらその対応は混乱を極めました。

1月中旬、IntelはSpectre向けパッチをリリースしました。しかしすぐに、Windowsユーザーからパッチの不具合に関する苦情が殺到します。予期しないタイミングでPCが勝手に再起動してしまうというものでした。Intelは第2のパッチをリリースしましたが、問題は解決せず、再起動トラブルは続きました。

この時点で、すでに数百万人のユーザーがパッチをインストール済みでした。Intelは問題を修正できるまでパッチをダウンロードしないよう顧客に呼びかけましたが、Windowsユーザーにとっては落とし穴がありました。IntelのパッチはWindows Update経由で配信されていたのです。現在のWindows Updateの不透明な挙動をご存じの通り、多くのユーザーは気づかないうちにパッチをインストールし続けていました。

突然の再起動自体も確かに厄介ですが、不具合のあるパッチで最も懸念されたのはデータ損失の可能性でした。Intel自身の言葉によれば、「予想以上の再起動やその他の予測不能なシステム動作を引き起こし[...]、データの損失や破損につながる可能性がある」とのことです。

時は1月末、ついにMicrosoftが介入を余儀なくされました。同社は非常に異例な措置として、Windows 7、8.1、10向けにIntelのパッチを完全に無効化する帯域外(out-of-band)緊急セキュリティ更新プログラムをリリースしたのです。

Microsoftの修正プログラムをインストールする方法

残念ながら、新しいパッチはWindows Updateアプリ経由では配信されません。手動でインストールする必要があります。

まず「Microsoft Update Catalog」にアクセスし、Update for Windows(KB4078130)を探します。見つかったら[Download]ボタンをクリックしてください。

次に、表示された.EXEファイル(英数字の文字列名)をクリックします。

ファイルは非常に小さく、ダウンロードは数秒で完了します。ダウンロード後、EXEファイルをダブルクリックし、画面の指示に従って進めてください。

では、今後はどうなるのでしょうか?ここまで読んでいただければお気づきの通り、影響を受けたユーザーは結局、元の状態――無防備で危険にさらされた状態――へと戻ってしまったことになります。

今後数週間以内に、Intelがより信頼性の高いパッチをリリースすることを期待しましょう。それまでは様子を見るしかありません。

MeltdownとSpectreは本当に心配すべきか

不安になるのは無理もありません。コンピューターは文字通り、私たちの人生の鍵を握っているのですから。

しかし、事実に目を向けて冷静さを保つことも大切です。あなたがSpectre攻撃の被害者になる可能性は極めて低いと言えます。不確実な見返りのために、ハッカーが費やす必要のある時間と労力を考えれば、一般ユーザーは割に合わない標的なのです。

さらに、大手テック企業は2017年の半ば頃からこの2つの問題を把握していました。パッチを準備し、可能な限り最善の対応を行うための十分な時間があったということです。

こうした事実はあるものの、MeltdownとSpectreの脅威は依然として気になりますか?ぜひ下のコメント欄であなたの考えや意見をお聞かせください。