【IT】Intel CPUの「SGX」機能に新たな脆弱性、仮想マシンなどにも影響
■ このスレッドは過去ログ倉庫に格納されています
Intelなどのプロセッサに発覚した「Spectre」「Meltdown」と呼ばれる脆弱性に関連して、また新たな脆弱性が報告され、Intelが8月14日、セキュリティ情報を公開した。悪用されればセンシティブな情報が流出する恐れがあり、危険度は「高」と位置付けている。
今回の脆弱性は、SpectreやMeltdownと同様に、現代のプロセッサが実装している「投機的実行」の仕組みに関連するもので、Intelでは「L1 Terminal Fault（L1TF）」と命名、この問題を発見した研究者は「Foreshadow」と命名している。
Intelのセキュリティ情報によると、今回の脆弱性は同社の「Software Guard Extensions（SGX）」という機能をサポートしているマイクロプロセッサ製品が影響を受ける。さらに同社で詳しく調べた結果、他のマイクロプロセッサやOS、システム管理モード（SMM）、仮想化ソフトウェア（VMM）に影響を及ぼす可能性のある脆弱性が、さらに2件見つかった。
それぞれの脆弱性は、SGX関連の「CVE-2018-3615」、OS/SMM関連の「CVE-2018-3620」、およびVMM関連の「CVE-2018-3646」に分類されている。共通脆弱性評価システム（CVSS）での評価値は、最も高いCVE-2018-3615が7.9（最高値は10.0）、残る2件は7.1となっている。
これらの脆弱性を突かれた場合、悪質なアプリケーションを利用して、OSメモリや他のアプリケーションのデータが流出する恐れがある。また、VMM関連の脆弱性では、悪質なゲストVMを使ってVMMのメモリや他のゲストVMのメモリデータを流出させることが可能とされる。
今回の脆弱性を発見した研究チームによると、IntelのCPUに搭載されているSGXの機能は本来、システムがたとえ攻撃者に制御された場合でも、ユーザーのデータを守るためにある。ところが、そのSGXのプライバシー機能が逆に事態を悪化させており、「たった1台のSGXマシンが制御されただけで、SGXのエコシステム全体の信頼が損なわれる」と解説している。
IntelはOSやハイパーバイザーソフトウェアのベンダーなどと協力して、この問題への対策を講じると説明している。
2018年08月15日 10時00分
http://www.itmedia.co.jp/news/articles/1808/15/news037.html >IntelはOSやハイパーバイザーソフトウェアのベンダーなどと協力して、この問題への対策を講じると説明している。
対策もできてないのに発表しちゃったのかな？ 「大丈夫ですよ、〇〇ですから。」
〇〇に入る言葉を答えよ。 どうでもいい
こんなにネガキャンしてもインテル優位は変わらない
うちの会社（大企業）が最近買ったサーバーもインテル >>2
セキュリティ情報なら当たり前だ。
素人は黙ってろや。 レンタルサーバやクラウド使ってたら
ユーザー側では何もできんよね >>4
サーバープログラムと言いたいのか？
無能は略語の書き方一つとっても無能だな。
当然結論も馬鹿？で終わる。 >>14
そうだよ。
でもこの脆弱性なら手元にサーバあっても同じだよ。 ぷぎゃーーーーーーーーーーーーーーーーーーーーーーーー
全世代に渡ってダメダメだなｗｗｗオワコンインテル >>11
馬鹿？
セキュリティ情報がネガキャンとしか思えない知恵遅が来るスレじゃない。
馬鹿はおかえり。 もう鯖屋も顧客も諦めてるだろ 対策しようとしたら費用と時間が膨大すぎる >>17
ここまでくると投機的実行自体がどうなのという話だからね。
性能向上はせいぜい1割。
それなら機能取り外してクロック1割あげた方が良い。 投機的実行は結局無駄な処理が多く処理速度に全く貢献していなかった分野が動画エンコなど最もCPUを使う分野
さっさとこの命令セットをコンパイラから排除しちゃえば問題解決だろ もうIntelは投機実行とHyperthreadを止めて出荷すべき >>22
それやると性能だだ下がりで、仕方なく一時しのぎの緩和策を続けてる >>1
Intelオワッテル
仮想化がNGになると、データセンターとかクラウドで使用不可になるね。 >>2
対策ができてないのに発表しちゃったってことは
諦めろってことなんだろうな >>13
普通は対処してから発表
対策もできていないうちに発表するのは業界の慣例に反すると
インテルがGoogleにきれてたじゃん >>5
大丈夫ですよ、土坐ですから。
(こんなの一個増えても一緒だからね) >>29
spectre,meltdownは公開される半年前から内々で話はしてたらしいが、外部に漏れたので仕方なく公開した、のが実情らしい
一方そういう間を経ずに公開したのは、公開元がryzenfallと勝手に名前つけたAMDの脆弱性の方。こちらは攻撃難易度が非常に高く(現実的にはそれ脆弱性?ってレベルのもの)、AMDもすぐに修正すると発表して大した騒ぎもなく収束。
これは、発表した会社がAMDへの告知後間をおかず発表したが(当然AMD側はその行動を批難)が、これは株価操作の意図があると噂されてる ＡＭＤにもあるだろうけど、発覚したインテルCPUの脆弱性不具合によるセキュリティ被害や
性能低下は著しい。過去の製品にも及んでいるので被害を受けた購入者は莫大な数となる
だろう。インテルはそれ等に対応謝罪補償する事など不可能か。
罪滅ぼしとしてインテルは過去の該当欠陥ＣＰＵを積んだＭＢを店頭で革新的性能と低消費電力を
有する新製品とと安価で交換しろよ。これまで散々寡占的に儲けたからそれくらいするべき
ＡＭＤも不具合やカタログスペック詐欺を補償するべき 何回目の脆弱性だよWW
他に幾つもあるものの続報かと思えば新しいネタとかWW
もう要らないっすWW
既にあるものの情報や対処で手一杯なので追加は要らないっすWW >>2 それよなあ
ふつーは対処法や解決策を用意してから公開するよなあ >>11
焦ってi9だして爆熱ゴミだったのはどこのCPUだっけ？
プークスクス >>11
おまえの会社教えれ
将来危険になるからな
どうせ富士通とかそんなところだろう
税金が無ければ何もできないゾンビ会社だ
>>1
個人にはあまり関係ないが
クラウド事業やってる外資系IT大企業にとっては死活問題だろう
アマゾンとかGoogleとかきつそう これ結構洒落にならんやろ
今はもう仮想環境つくるのがデフォやろ うちの会社だとC3Nehemiahにバックドア用チップが実装されてた事の方が大ショック
社内でも「うぉぉ」ちと右往左往したがローカルな機械制御だし「まぁいっか」で終了 すでにインテルは5月に対策済みだよ
https://pc.watch.impress.co.jp/docs/news/1138099.html
IntelはすでにOSベンダーやシステム製造者と連携を取り、ファームウェアやソフトウェアのアップデートによってこの問題を回避するとしているが、Intelは5月より提供していたMicrocodeのアップデートで対策済み。 つまり、本当に不味いのは
すでに修正対処済みのインテルではなく、
この問題の影響をインテルと同じように受けてる可能性が非常に高く、しかも対処したとも明言できていないAMDやARMのほうなんだよ
それがこのニュース >>45
SGX機能とかいう安全性を装った
脆弱性機能を搭載してるのは
インテルだけですよ >>1
SGXって、４Ｋブルーレイのコピー保護機能だっけ？ >>47
ARM「ウチのトラステットゾーンもこの前脆弱性報告されてるけどな」 >>48
著作権保護とかも含めて、CPUの中に論理的に独立した別CPUを持たせて
よりセキュリティが重要な処理はそちらに行わせるという機能
同様の機能としてARMならTrustedZoneとかがある
さあてインテルはすでに対応済みだけど、
ARMとかインテル以外の企業は大丈夫ですかねー棒ってのが現状 クラウド事業者顔面ブルーレイｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗ Androidエミュレータ使ってるんだよ、VMがこれ以上遅くなるのは勘弁
>>44
対策がそのマイクロコードで十分だとは、インテルのリリースのどこにも書いてなかったのが。。。 次替えるときは本当にRyzenになりそうだ
intelガバガバすぎぃ すでにIntelが修正済みの話なのに必死に騒ぐアホがいるな >>40
これが原因で顧客データが破損、流出したら損害賠償の支払いで会社潰れる。 >>50
インテルは手抜きの論理実装だから
脆弱性として利用されるんだよ 調べてみたら今はAMDとサムスンが提携してるんだな
キチガイじみたアンチIntelどもが暴れてる理由が完全に判明 Microcodeアップデートを適用すれば良いらしいが、そのアップデートの影響をまだ検証してないので、
暫くは適用できない。
何処の企業もそんな感じだわ。 安心がウリとかでクラウド移行したら
えらい目に合ったみたいな・・・・・・・・・・・ >>63
最近のMSのｱｯﾌﾟﾃﾞｰﾄちょっと不具合多くないですか？ 前回のMicrocodeアップデートはバグがあって状況悪化したからな。
半年前だからまだ覚えてるぞ。 >>65
昔からあったけど、ここ2年くらいはミスが増えてるなぁ。 >>62
インテル信者が暴れる理由はこれだね
根本的に脆弱性は残ったまま
緩和しか出来ない
インテルも新しく発売するCPUで
対応すると述べている
https://japan.zdnet.com/amp/article/35124043/
ただしIntelは、これらの問題を根本的に解決するには、
プロセッサを最新のものと交換する必要があると認めている。
「これらの修正は、次世代の『Intel Xeon Scalable』プロセッサ（コードネームCascade Lake）や、
2018年中に発売が予定されている新型のクライアント用プロセッサから適用される」と同社は述べている。 >>44
2月版は大騒ぎだった+WinUPDateでも配られたので大体適用されてるが
5月版配ってるとこ、ほとんどねーよな ＿＿＿
,､＝''￣:::::::::::::::::￣ﾞ'''ヽ、
／::::::::::::::::::::::::::::::::::::::::::::::::::＼
/:::::_,_､:::::::＞‐?､:::::::::::::::::::::::::::::
/::::／~ヾ,}::::j| ｡ ｝::::::::::::::::::::::::
l::::/|_ ﾟ ,.>ｰ､ゞー≠￣ヽ::::::::::::::
|::/ ヾ≦ﾍ,_ノヽ ＼:::::
|Ｙ l| ヽ
|ﾉ〆 l| ｰ* | あんなこといいな
/| ／ l| ｰ* |
l / r ｣{, ヽ | できたらいいな
l, ﾍ_ _,,＞ｰ＝､_ / /
∧ ｀Σ,,､?‐─ﾞゝ=´ / おまえらｲﾝﾃﾙ信者の妄想は
ﾍ ==＝一 ノ
∧ ノ そんなのばっかりなんだよ
＼≧≡＝ﾆー ノ >>40
>アマゾンとかGoogleとかきつそう
どちらも対策済みと発表しとる >>13
普通ならメーカーに報告した後1ヶ月は世間に公表しないのが当たり前
素人は黙ってろ viaもホールあったみたいね_(:3」∠)_
そのうち他所もホール見つかるのかね >>32
お前さんのレスって、伝聞と憶測だけで情報ゼロなのなww >>33
AMDのCPUは市中に出回ってる絶対数が少ないから、検証も修正も誰もやってくれない感じだね >>77
いや、少なくともGoogleは突破無理ってさじ投げただろ。 田村連呼キチガイのバカチョンDTがAAでファビョってるなｗ
バカすぎてバレバレの自演しかできねえのｗ >>78
市場でクソマイナー、必死に検証してもニュースにもならないAMDのことにはGoogleだってカネはかけないと気づけよ
それとも人間社会におけるカネの流れすら理解してない幼稚園児か？
それなら黙ってろよ intelは金かけてAMDの穴を探してるけど見つかってないよ
出来たのはダミー会社を使ったでっち上げだけ >>76
インテルのは半年放置、AMDの方は発表したセキュリティ会社の代表が全くの素人で業界の闇 >>81
金じゃなくて時間だよ
インテルより時間かけても突破できなかった >>44
対策つ〜ても緩和策でしかないよ
分かってんの？ >>86
前提知識
インテルはイスラエルと提携してます
トーバルズ氏、AMD製プロセッサの脆弱性に関するCTS Labsの主張を一蹴
https://japan.cnet.com/article/35116259/
CTS Labsはイスラエルのテルアビブに本社を置く、
これまであまり知られていなかった企業だ。
Torvalds氏は以下のように記している。
「『BIOSや、CPUのマイクロコードが邪悪なものに変更された場合に、
セキュリティ上の問題が発生する可能性がある』
などと読めるセキュリティアドバイザリなど今までにあっただろうか？
そういうことだ」（Torvalds氏）
CTS Labsはインタビューで、「1日を待たずして（とりあえず）公開した」と主張している。
これはTorvalds氏によると、
「私にはセキュリティアドバイザリというよりも株価操作に見える」という。
米インテル、イスラエルに1兆円追加投資か 同国の経済大臣が明かす 自動運転開発強化へ
https://jidounten-lab.com/v_3773 _(:3」∠)_どうせいつも通り個人ユーザーは気にしなくていいか、気にしてもしょうがないやつなんでしょ
狂喜乱舞してるのはAMDファンボーイだけっていう PCではまあそんなに気にしないけど
AWSとかでは怖おなと思っちゃう クラウドサーバーとかのシェアはintelが9割超だからなぁ
個人ユーザー側がAMD使えば大丈夫みたいに言ってるやつらいるけども
個人ユーザーがAMD使おうが何も意味ないしな(´・ω・｀) IntelがAMDを陥れるのにCTSを使ってトヨタを陥れたカラクリを応用したそうだが、
あれだってかなり金かけないとダメだろ ここでヒントです
AMDとサムスンは提携しています 業務用クラウドにIntelはもう無理
サイバーエージェントが「AMD EPYC」搭載サーバーを採用、インターネットサービスの将来的なインフラ構築に備え
https://cloud.watch.impress.co.jp/docs/news/1135159.html AMDのeypcにセキュリティホール見つかったりせんやろな データセンターの演算能力について言うならＩｎｔｅｌもＡＭＤも、Nvidiaに負けてる 可能性なら全ての事柄にある
だから世の中の話は起こってから考えるものだ
可能性だけで対策や議論するのは自分が直接関わる仕事だけでええんやで
それ以外で「〜の可能性があるやろ？」とか人生の無駄遣いやでー
人生は短いし、人は弱いものや
考えなくても良いもの、接しなくて良い部分は他人に任せて自分は楽しく生きたらええねん
良い意味でのお花畑で生きていくのが長生きのコツやでー
それにしてもIntelがこれらの問題に対して修正パッチどころか情報を出さないのが気になる
次の新製品は修正しているんやろうとは思うが、
既存のCPUなどで個別にどのような影響があるのかのリストくらい作ってもええのにな
ぼろ儲けしているくせに、こういうことには金を惜しむところは残念やわ ハッカーにマシンログインされるとこの脆弱性つかれるけどなんとかならんかていう問い合わせが殺到してるんだろうな。 >>98
CPUとGPGPUはスカラー型とベクター型みたいなもんで用途がちがう >>69
これ2018年内に本当に発売されるのか？ インテルがセキュリティパッチの影響示すベンチマーク公表禁止に？
https://japan.zdnet.com/article/35124534/
Intelが新たに公開したCPUの脆弱性パッチ、ライセンスにベンチマーク結果の公表を禁止する条項が含まれており騒動に
https://security.srad.jp/story/18/08/27/0555219/ ■ このスレッドは過去ログ倉庫に格納されています
