「Meltdown」と「Spectre」という2つのセキュリティ脆弱性

年明け早々、『⁠The Register』の記事「Kernel-memory-leaking Intel processor design flaw forces Linux, Windows redesign」が公開され、世界中で大きな騒ぎになりました。このままいけば2018年最大のセキュリティ脆弱性として歴史に残ることになりそうです。報道が広がる段階では説明に食い違いがありましたが、後に関連機関やベンダからより詳しい説明が公開され、執筆段階では「Meltdown」と「Spectre」という2つのセキュリティ脆弱性が存在することが明らかにされています。

*BSDプロジェクトからファーストリアクションが出てきたので、ここで紹介します。今回のインシデントは現在進行中ですので、今後新しい情報が発表されたタイミングで随時取りあげようと思います。

FreeBSDプロジェクトは「FreeBSD News Flash」において、2017年12月後半に今回の問題を認識したこと、現在攻撃を軽減するためにCPUベンダや公開された情報などをベースに作業に取り組んでいることを伝えています。パッチの提供がいつになるのかは今のところ不透明としています。

OpenBSDでは「Meltdown, aka "Dear Intel, you suck"｜openbsd-misc」などが状況を伝えています。特定の開発者たちで今回の問題にどう取り組むかを検討していると説明があります。OpenBSDとして非公開の情報などは受けておらず、現在一般公開されている情報のみで作業をしていることを伝えています。

DragonFly BSDはすでにMeltdownの脆弱性に対応するパッチをマスターにコミットしたと「Intel Meltdown bug mitigation in master｜users - DragonFly」で伝えています。コンパイル関連やユーティリティなどいくつかのプログラムは5%ほどの性能低下で済むようですが、データベースや仮想化、高速ストレージ操作、高速ネットワーク操作などシステムコールや割込を多用するプログラムでは10%から30%ほどのパフォーマンス低下が発生するだろうと説明しています。これら性能低下率とオペレーションの種類は事前に発表されていた内容とほぼ同じです。

こちらの真偽は不明ですが、2007年6月にOpenBSDのメーリングリストに投函されたTheo de Raadt氏のメール「Intel Core 2｜openbsd-misc」がすでに今回のIntelの脆弱性を指摘しているとする向きもあります。このあたりは今後OpenBSDプロジェクトからの発表があれば随時取りあげたいと思います。

MeltdownはIntelプロセッサだけに影響しオペレーティングシステム側での対処で回避可能とされていますが、DragonFly BSDのメーリングリストにMatthew Dillon氏が投函したメールにはいくつかのARMプロセッサもこの脆弱性の影響を受けるだろうとの指摘があります。どのプロセッサがどの脆弱性の影響を受けるのかといった情報も今後随時発表されるだろうと思いますので、*BSDの動きと合わせて取りあげていきたいと思います。

今回のプロセッサ脆弱性は影響範囲がきわめて広く、さらに問題を解決することでパフォーマンスが低下するという特徴を持っています（Meltdownの話です。Spectreは方はどうしていくのかまだわからない状況です⁠）⁠。今後も継続して話題になり続けることになると思いますので、状況の進展に合わせて取り上げていこうと思います。

FreeBSD勉強会

2018年2月8日（木）19：00～ 第68回カーネルソースコードを読んでみよう！（ヴァル研 セミナールーム）

なにげなく使っているオペレーティングシステムですが、その中身を読むことというのはあんまりないのではないでしょうか。そもそもどこから読めばよいかわからない、そんな方が多いんじゃないかと思います。今回のFreeBSD勉強会では、読みやすそうなところをみつくろって、とりあえずカーネルのソースコードを読んでみよう、というのをやってみようと思います。

本勉強会への参加者には抽選か勝ち抜きかでデーモンTシャツなどのグッズをお渡しします :)

参加登録はこちらから

FreeBSD勉強会 発表者募集

FreeBSD勉強会では発表者を募集しています。FreeBSDに関して発表を行いたい場合、@daichigotoまでメッセージをお願いします。30分～1時間ほどの発表資料を作成していただき発表をお願いできればと思います。