パッチを当てるな、だと!? – CPU の脆弱性問題 –


■パッチを当てるな、だと!? – CPU の脆弱性問題 –

すぐに沈静化するかと思っていた、CPU の脆弱性、

Meltdown と Spectre

の話。

私自身、

CPU の脆弱性問題 – 各社の対応状況 –

では、

「結局各社がパッチを配信し次第ちゃんと適用しましょう」

と述べた。

この考え方自体は、今もって間違ってはいないと思っている。

何といってもセキュリティ対策の基本中の基本だし。

が、ITmedia でこんな記事が掲載されていた。

脆弱性対策パッチの導入中止を――「リブート問題」でIntelが呼び掛け
http://www.itmedia.co.jp/enterprise/articles/1801/23/news057.html

記事によれば、Intel が提供したパッチに対し、Intel 自身が、

「パッチを当てると再起動が頻発してしまうので当てるな」

と言っている、ということらしい。

実際、

パッチを当てると再起動が結構な頻度で発生する、

という現象は色んな所で報告されている模様。

現在、Intel では再度検証をした上でパッチを再配信する予定とのこと。

ということで、必要な人は、再配信を待ってパッチを当てた方が良さそう。



ただ、今回の問題、個人的には非常に難しい問題だと感じている。

それほど深刻ではない脆弱性であれば、

1. パッチを作る
2. 脆弱性を潰せたことを確認する
3. その他製品の動作として影響がないことを確認する
4. 問題なければ配信する

という流れで対応すればよいのだと思う。

一方、今回の脆弱性は、

・ほとんどの CPU が影響するため、影響範囲が大きい
・機密データを盗まれてしまう恐れがある

ということで、至急対応が必要な状態。

そうすると、まずは防げる状態を作ることが優先され、

上で書いた 3 に当たる、製品としての動作確認、は

どうしても後回しにせざるを得ない。
*でないと被害がどんどん拡大しかねないため。

それで製品がうまく動いてくれればよいのだが、

今回に関しては、

再起動の頻発、

という別の問題を引き起こしてしまった、ということのようだ。

ちなみに、

CPU の脆弱性問題 – 各社の対応状況 –

にも記載したが、Microsoft の初期パッチも、

・特定のセキュリティソフトが入っている場合、ブルースクリーン化する

というような問題を起こしている。

いちユーザーとしては、

「おいおい、ちゃんとしたの配信してくれよー。」

と思うが、企業に勤める人間としては、

「あー、リスクが健在化してしまったなー。」

とも思う。

顧客(ユーザー)の安全性確保を迅速にやろうとした結果、

顧客に別の迷惑をかけることになってしまっている。

が、別の迷惑をかけないようにしっかり確認しようとすると、

どうしても時間がかかるため、本来の安全確保が遅くなる。

こういうの、どうするのがもっとも適切なのだろうか?

ある程度基準を決めてやるしかないんだけれど、

どういう基準だったら適切なのかなぁ。

いずれにせよ、速く修正して頂きたいのはやまやま。

ユーザーとしては、やはり、

・適切なパッチが配信されたら当てる

をやっていくしかないか。




Copyright (c) 2017 Webmaster of this site All Rights Reserved.
カテゴリー: ブログ タグ: , パーマリンク

コメントを残す

メールアドレスが公開されることはありません。

This site uses Akismet to reduce spam. Learn how your comment data is processed.