Ryzenの脆弱性の早すぎる発表はなぜ行われたのか?公開日:2018/03/21TweetPocket日本時間の2018年3月14日にAMDのRyzenシリーズに深刻な脆弱性があると報道されました。AMDに修正する時間を与えずに脆弱性の内容が公開されるなど、過去の脆弱性とは異なる様相を見せています。そこで、脆弱性に関する疑問点を調べてみました。今回報告された脆弱性の概要動画はYoutubeに上がっています。Labsが作成したものです。脆弱性は以下の4つです。MASTERKEY(マスターキー)RYZENFALL(ライゼンフォール)FALLOUT(フォールアウト)CHIMERA(キメラ)この記事で取り上げたいのは脆弱性が発表されるまでの経緯なので、脆弱性そのもののについては簡単に説明します。Paperに脆弱性の内容をまとめているので、そちらの内容を表にまとめました。ローカル管理者権限が必要これらの脆弱性に対する対応策は、基本的にはPCを常に最新状態に更新しておく事です。それで完全に防げるとは限りませんが、ほぼそれだけで防げるでしょう。過去に報告されてきた脆弱性と比較して変だと思いませんか?前提条件としてローカル管理者権限が必要になる点です。過去の脆弱性は、管理者ではないユーザーにより盗聴、改ざんなどが出来てしまうものがほとんどです。管理者は万能なユーザーではありませんが、元々かなりの事が出来ます。同じPC内であれば、他のユーザーの情報を盗み見ることなどは簡単に出来てしまいます。ローカル管理者と言うことは、基本的に直接そのPCを操作できる人物なので、それは既にそのPCが乗っ取られていることが前提なのではないかと思えます。Paperの2ページ目に首をかしげてしまう以下の記述があります。principles.””これらの脆弱性のいくつかの基本的な性質は、基本的なセキュリティ原則を完全に無視したものであると考えています。”「ちょっと何言ってるか分からない」状態なのですが、今回の件を調べれば調べるほど変な点が多いので、以降でその点について解説して行きます。何が変なのか?今回の件で変だと思う点を挙げてみます。Labsは急ごしらえの会社の可能性が高い脆弱性の概要とインタビューの動画が一般公開時に既に存在している海外の記事や私が気付いたことなどを元に挙げてみました。以降で詳しく説明します。脆弱性の内容が一般に公開される場合、通常は最大90日間の猶予が与えられます。責任対象の企業や開発者が修正方法の検討や対策を講じるためです。LabsがAMDに報告後、24時間未満で一般公開してしまっています。これは、2018年初めに一般公開されてしまったMeltdown(Intel製CPUの脆弱性)の時とは大きく状況が異なります。この時はPython関連のブログ記事をきっかけとして報道されてしまったのですが、それでもMeltdownが発見されたのは2017年7月のことなので、90日どころか倍の180日間もの猶予があったのです。早すぎる公開は、AMDに調査も修正する時間も与えないためとしか考えられません。実際にAMDもかなり戸惑ったようで、当初出した声明には以下のような文章があります。Labs)についてAMDは把握しておらず、セキュリティ企業がメーカーに調査と解決のための準備期間を与えず、報道機関に公開することは珍しいことです。Labsの言い分(公開書簡)は以下のようなものです。長いので箇条書きでまとめました。90日ルールは深刻な問題を抱えている。90日の間に顧客に警告したい場合、ベンダー任せになる。時間内に修正できない場合、顧客を危険にさらし、悪用される可能性がある。0日目に一般公開し、ベンダーに圧力をかけたほうが良い。脆弱性が修正されない限り、詳細な技術情報を公開すべきではない。Labsは回答していません。Paperに目を通した時、技術的な詳細が全く書かれてないことに驚きました。Paperを以前読んだのですが、再現環境や脆弱性を引き起こすソースコードの例などが書かれていました。Paperではそれが無いのです。Guido氏がその存在を肯定しています。Labsから技術詳細を含む報告書を受け取り、脆弱性が存在していることをツイートで明かしています。技術詳細を含む報告書はAMDだけでなくMicrosoftなども受け取っており、今のところ脆弱性を否定する声明は出ていないため、その存在自体は本物のようです。Labsから依頼があったためです。CERT(コンピューターセキュリティ対応組織)に報告することを推奨する」と返答したそうですが、少なくとも前者は守られていません(CERTの方は不明)。Paperでは基本的にどの脆弱性も有効な軽減策は示されていません。あっても「不正なBIOSのアップデートを防ぐ」、「既知の軽減策はない」、「(チップの)リコールの可能性がある」などの軽減策にならないようなものがほとんどです。Labs単独で調査をしているので、有効な軽減策が示せるはずがありません。まともな軽減策を示す気がなかったように見えます。脆弱性の名前を日本語に翻訳してみました。注目したいのは”FALLOUT”です。”FALLOUT”という言葉は、核戦争後を舞台とするビデオゲームのFalloutシリーズで有名だと思います。out”と空白が入ると「外に落ちる」、「仲違いする」などの意味になります。正しい訳だと思われます。これは私の想像になりますが、Intel製CPUの脆弱性であるMeltdownと対比するために付けたのではないでしょうか。Meltdownの日本語訳は「原子炉の炉心融解」です。名前に適する内容ではないように思えます。out”の方の意味でもピンときません。そもそも、今回の脆弱性の名前からネーミングセンスは一切感じられません。”RYZENFALL”にしてもそうです。私が知る限り、脆弱性の名前に企業や製品の名前を冠するものはなかったはずです。Meltdownの名前には「プログラムとOSの本来あるべき境界が消え、甚大な被害をもたらすから」と言う命名理由が存在します。今回見つかった脆弱性にその様な命名理由が存在したのでしょうか。私にはさっぱり分かりません。Labsはサイバーセキュリティの調査やコンサルタントを行うイスラエルの企業です。実はこの企業はペーパーカンパニーではないかと言う疑惑があります。Labsのホームページこのホームページが現在のデザインで作られたのは2018年1月17日以降のことです(WayBackMachineで確認)。少なくとも2017年には存在しなかったようです。Labsは今回の脆弱性に関するインタビュー動画をYoutubeに上げています。ここでもある疑問点がソーシャルブックマークサイトであるredditで取り上げられています。それは、オフィスの映像がクロマキー合成で作られているている点です。Flawsのインタビュー動画内のオフィスと合成元画像の比較オフィスの見栄えをよく見せたかったと言うことも出来ますが、オフィス自体が本当に存在するのか疑わしくなってしまいます。セキュリティを扱う企業なのにホームページはHTTPSではなくHTTPです。これは非常に細かい指摘ですが、セキュリティを軽視しているように見えてしまいます。そこまで頭が回らなかったのか、HTTPSにお金をかけたくなかったのか、どちらでしょうか。動画が存在?脆弱性が公開された時点で概要動画とインタビュー動画が存在することがそもそも変です。少なくとも過去に動画を準備して一般公開した脆弱性はなかったはずです。脆弱性を発見する研究者の仕事は、一般向けに分かりやすく説明することが仕事ではないからです。分かりやすく説明する仕事は主にITジャーナリストの仕事です。文章で説明するまでなら研究者も行うかもしれませんが、動画まで作ってしまうのは何らかの意図があるとしか思えません。先ほど紹介したインタビュー動画では、わざわざ防衛機関や病院、銀行などを例に上げ、今回の脆弱性の影響範囲と深刻さを語っています。Labsの動画も今回の脆弱性に関する2件だけです。Labs自身を紹介する動画など他には存在しないのでしょうか。早すぎる発表は功名心のため?当初、この脆弱性の公表はAMDの評価を下げる事が目的だろうと考えていました。確かにそれが一番可能性が高いです。私には功名心にはやった者達の暴走と言う気がしてきました。公開書簡の中で今回の脆弱性を見つけた経緯が書かれています。順番に並べると次の様になります。PCを購入して調べてみようASMediaチップ経由でAMDチップセットがフルコントロール出来たもっとAMDについて調べてみようRyzenの脆弱性を次々発見まず、ASMedia製チップにバックドアを見つけた時に報告しておけと突っ込みたくなります。しておけば、被害を最小限に食い止められていたかもしれません。今回の脆弱性はRyzenを狙い撃ちにしたものにしか見えませんでしたが、この経緯を知ると初めから狙い撃ちにしていたのですから当然です。たちの手柄を「どうだすごいだろう」と見せびらかすため、企業の体裁を整え、立派なオフィス画像を背景に動画も作り、華々しく公開しようと考えたのかもしれません。そのためには90日ルールは邪魔だったのです。脆弱性の名前に対する悪意以外はこれで説明が付きます。Intelの陰謀だとか、株価操作が目的だとか色々と騒がれていますが、意外とこの予想が当たっているのかもしれません。01:34この件に関して、以下のサイトに目を通されては如何でしょうか。参考になるかと思います。紹介していただいたサイトはどれも2次情報です。下手すると3次情報です。率直に言って何が参考になると仰っているのか分かりません。何を意図されてのコメントでしょうか。17:33紹介させて頂いたサイトに、AMDからの正式なコメントのページへのリンクがあるのですがお気付きにはなられていなかったでしょうか?そのため書き込みをさせていただいたのですが、お気に障ったのでしたら申し訳ありませんでした。18:10AMDの正式なコメントとは、記事で触れた声明とは違うものでしょうか。サイト名だけ示されてもどのページのことを仰っているのか分かりません。具体的にURLを教えてもらえませんか。Labsが発見した脆弱性に対し、パッチ提供を決定」という記事があります。そこにAMDが開設しているコミュニティサイトへのリンクがあり、https://community.amd.com/community/amd-corporate/blog/2018/03/21/initial-amd-technical-assessment-of-cts-labs-research(直接のリンクを避ける為、先頭だけ全角にしています。)バイスプレジデントのペーパーマスター氏がCTSへの手短なコメント、第三者機関による脆弱性の検証と問題の説明や今後の対応についての投稿をされています。問題点を見て頂けるとお分かりいただけると思うのですが、「ハッキングが完了しているシステムでハッカーは何ができるのか」という事が書かれています。AMDのみならず、全てのシステムで起こりうる事であり、脆弱性とは言わないものです。IntelのMeltdownに準えた表現をしただけのもので、功名心に駆られてというのは当てはまらないでしょう。CTSのHPには免責事項のリンクが存在しているのですが、その一文にこう記されています。「当社の報告書の対象となる会社の証券の業績に直接または間接的に経済的利益を有する可能性があることをご承知おきください。」(訳が間違っていたら申し訳ありません)。通常、セキュリティリサーチ会社がこのような事を記載する事はありません。今回の件については、貴方が例示されているCTSの公開書簡の脆弱性発見の経緯の3番目を見た時点で、「あ~あ。自分で種明かししてるよ...。」とハードウェアの情報に目を通している方達は気付いていたでしょう。ASmediaがプレスリリースでAMDと次世代チップセット開発で協業すると発表済みだったのですから。アウトソーシングも何も、製造を担当しているわけですし。AMDとしては、セキュリティを受け持つARMコアのファームウェアバグの発見には繋がったので、感謝には違いないと言ったところでしょうか。ここまでにしておきましょうか。ハードウェアの情報に触れる機会を増やしていただける切っ掛けになればと書き込んでみたものの、御不興を買ってしまうようでは続けるわけにもいきません。今後は、必要な情報の閲覧をさせていただくだけに留めておきます。お目汚し、大変失礼致しました。10:41ご指摘はもっともなものだと思いますが、それならば結論が間違っていると最初から書いて頂けないでしょうか。最初のコメントでそれを察しろと言うのは無理があります。Labsの免責事項の1文の件は知ってはいました。株価操作が目的として一番有力であることも分かっています。株価操作と疑われる内容を一切書いてないのはフェアでなかったと言えます。他と同じ結論に持っていきたくないなと言う考えもあり差別化のためもあり、ひねった結論にした次第です。Researchなどが裏で繋がっているのではないかと言うのも状況証拠の積み重ねでしかありません。自分としては「こういう見方もある」と一つの見解を示したに過ぎません。今後の調査や報道により真相が明確になれば記事を更新することも考えますが、うやむやで終わるのであればそのままにするつもりです。付いている欄は必須項目です。書き込まれた内容は確認後にメールアドレス以外を公開します。本名など身元の分かる情報を書かないようにお願いします。yokiLinux系システムが得意分野の個人SEです。このブログでは主に趣味的な内容を扱っていきます。