ニュースでセキュリティの問題を取り上げられると、不安になりますよね。
今回は、「CPUの脆弱性」に対して、どうすればよいか？について説明します。
1. CPUの脆弱性とは
こんな質問がありました。
NECのノートパソコンを使っていますが、CPUはIntelです。
一昨年ぐらいにIntelのCPUに脆弱性があるというニュースがありましたが、WindowsUpdateだけで大丈夫ですか？
Intelに限りませんが、CPUの脆弱性は何度も見つかっています。
少し前のニュースですが……
2018年の年明け早々からCPUの脆弱性「Spectre」と「Meltdown」が公開され、話題となりました。「Spectre」と「Meltdown」の脆弱性は、（…）ハードウェアレベルの脆弱性で、（…）メディアなどでも大きく取り上げられ世間を騒がせることとなりました。
これらの脆弱性は、CPUの高速化手法である「投機的実行(speculative execution)」と「アウトオブオーダー実行(out-of-orderexecution)」の機能に存在していました。
CPUの脆弱性「Spectre（スペクター）」と「Meltdown（メルトダウン）」
CPUは日進月歩で高速化されていますが、その手法の中には「脆弱性」の原因になってしまうものがあります。
高速化と脆弱性は表裏一体
1-1. キャッシュとセキュリティ
コンピュータのプログラムには様々な部分に「キャッシュ」という仕組みが使われています。
「キャッシュ」というのは「メモ」のことです。
頻繁にアクセスするデータをメモリに一時的に残すことで、メモリアクセスの時間を減らす仕組みです。
日常生活でも、何度かかける電話番号については、毎回電話帳をくるのは大変で、手近な紙にメモしたりしますよね。
しかし、キャッシュされたデータは、意図しないプログラムに見られるリスクもつきものです。
通常は、アクセスできないように設計されていますが、特殊な条件でアクセスされてしまうことがあり、これが「セキュリティ・ホール」になるわけです。
メモと一緒で、書き残すと便利だけど、人に見られる危険もあるわけです
1-2. 個人利用で影響はあるの？
セキュリティの問題を考える時に、個人利用か企業利用なのか、というのは重要です。
大企業や政府などは、不正アクセスの標的として狙われやすいので、より厳重なセキュリティが必要です。
それに対して、個人の場合は、ある程度セキュリティをしておけば被害にあうことはまれです。
これは、銀行なら強盗対策として十分警備する必要があるのに対して、個人宅なら空き巣に狙われない程度に用心しておけばよい、ということと一緒です。
セキュリティホールがあっても、すぐに「被害」につながるわけでもないのです。
個人利用でセキュリティホールが「被害」になるには、２つの条件が重なった場合です。
キャッシュの脆弱性が被害につながるのは、「本来暗号化されるパスワードがCPUに一時的に残ってしまい」、悪意のあるプログラムに読み取られてしまったというケースです。
CPUの問題があっても、それを悪用するプログラムが動いていない限りは大丈夫なので、一般的なセキュリティ対策は十分有効です。
2. CPUの問題に対する対策は？
まず、一般的な対処法としては、Windows Updateがあります。
基本システム（OS）を最新の状態にすることは、セキュリティ面でも意味があります。
OSは、CPUの問題を回避するために、ある程度 キャッシュを無効にします。それで「通常の使い方」では、セキュリティにアクセスできないようにします。
でも、それだけで大丈夫なのか不安になります。
2-1. Intelのサイトで何かDLする必要があるのか？
Intelのサイトを見ると、対応情報もありますが、一般のユーザーが利用するのは大変です。英語で書かれていますし。
このような一次情報は、パソコンメーカーがまとめて管理してくれます。ですので、一般のユーザーはメーカーの更新情報を確認するので十分です。
例えば、NECでもアップデート情報を提供しています。
2-2. メーカーのアップデート情報
メーカーによるアップデートは、大きく分けて２種類あります。
プリインストールというのは、パソコンに最初から入っているプログラムのことです。とくに国産メーカーのパソコンの場合は、たくさんのプログラムがプリインストールされています。
これらのプログラムはメーカーが責任を持って更新・修正してくれますが、利用していないのであれば、基本的には放置しても問題ありません。
安全に使う上で重要なのは、ハードウェア・ファームウェアの修正の方です。
2-3. ハードウェアの問題の場合
「ハードウェア」は機械部分のことです。
機械的な不具合は、修理に出さないと直りません。例えば、以前にはバッテリーの不具合が見つかって、回収されたことがあります。
こうした不具合はどのメーカーでも起こりえます。
2-4. ファームウェアを修正する場合
もう一つは、ファームウェアの修正です。
「ファームウェア」というのは、「ハードウェアを制御するためのソフトウェア」です。
機械に一番近いプログラムですね。
ファームウェア（firmware）の”firm”というのは、「堅い」という意味です。
ハード（hard：硬い）とソフト（soft：柔らかい）の中間にあるイメージです。
機械部品の問題のある動作は、「ファームウェア」の修正で対応します。
3. BIOSのアップデートの効果とリスク
ファームウェアの更新で一番メインになるのは、BIOS（バイオス）のアップデートです。
これも、「キャッシュ」を利用するのを控えることで、セキュリティの問題を減らします。
BIOSは、「基本入出力システム（Basic Input/Output System）」という意味で、Windowsの読み込みや機器の入出力（Input/Output）の細かい動作をプログラムしています。
BIOSの変更はうまくいかないと、パソコンそのものが起動できなくなります。
そのため、通常は問題がなければBIOSアップデートはしません。
とはいえ、今回のようなセキュリティの更新は念のためにするようにしています
（仮に放置しても「実害」はほとんどないとは思いますが……）。
なるべく慎重にするので、アップデートの発表されてから、１週間ほど様子をみてから実行しますね。
発表直後は初期不具合が見つかることがあるからです。
BIOSのアップデートするときは、途中で電源が切れないようにだけ気をつけます。
BIOSの書き換えに失敗するとパソコン起動できなくなります。
事前にバックアップをするなど、十分、注意してやってみてくださいね。
