CloudflareがリモートSpectre攻撃に成功、Workersから機密情報を最大12bit/秒で読み出す

この記事についての感想

マジで震える話が飛び込んできたな。CloudflareのWorkersっていう、エッジコンピューティングの要みたいなプラットフォームがSpectre攻撃で抜かれたって聞いて、界隈がざわついてる。しかも最大12bit/秒っていう数値、一見すると地味だけど、暗号鍵みたいな機密情報を盗むには十分すぎるってのが恐ろしいところだよな。サイドチャネル攻撃ってのは本当にタチが悪くて、CPUの設計上の欠陥を突いてくるわけだから、ソフト側でどうこうするのにも限界がある。最近だとブラウザ側での対策もかなり進んでると思ってたけど、サーバーサイドでこれがやられるとマジで詰む。クラウドは安全神話があるけど、結局は物理的なハードウェアの上に成り立ってるわけで、この手の脆弱性はもう防ぎようがないんじゃないかとさえ思えてくるよね。昔あったL1TFとかの騒ぎを思い出したよ。クラウド事業者もこの攻撃に対して分離技術とかで対抗はしてるはずなんだけど、いたちごっこだわ。12bit/秒っていう数字、テキストなら数分で抜き出せるレベルだし、これがバックグラウンドでコソコソ動いてたら誰も気づけない。セキュリティエンジニアは毎日頭抱えてるだろうな。結局、ゼロトラストもインフラが抜かれたら終わりって話だし、今後この手のハードウェア起因の脆弱性がどうなるのか、本当に気が気じゃないよ。ベンダーの対応を待つしかないのがまたもどかしいわ。お疲れ様です、って言いたくなるね。