マイクロアーキ・サイドチャネルの原理 ─ Spectre/Meltdown系

投機実行が「痕跡」を残すという根本問題

現代CPUはアウトオブオーダ実行と分岐予測を使い、分岐の結末を待たずに先へ進みます。予測を外せば誤った経路で実行した命令を破棄し、レジスタやメモリといったアーキテクチャ状態を巻き戻します。プログラムから見れば、投機は「なかったこと」になる――はずでした。

問題は、巻き戻されるのはアーキ状態だけで、マイクロアーキ状態は戻らない点にあります。投機中にあるアドレスへロードすれば、そのデータはキャッシュに載ったままです。命令自体は破棄されても、「どこに触れたか」というキャッシュの占有状態は痕跡として残ります。攻撃者はこの残留を計測し、本来読めないはずの値を間接的に復元します。これがマイクロアーキ・サイドチャネルの核心です。

痕跡を読む ── Flush+Reload と Prime+Probe

漏れた秘密は、まず秘密値に応じて異なるキャッシュラインへアクセスさせる「符号化」を経て、キャッシュの状態差として残ります。これを復元する代表手法が次の2つです。

いずれも「キャッシュヒットは速く、ミスは遅い」という計測可能な時間差を、秘密の1ビット1ビットに翻訳する装置です。Flush+Reload は共有メモリが要る代わりに精度が高く、Prime+Probe は共有を前提とせず適用範囲が広いという住み分けがあります。

Spectre ── 分岐予測器を誤訓練する

Spectreは被害者プロセス自身に越境ロードを実行させる攻撃です。代表的なVariant 1（境界チェックバイパス）は、次のような配列アクセスを標的にします。

if (x < array1_size)          // 境界チェック
    y = array2[array1[x] * 64];  // x が範囲内のときだけ実行されるはず

攻撃者はまず正当な x を何度も与え、この分岐を「Taken（範囲内）」だと予測器に誤訓練します。その後で巨大な x を渡すと、array1_size のロードが遅延している隙にCPUは分岐を投機的にTakenと予測し、array1[x]（範囲外＝秘密）を読み、その値で array2 にインデックスアクセスします。境界チェックが確定すると投機は破棄されますが、array2 のどのラインがキャッシュされたかという痕跡が残り、Flush+Reload で秘密値が割れます。

Variant 2（分岐ターゲット注入）はさらに強力で、間接分岐の飛び先を予測するBTBを攻撃者が誤訓練し、被害者の投機実行を任意のコード片（ガジェット）へ誘導します。Spectreは権限境界を越えず被害者のアドレス空間内で完結するため、ソフトウェアのバグではなく投機実行そのものの性質を突きます。

Meltdown ── 例外確定前の不正ロード

Meltdownは権限チェックの順序の隙を突きます。ユーザー空間からカーネルアドレスをロードすると最終的に例外（保護違反）になりますが、一部のCPUでは例外が確定してリタイアする前に、ロードしたデータが後続命令へ投機的に流れてしまいます。

;  rcx = カーネルアドレス（本来は読めない）
mov al, [rcx]          ; 投機的にロード（後で例外になる）
shl rax, 6             ; 値 × 64 でインデックス化
mov rbx, [array + rax] ; 秘密値に応じたラインをキャッシュへ

例外で al の値はアーキ状態としては無効化されますが、array のどのラインが載ったかは残り、Flush+Reloadで復元できます。Spectreとの本質的な違いは、Meltdownが自分のプロセスの権限を越えてカーネルメモリを直読みする点です。許可確認とデータ転送が論理的に同時でなく、転送が先行しうる実装に依存します。

MDS ── 内部バッファの残留を盗む

MDS（Microarchitectural Data Sampling）は、キャッシュよりさらに内部のバッファに着目します。ロード/ストアの途中データを保持するストアバッファやラインフィルバッファ、ロードポートには、直前の処理のデータが残ることがあります。フォルトや特定条件でロードが失敗したとき、CPUがこれらのバッファの古い残留値を投機的に転送してしまう実装がありました（RIDL/Fallout/ZombieLoad などの呼称で知られます）。

攻撃者は失敗ロードを大量に発生させ、漏れてきた残留値を統計的に集めて秘密を再構成します。MDSはアドレスを指定して狙い撃つのではなく、たまたまバッファに居合わせたデータをサンプリングする性質を持ち、SMT（同時マルチスレッディング）で物理コアを共有する別スレッドからの漏洩が深刻になります。

緩和の構造 ── どこで投機を断つか

緩和は「漏れる経路のどこを断つか」で分類できます。

• KPTI（カーネルページテーブル分離）：Meltdown対策。ユーザーモード時にカーネルページをTLB/ページテーブルから外し、不正ロードの対象を物理的に存在させません。代償としてシステムコールごとにアドレス空間を切り替えるためTLBフラッシュが増え、syscall負荷が上がります。
• retpoline：Spectre Variant 2対策。間接分岐をBTB予測に頼らない call/ret の構造に置き換え、投機の飛び先を無害なループ（待機）に固定して攻撃者のターゲット注入を無力化します。
• 分岐予測器の隔離・フラッシュ：IBPB（分岐予測バリア）やSTIBPでスレッド間・コンテキスト間の予測器共有を断ち、誤訓練の持ち越しを防ぎます。eIBRSのようにハードウェアで特権レベル間の予測流用を抑える方式もあります。
• 境界後の投機停止：Variant 1には lfence などの投機バリアを境界チェック直後に挿入し、チェック確定まで後続ロードを投機させません。配列インデックスを範囲内へ強制マスクする手法も併用されます。
• バッファのオーバーライト：MDS対策の VERW 命令で、特権境界を越える前にマイクロアーキバッファを上書きし、残留値を消します。

まとめ

• 投機実行が誤経路でもメモリに触れ、巻き戻されないキャッシュ状態として痕跡を残すことが、全サイドチャネルに共通する根本原因。
• Spectreは分岐予測器を誤訓練して被害者自身に越境ロードさせ、Meltdownは例外確定前の不正ロードで権限を越え、MDSは内部バッファの残留をサンプリングする。
• 残った痕跡は、共有メモリ前提のFlush+Reloadや、セット競合を使うPrime+Probeで秘密の値へと復元される。
• 緩和はKPTIによる空間分離、retpolineと予測器隔離による誤訓練遮断、lfenceやVERWによる投機・残留の停止に整理でき、いずれも投機の利得を削るトレードオフを伴う。