「Windows 11のCPU要件設定はSpectreやMeltdown対策をOS側でしたくないから？」記事へのコメント

切ってる人ぼちぼち増えてる

[90 (35300)]

デスクトップLinuxだとmitigations=off勧めちゃう人をぼちぼち見かけるので、あんまり脅威だと思ってない人が多いのかなと思います。クラウドだと同じCPUを借りてる人が攻撃してくる可能性が排除できないので有効にしておきたいところですが、古典的なウイルスに比べて悪用の可能性は低いと言われればそんな気もします。

しかしHVCI必須化で緩和策関連を捨てられることが理由だとすると、AMD CPUでHVCIに必要なMBECに対応しているのはZen 2以降、型番で言えばRyzen 3000以上(GPUなし)または4000G以上なところ、公式発表では一貫してMBECを搭載しないところのRyzen 2000(Zen+)以上を許容すると言ってしまってるので手遅れ感がありますね。

# Ryzenは型番と世代の数字が一致してないトラップがあるのだ

Re:

[Anonymous Coward]

新型コロナワクチンとの類似性があるな。
老人とか、基礎疾患がない場合は、新型コロナのリスクはあまりない。
ワクチンのリスクの方が大きい。

というのと、SpectreやMeltdownはクラウドでなければ、あまりリスクはない。
性能低下はリスクではなく現実の課題として存在する。

SpectreやMeltdown対策は切らせてくれ、って人はワクチンを接種しないつもりの人と類似性がある。
逆に若者で基礎疾患がなくてもワクチン打つ人はSpectreやMeltdown対策の性能低下は許容しそうだ。

クラウドじゃないとリスクはあまりない ← 誤り

[Anonymous Coward]

今はOSでも、ブラウザでも、セキュリティ対策ソフトでも仮想化技術が多用されていることを知らないの？
Windowsだって、内部で動くプロセスはガチガチに権限制約されて動いてるんだよ？

貴方の思考だと、「WindowsではUACをOffにして、Linuxではrootを常用しても、あまりリスクがない」ということになるんだけど。
SpectreやMeltdownというのはまさに、同じCPUを使う別の権限で動くものの情報を奪える脆弱性だからね。

Re:

[Anonymous Coward]

UACとrootに仮想化技術が関係しているの？

Re:クラウドじゃないとリスクはあまりない ← 誤り

[Anonymous Coward]

> 貴方の思考だと、「WindowsではUACをOffにして、Linuxではrootを常用しても、あまりリスクがない」ということになるんだけど。

ここは比喩です。
「SpectreやMeltdownというのはまさに、同じCPUを使う別の権限で動くものの情報を奪える脆弱性」なので、別の権限で動いているプロセスの情報を奪える脆弱性です。

クラウドのサーバじゃない限りはSpectreやMeltdown対策が不要な理由は、同じCPUを共有プロセスが悪意のあるコードを含んでいるリスクが低いと見積もっているからですよね？
もし、それが正しいのならば、プロセスは全部Admin/root権限で動かしても問題ないのでは？　ということです。