通知
Windows バージョン 1803 以降のバージョンでは、プラットフォームで新しい カーネル DMA 保護 機能がサポートされている場合は、その機能を利用して Thunderbolt DMA 攻撃を軽減することをお勧めします。 新しいカーネル DMA 保護機能を持たない以前のバージョンの Windowsまたはプラットフォームの場合、organization で TPM のみの保護機能が許可されている場合、またはスリープ モードのコンピューターがサポートされている場合は、DMA 軽減策の 1 つを以下に示します。 さまざまな軽減策を理解するには、「 BitLocker の対策 」を参照してください。
また、代替の軽減策については、Intel Thunderbolt 3 および Microsoft Windows 10 オペレーティング システムのセキュリティに関するドキュメントを参照することもできます。
他社テクニカル サポートのお問い合わせ窓口は、ユーザーの便宜のために提供されているものであり、 将来予告なしに変更されることがあります。 マイクロソフトは、掲載されている情報に対して、いかなる責任も負わないものとします。
この作業を実行する方法の詳細については、以下のマイクロソフト Web サイトを参照してください。
グループ ポリシーを使用してデバイスのインストールを制御する方法に関するステップバイステップ ガイド
現象
BitLocker で保護されたコンピューターは、コンピューターの電源が入っている場合、またはスタンバイ電源状態にある場合、直接メモリ アクセス (DMA) 攻撃に対して脆弱になる可能性があります。 これには、デスクトップがロックされている場合も含まれます。
TPM のみの認証を使用する BitLocker を使用すると、プリブート認証なしでコンピューターを電源オン状態にすることができます。 そのため、攻撃者は DMA 攻撃を実行できる可能性があります。
これらの構成では、攻撃者は、1394 ポートに接続されている攻撃デバイスを使用して SBP-2 ハードウェア ID を偽装することにより、システム メモリ内の BitLocker 暗号化キーを検索できる可能性があります。 または、アクティブな Thunderbolt ポートは、攻撃を実行するためのシステム メモリへのアクセスも提供します。 新しい USB Type-C コネクタの Thunderbolt 3 には、ポートを無効にすることなくこのタイプの攻撃から保護するように構成できる新しいセキュリティ機能が含まれていることに注意してください。
この記事は、次のいずれかのシステムに適用されます。
- 電源を入れたままのシステム
- スタンバイ電源状態のままのシステム
- TPM のみの BitLocker プロテクターを使用するシステム
原因
1394 物理 DMA
業界標準の1394コントローラ(OHCI準拠)は、システムメモリへのアクセスを可能にする機能を提供します。 この機能は、パフォーマンスの向上のために提供されています。 これにより、CPU とソフトウェアをバイパスして、1394 デバイスとシステム メモリ間で大量のデータを直接転送できます。 既定では、すべてのバージョンの Windows で 1394 物理 DMA は無効です。 1394 物理 DMA を有効にするには、次のオプションを使用できます。
- 管理者が 1394 カーネル デバッグを有効にします。
- コンピューターに物理的にアクセスできるユーザーが、SBP-2 仕様に準拠した 1394 ストレージ デバイスを接続します。
BitLocker に対する 1394 DMA の脅威
BitLocker システム整合性チェックは、承認されていないカーネル デバッグの状態の変更を軽減します。 ただし、攻撃者は攻撃デバイスを 1394 ポートに接続し、SBP-2 ハードウェア ID でスプーフィングする可能性があります。 Windows が SBP-2 ハードウェア ID を検出すると、SBP-2 ドライバー (sbp2port.sys) が読み込まれ、SBP-2 デバイスが DMA を実行できるようにドライバーに指示されます。 これにより、攻撃者はシステム メモリにアクセスし、BitLocker 暗号化キーを検索できます。
Thunderbolt 物理 DMA
Thunderbolt は、PCI 経由でシステム メモリに直接アクセスできる外部バスです。 この機能は、パフォーマンスの向上のために提供されています。 これにより、大量のデータを Thunderbolt デバイスとシステム メモリ間で直接転送できるため、CPU とソフトウェアをバイパスできます。
BitLocker に対する Thunderbolt の脅威
攻撃者は、特殊用途デバイスを Thunderbolt ポートに接続し、PCI Express バスを介してメモリ アクセスを完全に直接持つ可能性があります。 これにより、攻撃者はシステム メモリにアクセスして BitLocker 暗号化キーを検索できる可能性があります。 新しい USB Type-C コネクタの Thunderbolt 3 には、このタイプのアクセスから保護するように構成できる新しいセキュリティ機能が含まれていることに注意してください。
解決策
BitLocker の一部の構成では、この種の攻撃のリスクを軽減できます。 TPM + PIN、TPM + USB、および TPM + PIN + USB プロテクターは、コンピューターがスリープ モードを使用しない場合 (RAM への一時停止) に DMA 攻撃の影響を軽減します。
SBP-2 の緩和策
前述の Web サイトで、「デバイス インストールのグループ ポリシー設定」の「これらのデバイス セットアップ クラスに一致するドライバーをインストールできないようにする」セクショングループ ポリシー を参照してください。
SBP-2 ドライブのプラグ アンド プレイ デバイス セットアップ クラス GUID を次に示します。
d48179be-ec20-11d1-b6b8-00c04fa372a7
一部のプラットフォームでは、1394 デバイスを完全に無効にすると、セキュリティが強化される場合があります。 前述の Web サイトでは、「デバイス インストールのためのグループ ポリシー設定」の「これらのデバイス ID と一致するデバイスのインストールを禁止する」セクションを参照してください。
以下は、1394 コントローラーのプラグ アンド プレイ互換 ID です。
PCI\CC_0C0010
Thunderbolt の軽減策
Windows 10 バージョン 1803 以降、より新しい Intel ベースのシステムには、Thunderbolt 3 用のカーネル DMA 保護が組み込まれています。 この保護のための構成は必要ありません。
以前のバージョンの Windows を実行しているデバイス、または Thunderbolt 3 のカーネル DMA 保護がないプラットフォームで Thunderbolt コントローラーをブロックするには、前述の Web サイトの「デバイス インストールのグループ ポリシー設定」の「これらのデバイス ID と一致するデバイスのインストールを禁止する」セクションを参照してください。
Thunderbolt コントローラーのプラグ アンド プレイ互換 ID を次に示します。
PCI\CC_0C0A
注
- この軽減策の欠点は、外部ストレージ デバイスが 1394 ポートを使用して接続できなくなり、Thunderbolt ポートに接続されているすべての PCI Express デバイスが動作しなくなることです。
- ハードウェアが現在の Windows エンジニアリング ガイダンスから逸脱している場合、コンピューターの起動後、Windows がハードウェアを制御する前に、これらのポートで DMA が有効になる場合があります。 これにより、システムが侵害される可能性があり、この回避策によっては緩和されません。
- SBP-2 ドライバーと Thunderbolt コントローラーをブロックしても、外部または内部の PCI スロット (M.2、Cardbus、ExpressCard など) & 攻撃から保護されません。
追加情報
BitLocker に対する DMA の脅威の詳細については、次のマイクロソフト セキュリティ ブログを参照してください。
Windows BitLocker 要求 BitLocker に対するコールド攻撃の軽減策の詳細については、次のマイクロソフト インテグリティ チームのブログを参照してください。
この資料に記載されているサードパーティ製品は、マイクロソフトと関連のない他社の製品です。 明示的か黙示的かにかかわらず、これらの製品のパフォーマンスや信頼性についてマイクロソフトはいかなる責任も負わないものとします。