通知
Windows バージョン 1803 以降のバージョンでは、プラットフォームで新しい カーネル DMA 保護機能 がサポートされている場合は、その機能を利用して Thunderbolt DMA 攻撃を軽減することをお勧めします。 新しいカーネル DMA 保護機能がない以前のバージョンの Windowsor プラットフォームの場合、organizationで TPM 専用保護機能が許可されている場合、またはスリープ モードでコンピューターがサポートされている場合、DMA 軽減オプションは次の 1 つです。 軽減策の範囲については、 BitLocker の対策 に関するページを参照してください。
また、ユーザーは、Microsoft Windows 10 オペレーティング システムの Intel Thunderbolt 3 と Security に関するドキュメントを参照して、代替の軽減策を確認することもできます。
他社テクニカル サポートのお問い合わせ窓口は、ユーザーの便宜のために提供されているものであり、 将来予告なしに変更されることがあります。 マイクロソフトは、掲載されている情報に対して、いかなる責任も負わないものとします。
この作業を実行する方法の詳細については、以下のマイクロソフト Web サイトを参照してください。
グループ ポリシーを使用したデバイスのインストールの制御に関するステップバイステップ ガイド
現象
BitLocker で保護されたコンピューターは、コンピューターの電源が入っているか、スタンバイ電源状態にある場合、ダイレクト メモリ アクセス (DMA) 攻撃に対して脆弱になる可能性があります。 これには、デスクトップがロックされている場合が含まれます。
TPM 専用認証を備えた BitLocker を使用すると、コンピューターは起動前認証なしで電源オン状態になります。 そのため、攻撃者は DMA 攻撃を実行できる可能性があります。
これらの構成では、攻撃者は、1394 ポートに接続されている攻撃デバイスを使用して SBP-2 ハードウェア ID をスプーフィングすることで、システム メモリ内の BitLocker 暗号化キーを検索できる可能性があります。 または、アクティブな Thunderbolt ポートによって、攻撃を実行するためのシステム メモリへのアクセスも提供されます。 新しい USB Type-C コネクタの Thunderbolt 3 には、ポートを無効にせずにこの種類の攻撃から保護するように構成できる新しいセキュリティ機能が含まれていることに注意してください。
この記事は、次のいずれかのシステムに適用されます。
- 左にオンになっているシステム
- スタンバイ電源状態のままのシステム
- TPM 専用 BitLocker 保護機能を使用するシステム
原因
1394 物理 DMA
業界標準の 1394 コントローラー (OHCI 準拠) は、システム メモリへのアクセスを可能にする機能を提供します。 この機能は、パフォーマンスの向上として提供されます。 これにより、CPU とソフトウェアをバイパスして、1394 デバイスとシステム メモリ間で大量のデータを直接転送できます。 既定では、すべてのバージョンの Windows では 1394 物理 DMA が無効になっています。 1394 物理 DMA を有効にするには、次のオプションを使用できます。
- 管理者は、1394 カーネル デバッグを有効にします。
- コンピューターに物理的にアクセスできるユーザーは、SBP-2 仕様に準拠した 1394 ストレージ デバイスを接続します。
BitLocker に対する 1394 DMA の脅威
BitLocker システム整合性チェックは、承認されていないカーネル デバッグ状態の変更を軽減します。 ただし、攻撃者は攻撃側のデバイスを 1394 ポートに接続し、SBP-2 ハードウェア ID を偽装する可能性があります。 Windows は、SBP-2 ハードウェア ID を検出すると、SBP-2 ドライバー (sbp2port.sys) を読み込み、SBP-2 デバイスが DMA を実行できるようにドライバーに指示します。 これにより、攻撃者はシステム メモリにアクセスし、BitLocker 暗号化キーを検索できます。
Thunderbolt 物理 DMA
Thunderbolt は、PCI 経由でシステム メモリに直接アクセスできる外部バスです。 この機能は、パフォーマンスの向上として提供されます。 これにより、大量のデータが Thunderbolt デバイスとシステム メモリの間で直接転送され、CPU とソフトウェアがバイパスされます。
BitLocker に対する Thunderbolt の脅威
攻撃者は特別な目的のデバイスを Thunderbolt ポートに接続し、PCI Express バスを介して完全な直接メモリ アクセス権を持つ可能性があります。 これにより、攻撃者はシステム メモリにアクセスし、BitLocker 暗号化キーを検索できます。 新しい USB Type-C コネクタの Thunderbolt 3 には、この種類のアクセスから保護するように構成できる新しいセキュリティ機能が含まれていることに注意してください。
解決策
BitLocker の一部の構成では、この種の攻撃のリスクを軽減できます。 TPM+PIN、TPM+USB、TPM+PIN+USB 保護機能は、コンピューターがスリープ モード (RAM に一時停止) を使用しない場合の DMA 攻撃の影響を軽減します。
SBP-2 の軽減策
前述の Web サイトで、「デバイスのインストールの設定をグループ ポリシーする」の「これらのデバイス セットアップ クラスに一致するドライバーのインストールを禁止する」セクションを参照してください。
SBP-2 ドライブのプラグ アンド プレイ デバイス セットアップ クラス GUID を次に示します。
d48179be-ec20-11d1-b6b8-00c04fa372a7
一部のプラットフォームでは、1394 デバイスを完全に無効にすると、セキュリティが強化される場合があります。 前述の Web サイトで、「デバイスのインストールのグループ ポリシー設定」の「これらのデバイス ID に一致するデバイスのインストールを禁止する」セクションを参照してください。
1394 コントローラーのプラグ アンド プレイ互換性のある ID を次に示します。
PCI\CC_0C0010
Thunderbolt の軽減策
バージョン 1803 Windows 10以降、新しい Intel ベースのシステムには、Thunderbolt 3 用の組み込みのカーネル DMA 保護が含まれています。 この保護には構成は必要ありません。
以前のバージョンの Windows を実行しているデバイス上の Thunderbolt コントローラー、または Thunderbolt 3 のカーネル DMA 保護がないプラットフォームの場合は、前述の Web サイトの「デバイスのインストールのグループ ポリシー設定」の「これらのデバイス ID に一致するデバイスのインストールを禁止する」セクションを参照してください。
Thunderbolt コントローラーのプラグ アンド プレイ互換性のある ID を次に示します。
PCI\CC_0C0A
注
- この軽減策の欠点は、外部ストレージ デバイスは 1394 ポートを使用して接続できなくなり、Thunderbolt ポートに接続されているすべての PCI Express デバイスは機能しなくなります。
- ハードウェアが現在の Windows エンジニアリング ガイダンスから逸脱している場合は、コンピューターを起動した後、および Windows がハードウェアを制御する前に、これらのポートで DMA が有効になる可能性があります。 これにより、システムが侵害される可能性が高く、この回避策ではこの状態は軽減されません。
- SBP-2 ドライバーと Thunderbolt コントローラーをブロックしても、外部または内部の PCI スロット (M.2、Cardbus & ExpressCard を含む) への攻撃から保護されません。
追加情報
BitLocker に対する DMA 脅威の詳細については、次の Microsoft セキュリティ ブログを参照してください。
Windows BitLocker 要求 BitLocker に対するコールド攻撃の軽減策の詳細については、次の Microsoft Integrity Team ブログを参照してください。
この資料に記載されているサードパーティ製品は、マイクロソフトと関連のない他社の製品です。 明示的か黙示的かにかかわらず、これらの製品のパフォーマンスや信頼性についてマイクロソフトはいかなる責任も負わないものとします。