マイクロソフト、投機的実行バグ報奨金プログラムを開始

マイクロソフトは、1月に明らかになった悪名高いメルトダウンやスペクターの欠陥など、新たな投機的実行サイドチャネルの脆弱性を発見するよう研究者を奨励し、セキュリティ問題の修正に役立てることを目的とした新たなバグ報奨金プログラムを導入した。

しかし、これらのプログラムがあらゆる種類の脆弱性に対して報奨金を提供するケースは稀です。企業は多くの場合、自社製品の特定の側面に関心を持ち、研究者が開示した脆弱性の種類に応じて報奨金の額を変えています。マイクロソフトがインテルに協力し、投機的実行サイドチャネル脆弱性に特化したバグ報奨金プログラムを立ち上げた決定は、これらの脆弱性を知るためにお金を払う価値があるとマイクロソフトが考えていることを示しています。

Microsoft はブログ投稿で次のように説明しています。

従来のソフトウェア脆弱性は十分に理解されており、根本原因分析も比較的容易です（多くの場合、自動化も可能です。VulnScanをご覧ください）。一方、投機的実行サイドチャネルは、根本的に新しいハードウェア脆弱性クラスであり、その深刻度と既存のソフトウェアセキュリティモデルへの影響を判断するための確立されたプロセスがありませんでした。このプロセスを構築するには、私たちと業界の他の関係者が投機的実行サイドチャネルを徹底的に調査し、その影響と可能な緩和策を推論するための分類とフレームワークを確立する必要がありました。

マイクロソフトはまた、研究者がこのプログラムを通じて報告することを期待している様々な種類の脆弱性についても説明しました。これらの脆弱性は、投機的攻撃手法の阻止、メモリからの機密情報の消去、そしてこれらの攻撃に用いられる通信チャネルの削除など多岐にわたります。マイクロソフトは、Arm、AMD、Intelのいずれのプロセッサにおいても発見された脆弱性について、研究者からの発見を共有したいと考えています（場合によっては、3つすべてにおいて）。

マイクロソフトがこのプログラムを通じて研究者に支払う予定の金額は次のとおりです。