NVIDIAが「cuFile API」をオープンソース化／キオクシアとSandiskがQLC技術と332積層を用いた第10世代3Dフラッシュメモリを開発（2/3 ページ）

キオクシアがAIアプリケーション向けの高速SSD「KIOXIA GP1」シリーズを発表

　キオクシアは8月4日、AIアプリケーション向けSSD「KIOXIA GP1シリーズ」を開発したと発表した。GPUからの直接アクセスに対応し、512Byte単位で最大1000万のランダムリードIOPSを実現するという。同社が「Super High IOPS SSD」と位置付ける製品だ。2026年3月に開発を発表したGPシリーズの第1弾にあたる。

　狙いは、GPUの高帯域幅メモリ（HBM）をフラッシュメモリの階層で補うことにある。HBMそのものを増設するよりも大幅に低いコストで、より大規模なデータセットを扱えるようにするというのが同社の説明だ。

　インタフェースはPCIe 6.0で、NVMe 2.2規格に対応する。フラッシュメモリには低遅延をうたう第2世代のKIOXIA XL-FLASHを採用した。従来のTLCベースのSSDと比べ、IOPS性能が高く、512バイトという細かい単位でアクセスでき、I/O当たりの消費電力も低いとのことだ。

　同社によれば、このアーキテクチャは現在の1000万IOPSから将来的に最大1億IOPSまで拡張することを視野に設計されている。

　フォームファクターはE3.SとE1.Sの9.5mm／15mmを用意する。E3.SとE1.Sの9.5mmは液冷にも対応し、全形態が従来の空冷環境で使える。耐久性は最大50 DWPDとなる。

Google パスワード マネージャーに脆弱性

　Palo Alto Networksの脅威研究チーム「Unit 42」は8月3日、パスワードレス認証に対する新しい攻撃手法をまとめたレポートを公開した。対象はGoogleの同期型パスキーと、デスクトップ環境で使われるクラウド認証器だ。検証はWindows上のChromeとTPM搭載機に絞っている。

　前提として、いずれの手法も攻撃者のマルウェアが既に端末上で動いていることを条件とする。ただし、管理者権限への昇格は必要ない。同チームは3種類の手法を「Pass-ta-key」と総称し、それぞれ異なる前提を突くと説明している。

　1つ目の「Pass-ta-key attack」は端末の識別鍵を悪用するもので、ユーザーの操作も画面ロック解除も生体認証もないままログインが成立する。

　2つ目の「Silver Pass-ta-key attack」はクラウド認証器に攻撃者が用意した鍵を登録させ、生体認証を済ませたと誤認させる手法だ。

　この場合、以降は被害者の端末がオフラインでも認証できるようになる。

　3つ目の「Golden Pass-ta-key attack」はパスキーを復号するマスターキーそのものを取り出すもので、成立すればアカウントに登録された全てのパスキーが取り出せる。

　サービス側の実装にも問題が見つかった。WebAuthnには、ユーザー本人の検証が済んだかどうかを示す「UVフラグ」がある。多くのサービスはこの検証を必須にせず「望ましい」設定に留めており、さらに必須に設定しながらフラグを正しく検証していないサービスも確認されたという。

　この場合、多要素認証を求めていても実質的に1要素になる。Unit 42はeBayでこの状態を確認したとしており、報告を受けたeBayは既に修正済みだ。GitHubでは正しく拒否されたとしている。

　マスターキーについては、Chromeのログに平文で出力されていた問題をGoogleが修正した。ただし鍵自体は今もクライアント側に送られており、メモリ上からは取得し得る状態だという。加えて、現在の実装ではこの鍵を無効化したり入れ替えたりする手段がない。

　なお、Unit 42は暗号方式そのものが破られたわけではなく、設計上の前提と実際の実装との間にできた隙間を突いたものだとしている。脆弱（ぜいじゃく）性は責任ある開示の手順を踏んで報告済みだ。同チームは、サービス提供者に対してUVフラグの厳格な検証を、利用者に対しては端末のマルウェア対策を引き続き重視するよう求めている。