け製品カスペルスキーセキュリティ巧妙化するインターネットの脅威からパソコン、スマートフォン、タブレットをしっかりと守ります。MacMacユーザーのデジタルライフをしっかりと守ります。Androidスマートフォンやタブレットを総合的に守ります。ダウンロードカスペルスキーセキュアコネクションWi-Fi利用時のプライバシーを守ります。RobotのハッキングセキュリティリサーチャーがXiaomi製ロボット掃除機のハッキングに成功しましたが、一般的なスマートデバイスよりもはるかに強力なセキュリティであることがわかりました。Drozhzhin2018年1月16日インターネットとインターネットに接続されているモノにまつわる話題というと、例によって良からぬ話と思われそうですが、必ずしもそうではありません。Robotのハッキングに成功しましたが、その調査結果によると、このデバイスが他の大半のスマートデバイスに比べはるかにセキュリティに優れていることが分かります。(34C3)における講演で、両氏はハッキングしたデバイスのソフトウェアの仕組みや、最終的にどの脆弱性を利用して保護を突破したかについて解説しました。Robotをハッキング調査を開始したとき、ギーゼ氏とウェゲマー氏は、Xiaomi製掃除機に搭載されているハードウェアが、多くのスマートフォンのものよりも高性能であることに驚きました。3基のARMプロセッサが搭載されており、そのうちの1つはクアッドコアです。実に頼もしいスペックです。両氏は手始めに、複数の基本的な攻撃経路を使用してシステムのハッキングを試すことにしました。掃除機のマイクロUSBポートから侵入する方法がないかを調べましたが、すぐに行き詰まりました。この経路は、ある種の認証手段で保護されていました。Robotを分解し、マザーボードにシリアルポートがないか探してみましたが、成果は得られませんでした。次に試したのは、ネットワーク経由でのハッキングです。デバイスのネットワークポートをスキャンしようとしましたが、ポートはすべてクローズされていました。ネットワークトラフィックのデータ傍受も、通信が暗号化されていたため成功しませんでした。ここまでの結果には、いささか感心させられます。IoTデバイスはここまでセキュリティに配慮して設計されていないのが通常で、他のデバイスの大半なら、ここへ至るまでの間にハッキングされていたでしょう。当社が実施したインターネット接続型デバイスのセキュリティの不十分さに関する調査(英語)からも、それは明らかです。Robotの話に戻りましょう。次に両氏が試したのは、掃除機のハードウェアに手を付けることです。この方法でついにハッキングに成功しました。具体的には、プロセッサをマザーボードにつないでいる小さな接触部をアルミホイルを使ってショートさせ、プロセッサを特別なモードに切り替えさせました。このモードでは、USB接続を介してフラッシュメモリへの直接読み込み、さらには書き込みが可能です。Robotのファームウェアを入手してリバースエンジニアリングし、改変を加えて掃除機にアップロードすることで、デバイスを自在に制御することに成功しました。Robotをハッキングハードウェアを分解してハッキングするというやり方は、デバイス内部を物理的に触らないやり方に比べ、とても洗練されているとは言えません。両氏は、デバイスのファームウェアをリバースエンジニアリングした後、Wi-Fiと、ファームウェアの更新メカニズムの欠陥を利用するだけで、デバイスに侵入する方法を発見しました。Xiaomiが採用するファームウェアの更新手順自体は、よく考えられています。新しいソフトウェアは暗号化された接続を介して配信され、ファームウェアパッケージ自体も暗号化されています。ところが、更新パッケージの暗号化には「rockrobo」という固定パスワードが使われていました(皆さん、弱いパスワードを使わないようにしましょう)。そのため両氏は、自分たちで手を加えたファームウェアを含む、適切に暗号化を施したファームウェアパッケージを作ることができました。続いて、両氏はXiaomiのスマートフォンアプリで入手したセキュリティキーを使用し、新しいファームウェアをダウンロードしてインストールするよう、掃除機にリクエストを送信しました。Xiaomiのクラウドからではなく、自分たちのサーバーからダウンロードするようにリクエストしたのです。して、今度はワイヤレスでのハッキングに成功しました。Robotのファームウェアの内部ファームウェアを調べてみると、Xiaomiのスマートデバイスに関する興味深い事実がいくつか判明しました。あり、これにより定期的に迅速にパッチが適用されます。第2に、掃除機1台ごとに別々のスーパーユーザーパスワードが使用されています。大量の掃除機を一度にまとめてハッキングできるようなマスターパスワードはありません。第3に、システムではファイアウォールが稼動しており、ハッカーに利用される恐れのあるポートはすべてブロックされています。ここでも、Xiaomiの優れた仕事ぶりには感心するばかりです。IoTデバイスとしては、驚くほどセキュリティに配慮されています。いえ、両氏の調査では、少々残念な点も見つかりました。掃除機は1日あたり数メガバイトに及ぶ大量のデータを収集し、Xiaomiのクラウドに送信します。稼動状況の測定データのように送信が妥当なデータだけでなく、接続したWi-Fiネットワークの名称とパスワード、内蔵LIDARセンサーを使って作成された部屋の間取り図といったデータまで収集されるのです。気がかりなのは、こうしたデータはデバイスを初期化した後でもシステム内に永久に残ってしまうことです。eBayあたりで中古のXiaomi掃除機を購入した人があれこれ探れば、そうした情報をすべて簡単に入手できてしまいます。記事を締めるにあたり、ギーゼ氏とウェゲマー氏が使用した方法はどちらも自分たちが所有するデバイスハッキングのみに有効であった、という点は強調しておくべきでしょう。第1の方法では、掃除機へ物理的にアクセスする必要がありました。第2の方法では、更新リクエストを行うためのセキュリティキーを入手する必要がありました。セキュリティキーは、デバイスとモバイルアプリをペアリングするたびに生成される一意の値で、ハッキング対象のXiaomiデバイスとペアリングされたスマートフォンにアクセスできないかぎり、簡単に入手できるものではありません。総合的に考えて、Xiaomi製品を利用したMiraiボットネットが近いうちに登場する可能性は低そうです。反対に、この調査によって明らかになったのはむしろ、Xiaomiが他の大半のスマートデバイスメーカーに比べて、一段とセキュリティに注力していることです。これは、あらゆるものがネットに接続する未来へ向けて、明るい兆しです。すべてのものはハッキング可能ですが、多大な労力がかかるとしたら、犯罪者はあえてそれを狙おうとはしないでしょう。犯罪者は簡単に儲けられる方法を好むものです。無料で配布されているソフトウェアには、「マイナー」が潜んでいることも。コンピューターリソースや電力を無断で大量に使われてしまう場合もあります。Grustniy2018年1月15日ヒントヒント子どもがスマートフォンを安全に使えるように小さなお子さんにスマートフォンを持たせるのは心配なもの。不適切なサイトを見たり、ゲームをやりすぎたりしないよう、しっかりと設定しておきましょう。Malenkovich2020年1月22日ヒント詐欺師たちはBitcoinに飽きたのだろうか?仮想通貨ではなくプリペイドカードでの支払いを要求する恐喝犯が現れています。何にせよ、支払う必要はありません。Vergelis2019年12月20日ヒント更新版:Instagramのセキュリティとプライバシーの設定Instagramのアカウントと個人の写真を詮索好きな目から守る方法。Grustniy2019年12月3日ヒントコンピューターやインターネットを利用するときのヒントコンピューターやインターネットを利用する中で、ちょっと困ったときのヒント。Lab」にメールアドレスを提供することに同意します。上記目的で受け取るメールの下部にある[購読の解除]リンクより、この同意をいつでも取り消し可能である旨を承知します。処理に必要なロジックが含まれます。(Japan)その他の国々Global。