米企業が調査結果を公表Android端末には生産段階で脆弱性が“仕込まれて”いる──。そんな事実が、米政府の支援を受けたセキュリティ企業の調査で明らかになった。端末が乗っ取られ、機種によっては画面キャプチャー、メールの読み取りと改変、そして通話まで勝手に行われてしまう危険性があるのだという。した問題の根源は、実はメーカーがOSをカスタマイズしてから出荷するというAndroidならではのエコシステムにあった。IMAGESスマートフォンのセキュリティ脆弱性は、しばしばユーザー自身が引き起こしている。問題のあるリンクを押したり、問題のあるアプリをインストールしたりすることで発生するのだ。大量に出回っているAndroid端末では、ユーザーの手元に届く前の段階で、脆弱性が“仕込まれて”いる。それは、ファームウェアの奥深くで、目覚めるのを待っている。実は、生産メーカーと端末を販売した通信キャリアの“共犯”なのだ。(DARPA)などが立ち上げたモバイルセキュリティ企業のクリプトワイアー(Kryptowire)は、米国の主要な通信キャリアが販売している10のデヴァイスに最初から入っていたバグを詳細に分析し、この重要かつ新たな問題を発見した。Hat」で発表したものだ。この研究は国土安全保障省(DHS)の支援を受けている。脆弱性がもたらす問題の程度はさまざまだ。ユーザーが自分のデヴァイスを操作できなくなったり、スマートフォンのマイクなどの機能に不正アクセスを受けたりする危険性が挙げられている。共通項はひとつ、不正をする人間がその場にいる必要がない、ということだ。元を正せばこうした脆弱性は、Androidが「オープンなOS」であるがゆえの副産物と言える。サードパーティー企業にOSをカスタマイズさせる過程で、隙が生じるのだ。いえ、カスタマイズは本質的には問題とは言えない。端末を差異化し、ユーザーにより多くの選択肢を与えるからである。Pie」の“素”のヴァージョンを提供する。最終的には、メーカーによってさまざまな修正や変更がなされるだろう。ユーザーの利便性が高まるとはいえ、これが頭痛の種であることに変わりはない。これまでもしばしば問題として指摘されてきたことだが、セキュリティアップデートのリリースは確実に遅れるだろう。スタヴロウたちが発見したように、カスタマイズが原因となってユーザーを危険に晒すファームウェアのバグが生じることもある。「こうした問題がなくなることはありません。端末をリリースするまでに、さまざまな企業が独自のアプリを追加し、カスタマイズし、コードを加えられるようになっているからです。おかげで悪意のある人間にとっては攻撃の機会が増え、ソフトウェアはエラーを起こす確率が高まります。エンドユーザーにはどうしようもありません。端末の全システムが乗っ取られるリスク今回の発表は、主に台湾のエイスース(ASUS)や韓国のLGエレクトロニクス、米国のEssential、中国のZTEの端末を対象としたものだった。なかでも最後の企業名は特に興味を引くだろう。DHSはこれまで「セキュリティ面で脅威となるのは中国企業だ」としつつ、具体的な証拠を明示してこなかったからだ。クリプトワイアーはDHSから資金援助を受けて研究を行っているが、やはり具体的な証拠は示していない。端末を生産した企業の思惑を気にかけるよりも、カスタマイズの過程で悪質なコードが埋め込まれるという問題に注目しているのだ。Live」を例に考えてみたい。クリプトワイアーの調査によると、この端末のユーザーは全システムを乗っ取られる危険に晒されていることが明らかになった。勝手にスクリーンショットを撮られ、スクリーンの動画を録画され、電話をかけられ、メッセージの読み取りや改変をされてしまう恐れがあるという。エイスースは次のような声明を発表した。「このところ『ZenFone』のセキュリティにおいて懸念が高まっている事実は認識しており、誠意をもって速やかに問題の解決を図るべく、ZenFoneユーザーにソフトウェアのアップデートを提供します。ユーザーのセキュリティとプライヴァシーを確保し、安心かつ安全にデジタルライフを楽しんでもらうため、最新のZenFoneソフトウェアへのアップデートを強く推奨しています」エイスースにとってアップデートの推奨は、この段階では混乱を収束させる最良の手段だ。スタヴロウは同社に対し、修正プログラムの有効性に疑問を呈している。「ユーザーが修正プログラムを適用すべきなのは確かです。脆弱性と危険なアプリの「相乗効果」クリプトワイアーがテストを行ったモデルのなかには、修正プログラム自体に欠陥があるものもあったという。ドイツのセキュリティ企業であるセキュリティーリサーチラボの調査でも、同様の事実が明らかになっている。クリプトワイアーによると、脆弱性がその“威力”を発揮する前には、何らかのアプリをユーザーにインストールさせようとすることが多いという。Playストアを利用する限りと言ってもいいかもしれないが)、ハッキングされるリスクはどうしてもついて回る。考えると、端末を安全に使おうとするなら、インストールしてはならないアプリがあるのは当然のことだ。問題は、こうしたアプリのインストールには特別な権限が必要ないことだ。誰でも簡単にインストールできてしまうせいで、もともと端末がもっている脆弱性があらわになりやすく、危険性が高まる。したアプリはユーザーにメールや通話履歴にアクセスするよう仕向けなくとも、デヴァイスのファームウェアに欠陥があるおかげで、容易かつひっそりと端末を乗っ取れるのだ。このシナリオが導く末路は、デヴァイスによって異なる。Vantage」はファームウェアの欠陥のせいで、あらゆるアプリがユーザーの個人情報にアクセスできてしまう。log」までもが含まれる。logが晒され、ユーザーは自分のデヴァイスを使えなくなる恐れがあるという。Essentialのスマートフォンは端末が工場出荷時の状態までリセットされ、データとキャッシュの両方とも消去されてしまうことがあるという。Essentialの広報責任者であるシャーリ・ドハーティーは、「脆弱性に気づいた段階で、すぐにチームが修正しています」と話す。「誰もユーザーを守っていない」LGはいくつかの問題には対応してきたように見えるが、根本的な問題の解決には至っていない。「セキュリティの脆弱性を認識し、問題を解決するためにセキュリティのアップデートを導入しました。事実、報告された脆弱性には、すでに修正プログラムが適用されているか、今後のメンテナンスのアップデートに含まれる予定で、セキュリティのリスクとなる恐れはありません」ZTEは声明を発表し、「特定されている問題を修復するために、すでにメンテナンスを実施しています。テクノロジーパートナーや通信キャリアの顧客と引き続き協力して、今後も継続的なメンテナンスを提供し、ユーザーのデヴァイスを保護します」とした。米通信大手AT&Tの広報担当者は「この問題を解決するために、端末を生産した企業から提供されたソフトウェアの修正プログラムを導入しました」と語る。米通信大手のベライゾンとスプリントはコメントしなかった。Tモバイルは米セルラー通信・インターネット協会(CTIA)の意向に従い、「クリプトワイアーの調査結果を確認するまでコメントを差し控える」とした。した一連の発表は状況の改善を示しているが、同時に重要な問題を明らかにしている。それは、これらの修正プログラムをつくり上げ、挙動を試し、リリースするまでには数カ月を要するということだ。「それまでは、端末の生産事業者から通信キャリア、ユーザーまで、サプライチェーンにかかわる誰もが苦しい状況を乗り越えなくてはなりません」とスタヴロウは言う。待っている間、自身にできることは何もなく、脆弱性のありかを特定することすらできないのが現実だ。「ひとつだけはっきりしているのは、誰もユーザーを守っていないということです」とスタヴロウは語る。「脆弱性はシステムの奥深くに潜んでいるので、ユーザーは脆弱性があることに気づきません。気づいたとしても、メーカーや通信キャリアなどがファームウェアをアップデートしてくれるのを待つしかないのです」さらなる問題が今後も明らかに?だが、今回の発見は問題の序章に過ぎない。クリプトワイアーは当事者となる企業に対応策を検討する時間を与えるため、問題の公表を遅らせているのだ。発表される問題のリストは最終的にはずっと長くなるだろう。グーグルの広報担当者は次のように話す。「クリプトワイアーの研究者たちには感謝しています。Androidのサプライチェーンにおけるセキュリティを強化する努力をしてくれたからです。彼らが指摘してくれた問題は、AndroidのOSそのものに影響することはありませんが、サードパーティー企業がカスタマイズしたコードやアプリに影響を与えてしまいます」サードパーティー企業がAndroidをカスタマイズしたり、独自のアプリをプリインストールしたりといった仕組みがすぐになくなることはないだろう。Androidのスマートフォンがリリースされるまでに、こうした“エコシステム”が存在している限り、ファームウェアの奥深くに隠された悩みの種が消えることはなさそうだ。2019」授賞式フォトレポートPROMOTION「発酵」の力で実現する、新しいサステナビリティのかたち:ファーメンステーション酒井里奈×シグマクシス柴沼俊一PROMOTION深圳という「母なる大地」で闘い続ける。そのために、マイクはステージに置いてきた。──藤岡淳一PROMOTIONこれまでにない「新しい材料」を生み出す。それがよりよい社会をつくるから。──小川由希子PROMOTIONデジタルは当たり前。