ファームウエアが危ない・・・！！

今朝も快晴のラスベガス。DEFCON23続行中。

今日の午前中は、ファームウエア改ざん系のネタを二つ。最初のはこれ。

タブレットやネットブックなどで、3GやLTEに繋がるものには、通信用のモジュールが入っている。同じ機種でもモデルによってWiFiのみのものもあるので、こうしたモジュールは独立したオプションになっているのだが、これがくせ者らしい。それ自体がCPUを積んでLinuxなどで動いているものが多く、このファームウエアが脆弱だったりするのである。割り振られたIPアドレスがわかると、どのポートが空いているかわかってしまう。結構、余計なポートが空いていたり、脆弱性が残っていたりするケースがあるという。

こうしたファームウエアは、PCやタブレットからアップデートが出来る。メーカーサイトからアップデートモジュールをダウンロードして実行するのだが、この方法でファームウエアのバイナリを入手できる。ただ、最近はこうしたファームウエアは難読化されていることが多く、改ざん（というか破損というのが正解だが）チェックのためにCRCなどのチェックサムが付加されている。しかし、これらは高度なリバースエンジニアリングを想定したものではなく、解析、改ざんができてしまうというのである。こうしたファームウエアが改ざんされて、導入されてしまうと、かなり恐ろしいことが起きる。通信に干渉することはもとより、PC、タブレット側のマルウエアとつるんで、勝手に通信をしたり、場合によっては、本体の電源が切れていたり、LTE機能がオフにされていても、動作し続けることが可能になるというのである。もちろん、本体上からこうした動きは知りようがない。昨年はHDDファームウエアの改ざんが話題になったが、こちらは通信手段がある分凶悪かもしれない。しらないうちに、それも使っていない時までバックドアが開いてしまうと言うのはちょっと寒い。

もう一つの話はこれ。

サーバラックなどでよく使われるKVMスイッチのファームウエア改ざんの話である。これも、ハードウエアとファームウエアをリバースエンジニアリングして、改ざんするという話。ネットワークでないので、リスクが低いと思うと大間違いで、たとえば、キーロガーにもなるし、キーストロークを経由してデータを送ることもできる。たとえば、BASE64などに落とせば、バイナリでも送り込むことができるので、マルウエアやその通信を仲介することも可能なのである。とりわけ、インターネットに繋がったサーバと、独立したネットワークのサーバが同じラックに共存して、KVMスイッチで繋がっている場合、こうした独立ネットワークに対してブリッジを構成できる。

こうしたファームウェアを改ざんするには筐体に物理的にアクセスしないといけないのだが、たとえば内部者の協力が得られれば、可能である。最近は、ネットワークで管理できるものもあるようなので、そうしたものは、脆弱性などがあればネットワーク経由でも改ざんが可能になるかもしれない。いやはや、困った時代である。APTに狙われるようなデータセンタでは、こんな攻撃も想定しなければいけないのかもしれない。

実際、ファームウェアのリバースエンジニアリングは、その気になればかなり高度なことができる。一方で、多くのメーカーはそうした高度なリバースエンジニアリングを想定できていない。たとえば、単純なビットシフトを使った難読化や、CRCベースのチェックサムなどは簡単に解析されてしまうので、きちんとした暗号化やKeyed Hashなどを使った改ざん防止と鍵保護の仕組みを実装しないといけないだろう。IoTブームで、こうしたことが想定されていないデバイスが大量にでまわる可能性があり、ガレージベンチャー的なメーカーでは、きちんとした対応もままならないだろうから、先行きはかなり不安である。こうしたセキュリティ知識のない技術者が簡単にセキュアなシステムを開発できるようなプラットホームとフレームワークの提供が急務だろうと思うのである。

実際、こんなことをしている人たちも少なくないわけで・・・・・

で、午後からは今回の目玉であるこのセッションを聴く。

大量のリコールが話題になったジープチェロキーの遠隔操作である。これも素のシステムをそのまま遠隔操作したわけでなく、3G通信ユニットに繋がっている機器の脆弱性を利用して、足場を作り、そこからCANバスへのゲートウエイを攻撃して改ざんしたファームウエアを送り込むという手法が使われている。当然、その前には実際の機器をリバースエンジニアリングしているわけである。ただ、リバースエンジニアリングによって得た情報をもとにして、すべての操作を遠隔で行えるのは事実。このリバースエンジニアリングの方法がまたすごい。某日本車メーカーは相当自信がおありのようだが、はたしてここまでのリバースエンジニアリングは想定できているのだろうか。これから、車は様々なものと繋がっていく。昨日のテスラの話でも書いたが、そうしたなかで、自動車メーカーだけの知見ですべてを見通せるはずがないと思うのである。早めに悔い改めた方がいいかもしれない。

最後はご愛敬・・・・モーター付きスケボーのハッキング。

最近出回っているBluetoothコントロールの電動スケボーをよそから誤動作させてしまおうという話。これも、Bluetooth通信の実装が弱い部分を狙って、コマンドを解析し、リプレイするというもの。きちんと暗号化やデバイスの認証をやっていれば避けられる話なのだが、メーカーはそこまで考えが至っていないということだろう。興味深いのは、本物のコントローラの通信を妨害して操作不能にしてしまうあたり。スペクトラム拡散方式であるBluetoothの通信妨害は極めて難しいのだが、これも技術的に解決している。こうした方法は、Bluetoothを使った様々な機器制御に応用できるだろうと思う。たかがスケボーとあなどってはいけないのである。

もちろん、スケボーだって、ヒトに大けがさせるくらいのことはできる。作る側も、悪意を前提とした安全対策が必須になるだろうと思うのである。

さて、今日もこれくらいで聴講は終わって少し会場を見て回る。ベンダコーナーは今年も賑わっている。

とりあえず、ホテルに戻って今日も一眠り。

気がついたら既に日没時刻。BHから来ている某Y氏からSMSをもらい、一緒に晩飯を食いに行くことにする。

飯を食いながら（というか飲みながら）そんな話に花が咲いた。来ていたはずのS君は、もう今日の夕方の便で帰ってしまったとのこと。会えなかったのは残念。

さて、明日はDEFCONも最終日。終わってから観覧車にでも乗りに行こうかな。