通信プロトコルの脆弱性(2)

アクセリアは、インターネットやサイバーセキュリティを専門とするスペシャリストが身近におりますので、知見にたけた専門家協力の元、お客様のご要望に沿ったソリューションのご提案も得意としております。また、弊社Webサイトでは、「サイバーレジリエンス」と題し専門家によるコラムも連載しております。
ECのミカタでも、コラムをご紹介させていただくことになりました。皆さまの効果的な対策につなげるためのヒントになれば幸いです。

アクセリア株式会社
https://www.accelia.net/

話題になったKRACK脆弱性ですら、「忘れられた脆弱性」になる可能性がある

今回も前回に引き続き、ネットワークの通信プロトコルに潜む脆弱性について見ていきましょう。前回のコラムを書いてから、Wi-Fiでひろく使われている暗号プロトコルの脆弱性 (KRACK脆弱性) が話題になりましたが、これはまさにプロトコル脆弱性の一例です。実際、皆さんの身近なところでWi-Fiの暗号通信を改ざんしようとか、盗み見ようという人はいないと思いますが、プロトコル脆弱性は影響範囲が大きく、ほとんどのパソコンやスマートフォンで対策する必要があるので、大きな話題となりました。

ただ、あれだけ騒いでもOSの更新が止まってしまった古いスマホやタブレットは使われ続けるでしょうから、KRACKも「忘れられた脆弱性」の仲間入りをすることになるでしょう。それ以前に、Wi-Fiのパスワードが簡単すぎて暗号通信になっていないネットワークも沢山あるので、暗号プロトコルの脆弱性だけ直したところで「頭隠して尻隠さず」になっているケースも多いと思います。

さて、「なかなか治らない脆弱性」「忘れられた脆弱性」ともいえるプロトコル脆弱性ですが、どんな状況で気をつけるべきでしょうか。

プロトコル脆弱性の影響が最も大きいのは、モバイル環境

はっきり言いましょう。プロトコル脆弱性の影響が最も大きいのは、モバイルです。特に都市部や空港など、不特定多数の人が往来するモバイル環境では誰が何をやっているか、分かったものではありません。

　そんな悪い人はいないよ

と思われたかもしれません。私もそう思います。しかしプロトコル脆弱性を突いてくるのは悪い人だけではなく、悪いプログラム、つまりウイルスやボットネットの類もあるわけで、これがやっかいです。
少し前の話ですが、若い人たちは平均して１日に１つ、アプリを入れ替えているという統計がありました。周りを見渡して、あなたと同じWi-Fiを使っている若い人たちは何人いるでしょうか。その人たちが毎日入れ替えているアプリは、安全でしょうか。怖くなったら、Wi-Fiをオフにしたほうがいいかもしれません。もちろん、問題はWi-Fi に限った話ではなく、Bluetoothを経由することも十分考えられます。

　別に隠すものはないし

という考え方もありますが、プロトコル脆弱性で怖いのは盗聴だけではありません。もっと怖いのは、いつものサイトにアクセスしているつもりが、悪性サイトに誘導されるケースです。もっとも、ネット銀行も買い物もしない、友達もいない、仕事もしないというのであれば悪性サイトに誘導されても平気かもしれません。

なお最近のモバイル系の脆弱性といえば、最新のWi-Fiの脆弱性ともいえるKRACKとならんでBluetoothの脆弱性 BlueBorneが挙げられます。BlueBorneは不特定多数の人が往来するモバイル環境でBluetoothをオフにしたくなるような恐ろしい脆弱性です。（ちなみに、BlueBorneはいくつかのソフトウェア脆弱性とプロトコル脆弱性をごちゃ混ぜにして名前をつけたものです。このように脆弱性の専門家たちもソフトウェア脆弱性とプロトコル脆弱性を、おそらく注意を喚起するために、マーケティング目的で区別せずに扱うことがあるので、少々注意が必要です。）

不特定多数の人が往来するモバイル環境でWi-Fi, Bluetoothを使うことがリスクだとすると、街中ではどうすればいいでしょうか。私は電話ボックスが復活したらいいのにな、と勝手に考えています。ケーブルでつなぐのはオシャレじゃないかもしれませんが、ワイヤレスに比べれば確実に安全です。誰が聞き耳を立てているかわからない満員電車の中で秘密の商談をしないのと同じで、大事なオンライン取引は物理的に隔離した環境でやるべきです。そうそう、ホテルのWi-Fiが狙われている、なんていう話も数年前にありました。

自動設定は究極のプロトコル脆弱性

オーケー、じゃあワイヤレス使ってない俺のパソコンは安全だ。

残念ながら、そこまで単純ではありません。ケーブルでつないでいても、Wi-FiやBluetoothを使っていてもお構いなしに、パソコンはいろいろなプロトコルを喋っています。

　「プリンタはどこ？」
　「ルータはどこ？」
　「プロキシはどこ？」

あなたが相当パソコンに詳しくてこれらの機能を禁止しない限り、パソコンのOSはネットワークにつないだ瞬間にプリンタやルータ、プロキシを探すためにお喋りを始めます。自動設定、カタカナ言葉でいうとプラグ・アンド・プレイというやつです。
この自動設定、じつは相手が誰であれ誰彼構わず語りかけるお喋りなのです。

　「プリンタはどこ？」
　「俺だよ」

この短いやりとりで、あなたの可哀想なパソコンは通りすがりの不審者をプリンタだと思い込みます。
そんなバカな、と思われるかもしれません。しかし、あなたの可哀想なパソコンは本物のプリンタと偽物のプリンタを見分ける術をなんら持ち合わせていないので、通りすがりの不審者のいうことを信じるしかないのです。
こういうバカなことにならないために、自動設定ではなく手動設定に切り替える方法があります。少々面倒ですが、職場に置きっ放しのパソコンなら毎日プリンタやルータが変わることもありませんから、できれば自動設定は切っておきたいものです。
あるいはネットワーク機器に設定を追加して、つながってくるプリンタやパソコンをそれぞれ認証して、登録されていない不審物をつながないようにする方法もあります。

バカいうな、自動設定は便利じゃん。自動設定がないなら俺はネット使わないよ、と怒る「えらい人」も沢山いそうです。しかし、はっきり言いましょう。端末もどんどん小さくなり、ネットに繋いでいたケーブルが見えなくなり（ワイヤレス）、ネットに何がつながっているか把握できていない状況では、自動設定は究極のプロトコル脆弱性です。このためセキュリティに敏感な組織ではワイヤレスをいっさい禁止しているところも多いですし、たとえワイヤレスでつなぐことを許可されても「自己責任でどうぞ」と警告された上で、いちいち認証を求められます。

今回はこれくらいにしておきましょう。次回以降は、https://www.accelia.net/でご覧ください。

コラムは以上となります。

ITエンジニア向け動画配信サービスcrash.academy

アクセリアが運営するITエンジニア向け動画配信サービスcrash.academyでは、著者の門林 雄基が講師をつとめる「標準サイバーセキュリティ」シリーズで、サイバーセキュリティの基礎概念を学ぶことができます。
この機会に是非講座を受講いただき、更なるレベルアップを実現していただければと存じます。

http://crash.academy/

ECのミカタで公開しているコラム

サイバーセキュリティに求められる バランス感覚
https://ecnomikata.com/company_blog/15023/

サイバーセキュリティが損なわれる原因を理解する(1)
https://ecnomikata.com/company_blog/15410/

サイバーセキュリティが損なわれる原因を理解する(2)
https://ecnomikata.com/company_blog/15703/

サイバーセキュリティが損なわれる原因を理解する(3)
https://ecnomikata.com/company_blog/16060/

サイバーセキュリティが損なわれる原因を理解する(4)
https://ecnomikata.com/company_blog/16113/

サイバーセキュリティが損なわれる原因を理解する(5)
https://ecnomikata.com/company_blog/16171/

サイバーセキュリティが損なわれる原因を理解する(6)
https://ecnomikata.com/company_blog/16291/

通信プロトコルの脆弱性(1)
https://ecnomikata.com/company_blog/16396/

※ECのミカタに掲載していないコラムは、以下ページでご覧いただけます。
https://www.accelia.net/column/

著者

門林 雄基

アクセリア株式会社 主幹研究員
奈良先端科学技術大学院大学 情報科学研究科 教授
Adjunct Professor, Unitec Institute of Technology, New Zealand
日欧国際共同研究「EUNITYプロジェクト」日本側研究代表
WIDEプロジェクトボードメンバー