パスワードを忘れた? アカウント作成
13834569 story
暗号

人気IoT製品の3割以上がコンパニオンアプリとの通信を暗号化していないという調査結果 18

ストーリー by headless
経路 部門より
ブラジル・ペルナンブコ連邦大学と米ミシガン大学の研究グループが人気IoTデバイスのコンパニオンアプリを調べたところ、半数が通信を暗号化していないか、暗号鍵をハードコードしていたそうだ(論文アブストラクトThe Registerの記事)。

IoTデバイスの多くはスマートフォンから操作できるよう、コンパニオンアプリを提供している。IoTデバイスの脆弱性はファームウェアを解析することで調査できるが、実機を入手する必要があるため多数のデバイスを調査するのは困難だ。一方、アプリストアから無料で入手できるコンパニオンアプリの調査は容易だ。同一メーカー製品ではコンパニオンアプリを共有することが多いので、効率よく調査を行うことができる。 

研究グループはAmazonでIoTデバイス売り上げトップ100からWi-FiまたはBluetoothでの通信に対応した96製品を抽出し、対応するAndroid版のコンパニオンアプリ32本を調査している。このうち10本が通信を暗号化しておらず、6本が暗号鍵をハードコードしていたという。これら16本で37製品に対応する。なお、調査ではネイティブコードを除外しているため、他のアプリでも暗号鍵がハードコードされている可能性が指摘されている。

以上はアプリのみの分析だが、うち5製品については実際に購入して通信内容も含めて分析し、エクスプロイトによる任意の操作に成功している。5製品はWi-Fiを使用するスマートプラグ/電球/赤外線リモコンという条件で絞り込んだ中からランダムに選択したもので、対応するコンパニオンアプリはTP-LinkのKasa for Mobile(現在の名称はKasa Smart)、Lifi LabsのLIFX、BelkinのWemo、Broadlinkのe-Controlの4本となる。研究グループは論文公開前に各メーカーへ脆弱性を伝えたが返答はなく、修正された様子もないとのことだ。
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • うんこボタンは証明書のフィンガープリントだったし交換したので、まだマシなのか

    # そもそもサーバとの間であって、アプリとじゃないはずだが

    --
    M-FalconSky (暑いか寒い)
    • by Anonymous Coward on 2019年02月09日 14時21分 (#3562493)

      まぁ、現実的なところで、じゃぁ、どうやって暗号鍵をアプリとデバイス間で共有するかという問題はあって、
      最初のハンドシェークは十分安全な状況で行われると仮定して、そこで交換するぐらいしかないよなぁ。
      デバイス側にデバイス固有の鍵を書き込んでおいて・・・っていうのもアリではあるけど、大量生産ってことを
      考えると、シリアルとかの固有番号をファームに書き込むのはいろいろと大変ではあるんだよなぁ。
      TPMでも乗っけるぐらいの余裕があればいいんだけどさぁ。

      親コメント
      • by Anonymous Coward

        耐タンパ性がないなら、出荷時にハンドシェイクが済んでても状況は変わらないんじゃ。

        • by Anonymous Coward

          耐タンパまで考えるとなるとさらにハードルが上がるけど、さすがにそこまで要求するといくらになるのですかねぇっていう部分が。

          • by Anonymous Coward

            開かない前提なら、「通信経路の暗号化」「認証につかう鍵(パスワード)のハードコード禁止」「ブルートフォース対策」の3つで十分だろうから、ストーリーで暗号化通信とハードコードを検証してるのは合理的だと思う。

  • by Anonymous Coward on 2019年02月09日 11時47分 (#3562456)

    最近のはとにかく情報送信しがちだから純正アプリを使いたくない。
    セキュアに作られていない人気IoTはオープンソースの非公式アプリが登場したりと攻撃リスクよりもメリットの方が大きい。

    #アクティビティトラッカーは非公式アプリ一択

    • by Anonymous Coward

      コンパニオンアプリってなんだろ
      メーカー謹製情報収集マルウェア?

  • by Anonymous Coward on 2019年02月09日 12時21分 (#3562469)

    イタズラするのは難しいと思うがどうだろう。

    • by Anonymous Coward on 2019年02月09日 13時24分 (#3562485)

      より正確にはイタズラするのは簡単だけどイタズラ以上のことをするのは難しいってところじゃないかな。

      # イタズラの境界とは?

      親コメント
    • by Anonymous Coward

      IoTデバイスのペアリングなんて0000と1234試せば8割くらい当たるだろ。
      今つながっているから受け付けない、というなら切ればいいだけ。通信は暗号化されてないんだから。

      • by Anonymous Coward

        bluetooth って機器側でペアリングモードにしないとペアリングできないんじゃないんだっけ。

  • by Anonymous Coward on 2019年02月09日 16時11分 (#3562523)

    Wi-Fiを使用するスマートプラグ/電球/赤外線リモコンという条件で絞り込んだ中からランダムに選択した

    アメリカで大流行してるスマートスピーカーとか、ペット監視用のwifiカメラとか、そういうのに対して外部から通信データを盗み見たり、制御奪ったりできたというのならまだしも・・・

typodupeerror

目玉の数さえ十分あれば、どんなバグも深刻ではない -- Eric Raymond

読み込み中...