【Bitdefender海外ブログ】乗っ取られる可能性のあった防犯カメラが出荷前のバグ修正で混乱回避へ

SECURIE HOME 2018.12.20

ツイート シェア 送る はてブ

便利なネットワーク防犯カメラに致命的なバグが発見される

最近、スマートホームマニアを中心に、便利なモバイルアプリ対応の防犯カメラがブームとなっています。旅行中に自宅を監視できるだけでなく、野良猫が植木鉢を倒した瞬間のライブ映像なんかも取得できます。本当に素晴らしい機能を持ったデバイスですが、そのインターネットに接続されたカメラを乗っ取り、ユーザーのプライバシーを侵害できる方法が発見されました。

ペン・テスト・パートナーズ（Pen Test Partners; 以降PTP）が行ったある実験にて、防犯カメラには想像以上の問題が潜んでいることが明らかになりました。Swann製監視カメラの脆弱性に関するBBCのレポートを受け、PTPは同テクノロジーに精通した意欲的なチームを編成。同製品の基盤に忍び込み、この問題を再現しました。その結果、Swannスマートセキュリティカメラに潜む脆弱性の存在を確認しただけでなく、さらに深刻なことに、カメラIDを交換するだけで、何百万マイルも離れた場所にある装置にもアクセスできることが判明しました。

カメラの所有者が "Safe by Swann"（皮肉にも、「Swannによる安全確保」を意味する）サービスからシステムにログインすると、モバイルアプリがそのアカウントに紐付けされているデバイスをサーバーにリクエストします。プロキシ経由でインターネットに接続してシリアル番号を盗み、ハッキングした情報に推測も交えながら、そのシリアル番号を別のカメラIDの番号に変更しました。

ハードウェアのバグだけにとどまらずクラウドサービス設定にも問題が

同チームは、次のように報告しています。「クラウドサービスから、あるカメラの動画映像を別のカメラの映像に切り替え、任意のカメラにアクセスすることに成功しました。」

問題はハードウェアに留まらず、製品のクラウドベンダーであるOzvision側にもありました。

同チームは、次のように述べています。「今、このモバイルアプリは別の誰かのカメラ情報を見ています。ユーザーはアプリで「再生」を押すだけ。すると、変更後のシリアル番号を使ってdeviceWakeupにリクエストが送られ、そのシリアル番号でOzvisionからデバイスへのトンネルが形成されます。これで、カメラのライブ映像を視れるようになりました。」

乗っ取りの仕組みは、PTPからの詳しい発表に分かりやすく掲載されていますが、重要な点は、同チームの次のコメントに表れています。

バグが不正なハッカーに発見されていれば大惨事となっていた

「この脆弱性が不正なハッカーに発見され、ベンダーと共に責任ある公開プロセスに通されていなければ、どうなっていたでしょうか。ユーザーの情報や私的な動画映像がインターネット中にばら撒かれていた可能性があります。保護規制や、GDPR（一般データ保護規制）上の大惨事と化していたかもしれません。」

PTPは、SwannのようなIoTベンダーがパートナーを使う場合は、パートナーの言葉をそのまま信じるのではなく、不用心なユーザーにオンラインで製品を利用させる前に、そのオファリングを徹底的に調べ上げることを強く提案しています。

さらに、同チームは、次の点を強調しています。「認証と許可を混同しないでください。ユーザーが認められたコンテンツのみを閲覧できるようにすることが極めて重要です。お使いの開発会社に安全な開発ライフサイクルを理解させ、確実に遵守させてください。」

Swannは、この不具合に関するPTPからの通知を受け、責任を持って、速やかに監視カメラにパッチを適用したと報告しています。

ユーザーの皆さんも、お使いのIoTハードウェアのファームウェアを常に最新状態に保ち、専用のソリューションでスマートホームの安全を確保することを検討しましょう。

翻訳元記事：IoT vendor avoids outcry before bug in security cams goes public

ネットワーク防犯カメラなどスマート家電を安全に使用するためのヒント

1. リサーチを行う
知名度が高いブランドを選んでください。セキュリティに対してより真剣に取り組んでいます。

2. 初期パスワードを変更する
多くのスマート家電には、メーカーが初期パスワードを設定しています。このパスワードを変更しないまま放置しておくと、不正侵入の原因となるため、必ず変更するようにしてください。パスワードは8文字以上で作成し、大文字・小文字・数字・特殊文字を使用すると強度が高くなります。

3. セキュリティ更新や修正情報を確認する
メーカーが発表している最新のセキュリティパッチ情報を常に確認し、OSやファームウェアを最新に保つようにしてください。または脆弱性診断ツールを使用して、自動的にこれらの情報を確認できるようにすると便利です。

4.スマート家電専用のWi-Fiネットワークを作る
スマート家電用にもう1台ルーターを用意し、個人情報など重要な情報を保存しているPC等と、スマート家電のWi-Fiネットワークを分けておきます。この方法により、万が一スマート家電がハッキングされた場合でも、個人情報に侵入される心配はありません。多くのルーターは、ゲストネットワークを設定できるようになっていますので、この機能も活用しましょう。

5.専用のソリューションを導入する
SECURIE powered by Bitdefenderは、スマート家電、PC、タブレット、スマートフォンなどをまとめて保護します。弱いパスワードなどのデバイスの脆弱性を自動的にスキャンする脆弱性診断や、普段の動きを把握し、異なる通信をした場合に検知する異常検知、攻撃の侵入検知など、ホームネットワークを侵入から防ぐ機能が搭載されています。さらに、高性能セキュリティソフトが台数無制限でご利用いただけますので、外出中でもモバイルデバイスを守ることができます。

「ご家庭」への導入はこちら