# オープニング #教科書に書いてないこと どうもー。セキュリティジョッキーの松野です。 6回目のセキュリティ会社企業を目指して、サイバーセキュリティの最新ニュースについて 解説しております。ということでね 今日は教科書に書いてないことに関する話なんですけども そうですね 教科書に書いてあることは おおむね答えがあることかなと思ってまして その逆ですよね。教科書に書いてないことは答えがないことになるかなと思っています 答えがあることをですね早く正確に見つけること これをですね僕らは学校で主に学んできたというふうに思っていまして 逆に教科書イコール学校なんですかね 学校で教えてくれないことというのは答えがなかったり もしくは答えが一つじゃなかったりみたいな そういったことは必要に迫られてですかね または環境に応じて学ぶことができたのかなと思っています 僕自身もですね、どれだけ大目に見てもですね 決して勉強ができた方ではないんですけども 人生でですね、これは必要か不要かはさておきですね 社会的にももしくは身体的にもあとは経済的にもですね 何度も死にかけたことがありまして、その局面をですね 乗り切るために必死でこう勉強したというかですね 学んだということがありました 追っかけてですね、その生きていくためにですね なんとかしなければならないということで、それを乗り越えるたびにですね 成長してきたとこういうことがあったような気がします ですからそのいろんな頭のいい方と比べるとですね 本当に恥ずかしい限りなんですけども こうしてですね、セキュリティだけはそこそこですね 詳しいというかですね、こうしてお話もさせていただけるぐらいのですね 能力を身につけられたのは、それがですね 僕自身生きていくためのものであって、そういったものはですね どちらかというと、よく聞かれるんですけどね どうやって勉強してるんですかと あまりこうして学んだなというのはないんですよね どちらかというと教科書からではなくて、生きる中で生きるためにですね 学んだのが僕にとってのセキュリティかなというふうに思っております ということで今回は 複数のスマートフォンで見つかった 起動時の安全確認の仕組みに関する脆弱性について取り上げております この放送を通じてリスナーの皆さんは 脆弱性の影響を受ける機種とその対策 そして私たちが取るべき行動について 理解を深めていただければと思います それではどうぞ # 楽天モバイルの複数のスマートフォンの Android Verified Boot 機能で既知のテスト用鍵がそのまま使用されている問題 楽天モバイルの複数のスマートフォンのAndroid Verified Boot機能で基地のテスト用鍵がそのまま使用されている問題 独立行政法人情報処理推進機構IPAおよび一般社団法人JPサートコーディネーションセンター JPサートCCは10月14日楽天モバイルの複数のスマートフォンのAndroid Verified Boot機能において 基地のテスト用鍵がそのまま使用されている問題についてJapan Vulnerability Notes JVNで発表した こちらの記事を簡単に解説お願いできますでしょうか はい。IPAとJPサートCCは10月14日にJVNで今回の問題を発表しました 楽天モバイルが提供する複数のスマートフォンではAndroid Verified Boot略してAVBという機能にAOSPのテスト用鍵が使われていました 影響を受けるのは楽天ミニ、楽天ハンド、楽天ハンド5G、楽天VIXのすべてのバージョンです 影響としては端末に物理的にアクセスできる人に採掘されたシステムイメージをインストールされる可能性があります 対策については開発者がすでに該当製品のサポートを終了しているため修正は提供されません JVNでは後続製品への乗り換えなどを検討するよう呼びかけています Android Verified Bootとはどのような機能なのでしょうか はい。AVBはスマートフォンの電源を入れたときにOSが正規のものかをデジタル署名で確かめる機能です 署名が合わなければ改ざんされたとみなして警告を出したり軌道を止めたりします いわば空港の入国審査のように軌道の度に身元を確認する仕組みです この審査で使う鍵が弱いと審査そのものが意味を失ってしまいます 普段は意識しない裏側の機能ですがマルエアが端末を深い部分に居座るのを防ぐ重要な土台になっているのです AOSPのテスト用鍵とは何なのでしょうか はい。AOSPとはAndroidの元になるオープンソースのプロジェクトのことです そこには開発者が動作確認に使うためのテスト用鍵が誰でも見られる形で公開されています つまり世の中の全員が知っている合鍵のようなものです 製品を出荷するときはメーカーが自社だけの秘密の鍵に差し替える必要がありますが今回はそれが行われないまま出荷されたとみられます 公開されている鍵で署名すれば誰でも正規のOSのように見せかけられるため署名による確認が事実上機能しなくなるのです なぜこのような問題が起きてしまったのでしょうか はい。記事には原因の詳しい経緯までは書かれていません ただ一般的には開発中の設定が製品版に残ってしまったり鍵の差し替え手順が出荷の確認項目から漏れていたりすることで起きます 動作で指標が出ないため利用者はもちろんメーカーも気づきにくいのが特徴です まさに教科書には載らない現場で起きる落とし穴ですね 物理的アクセスが必要ということは遠隔から攻撃される心配は少ないのでしょうか はい。インターネット経由ですぐに乗っ取られる種類の問題ではありません ですからリスクは比較的限定的です ただし紛失や盗難、修理に出したときあるいは一時的に端末を預けたときなどは危険です 採掘されたOSを入れられると内部の情報を盗まれたり不正なアプリを仕込まれたりする恐れがあります 端末を手放す場面では特に注意してください 例えばミシラのミシに修理を頼むときは事前にデータを消去してバックアップを取っておくと安心です サポートが終了した機種を使い続けるリスクと私たちが取るべき行動を教えてください はいサポートが終了すると新たな脆弱性が見つかっても修正は届きません 今回のように対策が乗り換えしかなき場合もあります まずお使いの機種は対象化確認し該当するなら後続機種への買い換えを検討しましょう それまでの間は端末を人に預けない画面ロックを設定する重要なデータを入れないといったリスクを減らす工夫が有効です 会社で使っている場合は情報システム部門にも相談し利用を続けて良いか確認してもらいましょう なるほど今回は起動時にOSの正しさを確かめる機能があっても使う鍵が公開されたテスト用のままでは意味がなくなると学びました 物理的なアクセスが必要でも紛失や修理の時は注意が必要でサポート終了の機種は買い換えも検討すべきなのですね また一つ勉強になりました # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、複数のスマートフォンで見つかった 脆弱性ということでした。 テスト用の鍵はですね、 製品版にも使われてしまったということでですね、 起動時の安全確認の仕組みに 問題が生じてしまったということです。 この鍵ですね、なぜこれが、テスト用の鍵がですね、 危険かというとですね、極めて答えはシンプルで、 すべての人が知っている、 持っているということになります。 この鍵ですね、様々な用途に使われると、 こういうところなんですけども、 現実世界でですね、考えていただくと、 例えば家の鍵だったり、車の鍵ですね、 これがすべての人が持っているものを使った場合ですね、 何が起こるかというのは、 もちろん皆さんも想像がつくと思います。 家には誰でも入れるし、 車は誰でも運転できてしまうということですね。 もはやその鍵の役割を果たせない ということになってしまいます。 じゃあなんでですね、そういった鍵の役割が 果たせない状況になってしまったのかというところですね、 これを考えてみたんですけども、 一つはですね、その鍵の用途が わからなかったんじゃないかということが考えられました。 先ほど言った通りですね、家の鍵であれば大事でしょうと、 車の鍵であればですね、これまた大事でしょうということは、 多くの人にとって当たり前の話になるわけです。 それはその鍵の用途がわかっているからということですよね。 その鍵をなくした場合の影響というのも 当然わかるわけです。 その鍵の用途がわかっていないとですね、 その重要性にも気づけないということもまたしかいということですね。 そういったことから、今使っているそのソフトウェア、 もしくはこの鍵ですね、 何の役割なのかということは十分に理解して 開発していただければと思います。 今日の10分セキュリティラジオは、 月曜から土曜に祝日も休まず配信しております。 それではまた明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。See you.