使っていないBluetoothを「必ずオフ」にしておくべき理由

家を出るときに鍵をかけるのも、スマートフォンに何がしかのロックをかけるのも、言わずもがなの行為だ。が、デジタル通信の世界では、Wi-Fiや携帯回線の接続ポイントなどの“開けっ放しにされた入り口”がたくさんある。もっとも、これは想定内のリスクであり、このリスクに見合う価値があるといえる。

だが、Bluetoothではこの想定は通用しない。どうしても必要なとき以外は、Bluetoothをすぐにでもオフにしておくべきだ。

［編註：新型コロナウイルス接触確認アプリを利用するためにはBluetoothをオンにしておく必要がある］

攻撃者の天国

米国のセキュリティ企業Armisは、9月12日付けでBluetoothの脆弱性のひとつ「BlueBorne」を発表した。この脆弱性をもつデヴァイスでBluetoothがオンになっていると、一連の脆弱性を悪用した攻撃を仕掛けられる可能性がある。

もっとも、この脆弱性はBluetoothの規格そのものに存在するわけではなく、OSのBluetooth実装に存在する。「Windows」「Android」「Linux」「iOS」で以前から存在していたものだ。そのため、数百万台のデヴァイスが被害を受ける可能性がある。

ゆえに、使っていないときはBluetoothをオフにしてほしい。デスクの上にノートPCを置いて、マウスやキーボードをBluetoothで接続したい人にとっては面倒かもしれない。Bluetoothヘッドホンを使うために、Bluetoothのスイッチをいちいち切り替えるのもわずらわしいだろう。だが、ほとんどの時間は、Bluetoothを使っていないのではないだろうか？

特に注意してほしいのは、Bluetoothを搭載したIoTデヴァイスだ。「攻撃者にとっては天国のような場所です」と、米国のセキュリティ企業のWebrootでエンジニアリングおよびサイバーセキュリティ担当ヴァイスプレジデントを務めるデイヴィッド・デュフールは言う。

「コンピューターのBluetoothをオンのままにしておくと、Bluetoothは『おい、誰かいるかい？』と言わんばかりに、周囲のデヴァイスを探し始めます。そして、見つけたデヴァイスに次々と接続し、オペレーティングシステムやBluetoothのヴァージョンといった情報を調べ出します。こうして、あっという間に悪事を開始できるのです」

「BlueBorne」という脆弱性の問題

セキュリティホールを見つけようとする研究者や攻撃者は、デヴァイス本体のセキュリティが向上しているため、付加的な機能やコンポーネントに目を向けるようになっている。7月にはセキュリティ研究者によって、広く普及しているBroadcom製のモバイルWi-Fiプロセッサーで脆弱性が発見され、パッチを適用しなければ10億台ものデヴァイスがリスクにさらされる可能性があると指摘された。それに先立つ2015年には、Bluetoothを利用したファイル共有機能であるアップルの「AirDrop」で、深刻な脆弱性が発見されている。

そして、今度はBlueBorneだ。アップルのiOSの場合、2016年にリリースされた「iOS 10」以降はこの脆弱性の影響を受けない。Windowsでは、マイクロソフトが7月にパッチを公開している。グーグルは、パッチを公開するための取り組みを続けているところだ（ただし、しばらく時間がかかる可能性がある）。

だが、BlueBorneの場合、スマートフォンやPCといった主要なデヴァイスだけでなく、世界中にたくさんあるBluetooth搭載のIoTデヴァイスが危険にさらされる可能性がある。これには、スマートTVやスピーカーはもちろん、スマート電球も含まれる。この手のデヴァイスの多くはLinuxを搭載しており、更新プログラムを入手するシステムをもっていない。また、そうしたシステムがあったとしても、実際に更新プログラムを受信することはめったにない。Linuxでは、Bluetooth用のパッチの開発を進めているが、まだ公開には至っていない。

「この問題については、わたしたちは研究者のコミュニティにも参加してもらいたいと考えました。その理由は、これらのバグを見つけるのにたいした時間がかからなかったからです。1つのバグから別のバグが次々と見つかり、最終的には8つの非常に深刻な脆弱性が見つかりました」と、Armisの研究責任者ベン・セリは振り返る。「わたしたちは、もっと多く（の脆弱性が）あると考えています。この数年間、研究者のコミュニティやヴェンダーはこの種の脆弱性にほとんど目を向けていなかったのです」

デヴァイスのBluetoothをオンにすると、Bluetoothは常に開かれた状態になり、他デヴァイスからの接続を待つようになる。そのため、BlueBorneを悪用した攻撃は次のようなプロセスで開始されると、Webrootのデュフールは言う。

手口

攻撃者はまず、Bluetoothがオンになっているデヴァイスを探し、デヴァイスの種類やオペレーティングシステムなどの情報を調べて、目的の脆弱性があるかどうかを確認する。そして、その脆弱性が見つかれば、すばやくハッキングを行うのだ（10秒もあれば完了するという）。これで、攻撃者は自由自在に悪事を働けるようになる。ハッキングしたデヴァイスを何かに接続させる必要はない。また、そのデヴァイスのBluetoothがほかのデヴァイスとペアリングしていても攻撃を仕掛けられる。Bluetoothのバグを利用すれば、乗っ取ったデヴァイスを制御したり、内部のデータにアクセスしたりすることが可能だ（おそらく盗み出すことも）。また、この脆弱性を持つ他のデヴァイスが近くにあれば、すぐにそのデヴァイスに攻撃を拡散できる。

Bluetoothに存在するほかのほとんどのリモート脆弱性と同じように、BlueBorneを悪用した攻撃を仕掛けるには、対象のデヴァイスに接続できる距離（およそ10m以内）にいなければならない。だが、BlueBorne用のパッチをたくさんのデヴァイスに提供できたとしても、人の多い場所や建物には、脆弱なデヴァイスがまだたくさん残っている可能性がある。

Bluetooth保護の重要性は、いままでないほど明らかだ。実際、Bluetoothの標準化団体「Bluetooth Special Interest Group」は、最近のヴァージョンで、セキュリティ（特に暗号化機能のアップグレード）を重視している。だが、BlueBorneのようなBluetoothの実装に存在する脆弱性を狙った攻撃が話題になっていることも事実だ。米国立標準技術研究所（NIST）は、2017年5月に改定した「Guide to BluetoothSecurity［PDFファイル］」において、「適切に保護されていないBluetoothの実装を狙った攻撃を仕掛ければ、Bluetoothデヴァイスやほかのシステム、あるいはそのデヴァイスが接続しているネットワークで、機密情報にアクセスしたり不正利用を行ったりできる」と指摘している。

新しく見つかったBluetoothの脆弱性に対応したパッチがリリースされるのか、されるとすればいつなのかについては、ユーザーはどうすることもできない。また、多少のリスクがあるというだけで、Bluetoothの利用を完全にやめることも難しいだろう。それでも、入手可能なパッチはすべて適用し、Bluetoothを使わないときにはオフにしてほしい。「セキュリティに関しては、流行が毎週入れ替わっているような状況です」とWebrootのデュフールは述べる。「そして、“今週の流行”はBluetoothなのです」

セキュリティ対策ではたいてい、リスクとメリットのどちらを優先するのか、防御性と利便性のどちらを取るのかが問題になる。だが、Bluetoothの場合、その判断は簡単だ。

TEXT BY LILY HAY NEWMAN

TRANSLATION BY TAKU SATO/GALILEO