カメラ機能の脆弱性で覗き見される恐れ【ネットワーク接続で利用する機能は慎重に使おう】
IoT機能をうたうスマート家電市場が活況を浴びています。
手軽にスマートフォンのアプリからリモートでモニタリングやコントロールができる機能は、うまく生活パターンに取り入れることで時間や空間を節約してくれ、気分も上がりますよね。
ただ、ネットワーク接続するということは、誰でもアクセスできる環境にあるということ。つまり、自分だけ利用しているつもりが、他人からも利用されていたなんてことが起こり得るのです。
実際に、カメラ機能が悪用され覗き見される脆弱性を持ったまま市場に出回った製品がありましたので、確認してみました。
ロボット家電の脆弱性
部屋を自動で掃除してくれるロボットの「ルンバ」は有名ですよね。いろいろなメーカから発売されていて、掃除だけでなく、音声操作やカメラ搭載でリモート操作可能な機能まであるみたいです。ここまでくると、家事全般をこなせるロボットがあっても不思議でなないです。もうあるのかな？
シャープ製のロボット家電COCOROBOもそんな製品の一つです。
COCOROBOの製品ラインナップに「ネットワーク機能が充実したクラウドモデル」として、外出先から操作したり、カメラ搭載で部屋の様子を確認できたりする機能を持った製品があります。
この製品で2017年11月に脆弱性が見つかりました。内容は「セッション管理不備の脆弱性」です。
JVNの掲載リンクは以下の通りです。
ちなみに、JVN（Japan Vulnerability Notes）とは、日本で使用されているソフトウェアなどの脆弱性関連情報とその対策情報を提供するポータルサイトで、JPCERTコーディネーションセンターと独立行政法人情報処理推進機構（IPA）で共同運営されているものです。
詳細情報：シャープ株式会社が提供するロボット家電COCOROBOは、掃除機能を搭載してロボットです。ロボット家電COCOROBOには、セッション管理不備（CWE-639）の脆弱性が存在します。
想定される影響：同一LAN内の第三者によって、当該製品にアクセス中のユーザになりすまされる可能性があります。結果として、任意の操作の実行、情報の漏えいや改ざんなどの可能性があります。
脆弱性の中身をもう少し詳しく
COCOROBOは、カメラと無線LANの機能を搭載しています。部屋の無線LANアクセスポイント経由でスマホの専用アプリからCOCOROBOを操作できます。
専用アプリとCOCOROBOの通信では、データを暗号化しないHTTPを使用します。最初にユーザIDとパスワードのやり取りのあと、命令を送るごとにセッションキーで正規のユーザからの命令と認識します。
暗号化されていないこと自体は脆弱性ではありませんが、COCOROBOが稼働しているネットワークにアクセスできれば、セッションキーなどを盗聴できます。
セッションキーは、通常、セッション、つまり通信のたびに再生成されるので、一度、盗聴されたとしても次回以降のセッションでは盗聴できません。
ところが、COCOROBOではセッションキーが毎回同じ値を使用し続ける仕様になっていました。これが脆弱性です。
どうすれば安心か
結論からいうと、ネットワーク接続で使用する機能を絶対的に安全に使う方法はありません。 便利な機能が多様化するのと同時に、脆弱性と、さらに攻撃パターンも多様化します。
少しでも危険度を下げるために、利用者が意識することをあげると以下のような感じでしょうか。
- ネットワーク接続機能を持った製品をリスト化して、脆弱性やファームアップ情報は常にチェックできるようにしておく（そもそもアフタサービスがない製品はには手を出さない）
- パスワードなど初期設定に注意する
- 使用しない機能（カメラ、マイクなど）は物理的に塞ぐ（マイクはOFF）
