【セキュリティ魂】圧力とセキュリティ開示！安全性と特許・著作権の狭間に見えるもの

-中止されたブラックハットDC講演の真相-

　2006年２月28日〜３月１日、バージニア州で開かれたブラックハットDCコンファレンス。その１日目に予定されていたiOActive社の研究者、クリス・パジェット氏のスピーチに「待った」がかかった。その経緯を紹介しよう。

　バージニア州アーリントン市は、ポトマック川を隔てたワシントンDCの対岸に位置する。アーリントン国立墓地、麻薬取締局 （Drug Enforcement Agency, DEA)、国防総省 （Department of Defense、そのビルディングが五角形のことから俗称ペンタゴン）などはアーリントン市に位置し、ワシントンDCと共に連邦各省のオフィスが多数位置している。毎年２〜３月に開かれるブラックハット・ブリーフィング＆トレーニングDC（以下ブラックハット）は、こうした連邦各省に勤める役人や、出入りする業者をターゲットにしているセキュリティ・コンファレンスである。

　今年のブラックハットは、１時間強のスピーチ（プレゼン）が22個用意された。内容も、「機敏なインシデント・レスポンス（事件への対応）」、「ファームウエア・ルートキットの企業への脅威」など、実践に役立つ内容のものが多い。毎年夏にラスベガスで開かれるブラックハット・ブリーフィング＆トレーニングUSAに比べると規模は小さいが、参加者もスピーカーもスーツを着た人が多く、かしこまった雰囲気だ。

　クリス・パジェット氏はIOActive社研究開発部の部長。彼が得意とするのはハードウエアセキュリティで、彼自身が英国からの移民であることから、パスポートや飛行機の搭乗券、永住権者カード（通称グリーンカード）のセキュリティに強い関心を持っている。今回も「初心者向けのRFID」と題したスピーチをする予定だった。パジェット氏はこの発表で、IOActive社がたまたま社員"鍵"に使っているHID社のICタグから、安価で簡単に手に入る機器と電子パーツでもってICタグのチップに記載されている情報を引き出し、コピーを作成。これによって、いかに簡単に偽りの"鍵"が作れるかをデモし、セキュリティーがビルトインされていないICタグを身分証明書や"鍵"に使うのは危険であることを訴えようとした。

　ところが、発表の５日前にIOActive社はHIDグローバル社から手紙を受け取った。この手紙 でHIDグローバル社は、「HIDグローバル社のRFIDカードとリーダーは特許で守られています。貴社の"スプーファー"はHIDのカードをクローンするものであり、HIDの特許を侵害すると考えられます。ブラックハットで仔細を発表する場合、特許侵害による更なる責任が発生します。HIDが知的所有権を保持する内容のプレゼンを、ブラックハットなどで行わないことを要求します」と、発表すれば特許侵害により訴訟を起こすことをほのめかした。

　これを受けてIOActive社はスピーチを辞めることに決定。プレスリリースでも「弁護士と相談した結果、HIDグローバル社の要求を満たし、当社の研究員へのさらなる法的行為を回避するすために、ブラックハットでのプレゼンを辞退することに決定しました」 と発表した。最終的にパジェット氏、ACLU（米市民的自由連盟）の弁護士ニコル・オザー氏、CERTの代表、ブラックハット社の代表を含めたパネルディスカッションといった形で、部分的なリサーチの発表を行うだけにとどまった。

　ブラックハット・ブリーフィングス＆トレーニングスを主催するブラックハット社のコンファレンスでのプレゼンに対して、企業から抗議が出たのは今回が初めてではない。2001年の夏、当社が主催するセキュリティ・コンファレンスのデフコンで、ロシア人の研究者デミトリ・スキアロフ氏が、デジタルミレニアム著作権法違反の嫌疑で実際に逮捕されているのだ 。逮捕される数日前に、スキアロフ氏はアドビ社のAcrobatのセキュリティの"クラック"をプレゼンしている。が、アドビ社の著作権の侵害を背景にアドビ社がFBIに圧力をかけ、刑事事件として逮捕を要求したという説が有力だ 。

　発表内容の種類としては、今回のRFIDの"クラック"と、Acrobatのクラックは同じ著作権侵害に関するもの。ことによってはクリス・パジェット氏の逮捕もあり得る。IOActive社がプレゼンを取りやめたのも納得できる。

　が、この"プレゼン取りやめ事件"は、RFIDに関する問題点を新たに提起する結果になった。

　さて、その問題点とは何だろうか？ その一つは、RFIDの適正な使用法である。RFIDはパッシブ方式とアクティブ方式に分けることができ、パッシブ方式はRFIDリーダーからの電波をエネルギーとして動作する。つまり、RFIDリーダーが、タグから一定の距離に近づいた時にのみ、タグが記載されている内容を発信する。一方アクティブ方式は、タグ自体が電池を内蔵しており、RFIDリーダーが近くにある、なしにかかわらず、タグは自らが電波を発する。

無線通信によって外部からその情報を読み書きするICタグ。