来訪者の登録情報が流出？ 企業などの「受付システム」に見つかった脆弱性の深刻度
ソフトウェアのプラットフォームやコンピューター、そしてIoTデヴァイスには、ハッキングできるものが多い──。ダニエル・クローリーは、そう考えている。IBMのオフェンシヴセキュリーティ担当チーム「X-Force Red」の研究主任を務めるクローリーの仕事は、どこにセキュリティ上のリスクや脅威が潜んでいるかを直感を頼りに探り、それらを暴いて修正につなげるというものだ。
しかし、コンピューター関連のデヴァイスは多種多様であり、それぞれの潜在的な脆弱性も多岐にわたる。手がかりを見つけても、ひとりですべてを追うことはとてもできない。そこで、誇りをもって仕事をする研究主任なら誰でもそうするように、彼もインターンを雇っている。そのうちふたりが、オフィスで日々使われるソフトウェアプラットフォームから多くのバグを発見したのだ。
データの盗難や、なりすましの危険性
IBMは「来訪者管理システム」5つに関して脆弱性を調査した結果を、3月4日（米国時間）に公表した。来訪者管理システムとは、企業や施設を外部の人々が訪れた際に入館手続きをするシステムのことである。企業はこうした来訪者管理システムを購入し、パソコンやタブレット端末などにインストールして使っている。
X-Forceのインターンであるハンナ・ロビンズとスコット・ブリンクは、米国で主流の来訪者管理システムのうち5つを調査し、欠陥を発見した。欠陥のほとんどは、すでに修正済みである。
調査対象となったのは、Jolly Technologies、HID Global、Threshold、Envoy Passport、そしてThe Receptionistのシステム。これらのシステムのどれかで過去に手続きしたことがあれば、攻撃者はあなたのデータを盗んだり、システムであなたになりすましたりできたのだという。IBMのクローリーは次のように説明する。
「実際に使われている製品、デヴァイス、そしてソフトウェアの調査にとりかかると、本当にひどいできのものもあることに気付かされ、驚いてしまいます。そうしたシステムでは、情報が漏れたり、人物が正常に認証されなかったりするだけではありません。攻撃者に基盤ソフトウェアのコントロールまで許してしまい、マルウェアを仕込まれたり、データにアクセスされたりといったことが起きてもおかしくないのです」
外部からの来訪者が利用するゆえの盲点
X-Force Redが分析したシステムは、どれも入館バッジの印刷に使われるシステムとは統合されていなかった。これがもし統合されていたら、さらにセキュリティ面で問題だったはずだ。この点では不幸中の幸いだったが、それでも調査の結果、機密扱いのデータを危険に晒したり、外部には出すべきではないデータを晒してしまう脆弱性が見つかっている。
その原因の一端は、来訪者管理システムそのものの特性にある。多くの組織はリモートアクセス攻撃に備えて防御策を講じているが、ハッカーは設置場所を訪れてシステムの前に実際に立って侵入を試みるのだ。具体的には、端末にUSBメモリーなどを差し込むだけで全自動でデータを盗んだり、リモートアクセス用のマルウェアをインストールしたりできてしまう。
差し込めるUSBポートがなくても攻撃手段はある。例えば、Windowsのキーボードショートカットを使えば、すぐにシステムを乗っ取ることができる。攻撃ではスピードが命であることに変わりはないが、端末の前に2〜3分ほど立っていても、怪しまれることはない。
書き込みまで許す脆弱性も発見
調査対象となった製品のうちThe Receptionist製のものからは、攻撃者にユーザーの連絡先情報を開示してしまう潜在的なバグが発見された。Envoy Passport製のものは、システムアクセス用のトークンを開示してしまう。データの読み込みだけでなく書き込み、つまり入力までも攻撃者に許してしまう状態になっていた。
「IBM X-Force Redは2件の脆弱性を発見しましたが、顧客及び来訪者のデータが盗み出される可能性はありませんでした。発見されたのは、最悪の場合でもソフトウェアのパフォーマンスを監視するシステムに不正確な情報が追加されてしまう脆弱性でした」と、Envoyはコメントを発表している。The Receptionistからは、期限までに回答を得られなかった。
パソコン用のソフトウェアパッケージでは、アクセスにまつわる問題がHID Global製の「EasyLobby Solo」から発見された。攻撃者にシステムを乗っ取られて社会保障番号を盗み出される危険性があったという。Threshold製の「eVisitorPass」にも同様のアクセスに関する問題があり、管理者用のユーザー名とパスワードは推測しやすいものだったという。
HID Globalは、次のように発表している。「IBMのセキュリティ専門家チームによって『EasyLobby Solo』から発見された脆弱性に関して、HIDは修正版の開発を行いました。EasyLobby Soloは世界でもごく一部でしか使われておらず、HIDはEasyLobby Soloの旧ヴァージョンのソフトウェアを使用しているお客様をすべて特定しました。現在、弊社からお客様に連絡をとり、修正版への移行のための情報提供や手順の説明を進めています」。Thresholdからは期限までに回答を得られなかった。
過去の来訪者記録が筒抜けになる事例も
Jolly Technologiesの「Lobby Track Desktop」というシステムからは、IBMはなんと7件ものバグを発見した。例えば、Lobby Trackの端末の前に立つだけで簡単に記録照会ツールにアクセスできてしまい、それを改ざんすることで、システムに保存された過去の来訪者の受付記録をすべて盗み出せるという。盗み出せる記録には、運転免許証番号まで含まれる可能性があるとのことだ。
IBMは、問題が発見された5社すべてに脆弱性に関して情報提供を行っている。このうちJolly Technologiesは唯一、修正パッチを配布しなかった。同社によると、7つの問題はすべてシステム設定を変更すれば回避できるのだという。同社の顧客サーヴィス部長であるドニー・リトルは、次のようにコメントを発表している。
「IBMのセキュリティチームによって7件の問題が報告されましたが、どれも簡単な設定で回避できるものです。『端末モード』設定を使用可能な状態にしているのは、ユーザーでソフトウェアをカスタマイズして、それぞれのニーズに合う使い方をしていただくためです。設定項目と設定オプションに関してはすべて、販売前のデモ、お客様側でのテスト、そしてインストール時に、弊社のサポート担当技術者から説明させていただいています」
これに対してIBMのクローリーは、ユーザーの利用シーンを想定すると、特定の機能を有効にしようとしている場合を除けば、大多数のユーザーは標準設定のまま使うだろうと指摘している。
「これは氷山の一角にすぎない」
今回の調査を実施した技術者によると、一般的に来訪者管理システムはセキュリティ製品として売り出されているにもかかわらず、実際に来訪者を認証するメカニズムを備えていない状態であることが多いという。IBMのクローリーは、次ように語る。
「端末の前に立つ人物を信頼のおける来訪者であると特定するシステムとして売り出されているなら、QRコードやパスワードなどを使って、その人物がなりすましではないことの証明を求める仕組みを備えるべきです。しかし今回調査したシステムは、どれも立派な見た目をしていながらも、内実は単なるゲストブックのようなものだったのです」
クローリーは今後、非接触ICカードなどに対応した来訪者管理システムを、さらにに深く分析したいという。ドアロックと統合されていて、入館バッジの発行もできるようなシステムだ。
これらに1つでも問題があれば、攻撃者は攻撃対象の組織に実際に広く足を踏み入れることが可能になるかもしれない。それだけでなく、攻撃対象のデジタルネットワークの防御を、さらに解除できてしまう危険性もある。セキュリティの専門家は、これまでも電子アクセス管理システムから脆弱性を発見してきたし、これからも発見し続けるだろう。
「これは氷山の一角のようなものです」と、クローリーは言う。だが、たった2〜3週間だけインターンが調査しただけで発見されたバグを見れば、こうした重要なシステムにほかにどんなバグが潜んでいるか見当はつきそうなものだ、とも指摘する。「このプロジェクトを誰かにやらせたいと思っていました。そのひとつの理由は、取りかかる時点ですでに、次から次へとバグが見つかるとわかっていたからです」
