カテゴリー
ガジェット

Eye Disk – 虹彩認証で「ハック不可能(unhackable)」を謳ったUSBメモリのパスワードが簡単に見えてしまう

Kickstarter でプロジェクト成立した Eye Disk は、内蔵カメラで利用者の目の虹彩パターンをチェックし、登録した本人だけがその内容にアクセスできるというクールなUSBメモリです。

… 製品が額面通りのものであれば。

本人の目の虹彩パターンに合致しないと中身にアクセスできないUSBドライブ。万一虹彩認証が通らなかった時には、登録しておいたパスワードでも解除ができます。

プロジェクトのトップには “unhackable USB Flash Drive” (ハック不可能なUSBフラッシュドライブ)と大書きされ、本文の途中にも「最もセキュアなUSBフラッシュドライブ」と書いてあります。

しかし先週末に、侵入テストの会社ペン・テスト・パートナーズのデビッド・ロッジさん(David Lodge)が、Eye Disk が本当にハック不可能かどうか検証する記事を上げています。

実際にこの Eye Disk を入手したロッジ氏は、まずハードウェア面を分解して調べます。分解しにくく成形されたUSBドライブについてきた小さな内蔵カメラは目の個人差の特徴をよりよく取得するためか赤外線フィルタが外されていて、他にはUSBコントローラ、カメラコントローラ、NANDフラッシュなどのチップが載っています。

特殊なチップは無さそうなので、虹彩認証の処理はソフトウェア側であろう、と、目星をつけましたが、Visual C++ のコードをデコンパイルして追跡するよりも、とPCとの間の通信を Wireshark で sniff することにしたそう。

SCSI コマンドでリクエストが飛んでいることを見つけた後、実際に自分が設定したパスワードを入れてUSBドライブの中身をアンロックしようとすると、SCSIコマンドのパケット中に自分が入れたパスワードが平文で見えてしまいました。

さらに悪いことには、間違ったパスワードを入れてもデバイス側の正しいパスワードが返送される仕組みになっているというのです。

デバイスに保存されているパスワードをPC側のソフトウェアが平文で入手し、それとユーザー入力のパスワードを比較する、というセキュリティ的にダメダメな作りになっていたという結論を、Eye Disk 側に4月上旬に通告したそうですが、修正の時期や既存ユーザーへの告知を尋ねるメールから一か月の猶予期間に返答が無かったため、今回の情報公開となりました。

ロッジ氏の Eye Disk ベンダーへのアドバイスは、「『ハック不可能なデバイス』という有りもしない(ユニコーンのような)宣伝をしたがるのではなく、デバイスをテストして見つかったバグは直しましょう」だそうです。

Kickstarter でのキャンペーンが開始した時に、複数の人がツイッターで

「セキュリティの専門家に評価してほしい? だったら『ハック不可能』って書くといいよ」といったコメントを既に書いていました。

営業的には大きく打ち出したいのかもしれませんが、”unhackable” という宣伝文句が hack できる人たちの興味を引き、製品のいい加減さが露呈することになった可能性もありますね。

via Hacker News

カテゴリー
ネットの事件

電動キックスクーター シェアリングの LIME、案内音声をハックで差し替えるイタズラに遭う

オーストラリア、ブリスベンのカンガルーポイントで、LIME 社のシェアリング電動スクーターが複数台同時にハックされるという事件が発生しています。

ステーションに並んだスクーターが、一斉に「一緒に乗りましょう」「私を連れまわして」などと喋っています。

オリジナルの内蔵音声が、何者かの手によって書き換えられたのではということです。

こちらの動画では、スクーターを勝手に持ち去った際の警告が差し替えられています。

ニュースでも「差別的」と言っていますが、移民風の喋り方などがそれにあたると感じられているのでしょう。

LIME や競合の Bird の電動キックスクーターについては、無料で解錠して乗るハックや、リモートから突然ブレーキを掛けるハックも出ていて、YouTube を検索すれば多数出てきます。

欧州中心に電動キックスクーターのシェアが爆発的に広がっているようですが、本体の電子部分が Bluetooth で簡単にアクセスできるタイプのものが有ったり、セキュリティ面で心配な事件も多いようです。

via Brisbane Times via Reddit

カテゴリー
ネットの事件

ワードプレステーマ販売の Pipdig が、顧客サイトを使って競合にDDoSを掛けていた

ブログツール WordPress の有料デザインテーマを販売する Pipdig が、販売したテーマの中に競合製品の妨害をするなどのコードを隠し入れていた、ということで騒ぎになっています

イギリスのジェム・ジャベラ氏(Jem Jabella)のレポートが口火を切った疑惑は、Pipdig の売っているテーマが利用している Pipdig Power Pack (P3) プラグインの動作に関するもの。

さまざまな「特権的」コードの混入

「有料テーマを買って入れたら、ワードプレスのサイトがおかしな挙動を示すようになった」と顧客から調査を頼まれた彼女は、サイトがひどく遅くなっていることに気づきます。P3 プラグインがその原因だろうと突き止めた彼女は、P3が以下のようなことをしていると突き止めたと言います。

  • 利用者ブロガーのサーバーを使って、競合のウェブサイトに DDoS を掛ける
  • 利用者ブロガーのコンテンツ内のリンクを変更し、競合サイトの紹介リンクをPipdig へのリンクに変更する
  • GDPR違反となるような許可の無い利用者ブログの情報を収集する
  • 管理者パスワードを変更して利用者ブログへのアクセス権を得る
  • データベースの全テーブルを削除するスイッチを内蔵
  • Pipdigが不要と判断する他のプラグインを、ユーザーに問い合わせることなく無効化
  • ワードプレス本体や他のプラグインが出す警告を隠す

ジェムさんはこれらのコードの該当部分それぞれを記事中で解説していますが、実際の実行コードを外部のサイトから取得して動かしていたりする作りもあり、ある時点でその外部コードを調べても空ファイルだったり、無害なコードだったりと、すぐには何をしているのかわからないように工作されているようです。

管理者のメールアドレスをテキストファイルに出力し、そのログインパスワードを変更する機能などもあり、これが(WordPress に詳しくない)ユーザーをサポートする際に使おうという機能ではないかという擁護もありましたが、サポートを依頼したユーザーだけでなく全利用者に対して使えるようになっていることなど、Pipdig に対する疑念が表明されています。

別の操作。Bluehost という競合のテーマが有効になっていたら、そのキャッシュ機能を切り、WordPress公式に偽装したドメインに置いたコードを実行した上で「サイトが遅くなってますか?」というメッセージを表示させてた、というもの。

告発を受けたバージョンのソースコードのミラー。Pipdig 社はすでにいろいろなコードを削除した新バージョンを公開しているので、証拠保全用に前の問題があるバージョンを保管した人がいるようです。

Pipdig の「弁明」

Pipdig はブログで公式な声明を出しています。

彼らはたった4人の小さな会社で、猫の画像が好き。テーマをコピーして売ろうとする盗作が起こり、その対策としてコードを入れた、等、悪意でやったものではないと書いています。

また、停止させた他のプラグインのリストと、停止させた理由も書かれています。

一つ一つの理由を見れば、隠し入れられたすべての機能が最初から悪意を持って入れられたものではないのかもしれません。競合の排除やリンクの変更はそれでも弁明不可能に思いますが。

こういろいろと揃ってみると、購入者のワードプレス/サーバに対して自分たちのものであるかのように自由に操作しようとしている感じがあり、名誉回復は難しいのではと感じます。

ジェムさんは Pipdig を「ワードプレス有料テーマ販売の大手の一つ」と書いていますが、日本語で宣伝や販売をしていた感じでもないので、日本にはそれほどユーザーがいないのかもしれません。もし使っている場合は、Pipdig 社が出したこれらの機能を削った最新版に更新するか、彼らが信用できなければ他社のものに変更した方がいいかもしれません。

via Wordfence, Hacker News