世界で約53億台のBluetooth搭載機器が影響を受けるとされる脆弱性BlueBorne。今後Iot端末の普及が進む中で、潜在的なリスクは増えていきます。ここではBlueBorneが端末に与える影響と対策について解説していきます。
1.BlueBorne
1-1 BlueBorneとは
「BlueBorne」（ブルーボーン）は無線通信のBluetoothに関する脆弱性の総称です。「BlueBorne」という名前は、Bluetoothを経由して空中に拡散し（エアボーン）、デバイスを攻撃するという、この脆弱性を利用した攻撃の仕組みに由来しています。
Bluetoothは、パソコンやスマートデバイス（スマートフォン・タブレット）をはじめ、多くの機器に搭載されている無線通信規格で、機器と機器を相互認識することで無線通信ができます。Bluetoothはパソコンやスマートフォンでは、キーボードやマウス、ヘッドホンなどの接続にも使われますし、家庭や企業、工場などの機器の通信にも活用されています。
そして、「BlueBorne」は、このBluetooth通信に発見された複数の脆弱性で、これらの脆弱性が悪用されると、第三者にBluetooth搭載機器を自由に操作されてしまう可能性があります。
例えば、スマートフォンでBluetooth機器を使用するには、お互いに信号を出してスマートフォン側で機器を認識し登録する「ペアリング」という操作が必要になりますが、「BlueBorne」の脆弱性を悪用することで、ペアリングをすることなくスマートフォンを操作されてしまったり、マルウェアを仕込まれるなどの可能性があります。2018年3月時点でまだ実際の被害は報告されていませんが、世界で約53億台の Bluetooth搭載機器が BlueBorneの影響を受けると言われています。
1-2 脆弱性の内容
Bluetoothの実装に関して以下の脆弱性が公表されています。
・inuxカーネルRCEの脆弱性 – CVE-2017-1000251
・Linux Bluetoothスタック（BlueZ）情報漏洩の脆弱性 – CVE-2017-1000250
・Android情報漏洩の脆弱性 – CVE-2017-0785
・Android RCEの脆弱性1 – CVE-2017-0781
・Android RCEの脆弱性2 – CVE-2017-0782
・AndroidのBluetooth Pineapple – 論理的な脆弱性 – CVE-2017-0783
・WindowsのBluetooth Pineapple – 論理的な脆弱性 – CVE-2017-8628
・AppleのLow Energy Audio Protocol RCEの脆弱性 – CVE-2017-14315
※出典：JVNVU#95513538 様々なBluetooth 実装に複数の脆弱性
この脆弱性はペアリングを必要とせず、攻撃者は遠隔操作で機器を乗っ取ることもできます。例えば、スマートフォンを勝手に起動して、連絡帳にアクセスしたり、カメラを起動して写真を撮ることも可能です。また、通常のマルウェアのようにスパムメールに添付されたファイルを開いて感染するわけではなく、無線通信をしているだけで乗っ取られてしまいます。
2.今後増えるBlueborneの危険性
Iot端末の普及に伴い、Bluetoothに接続できる端末は増加の一途をたどっています。パソコンのマウス、スマートフォンのイヤホンはもとより、車や家電に至るまで無線通信を行うことができる機器が存在します。接続端末数が増えてくると端末のアップデート情報の把握も煩雑になり、各メーカーからのアップデート情報を見落とす可能性やサードパーティ製品などは継続的なサポートが不十分な可能性もあります。
総務省の情報通信白書（平成29年版）によると2016年時点でインターネットにつながるモノ（IoTデバイス）の数は世界で173億個あり2021年にはその倍の348億個になると予測されています。Iot端末の多くがBluetooth機能を搭載することが想定され、Blueborneの潜在的なリスクは今後も増していくと考えたほうが良いでしょう。
＜世界のIoTデバイス数の推移及び予測＞
出典：総務省情報通信白書
3.BlueBorneへの対策
BlueBorneは、上述の通り「脆弱性が存在し、攻撃が可能であること」が実証された状態で、実際の攻撃は確認されていません。WindowsやmacOSでは対策が進んでいますし、これはもっとも影響を受けるといわれているLinuxやAndroidにおいても同様です。これらのアップデートが公開されたときには、なるべく早く適用するようにしましょう。また、Bluetoothの通信可能範囲は10メートルほどですので、周囲に人がいない環境であれば攻撃を受ける可能性は下がるといえます。
現段階では特に以下の対策を徹底しましょう。
・Bluetoothは必要な場合だけ使用して、使用していないときはオフにする
・アップデートが公開されたらすぐに適用する
BlueBorneの脆弱性は、各メーカーが対策を進めているところです。このため、使用しているデバイスのメーカーのアップデート情報に注意しましょう。脆弱性が見つかって対策が提供されるまでの期間などパッチが適用されてないデバイスの場合は、Bluetooth機器を使用せず、Bluetooth機能そのものをオフにする以外に対処方法がありません。
4.まとめ
Bluetooth機能はほとんどのパソコン・スマートフォンに搭載されており、スマートウォッチや家電などにも活用が広がっています。便利な機能ではありますが、インターネット通信を行っているということは常にサイバーセキュリティ上のリスクが潜んでいます。使用しているデバイスは管理をしっかり行い、これらの脆弱性情報には常に注意を払っていく必要があります。
著者：マカフィー株式会社 マーケティング本部
