Firewire/IEEE1394に物理的セキュリティ侵害につながる脆弱性

[Dragos Ruiu <dr@xxxxxxx>]

Firewire/IEEE1394に物理的セキュリティ侵害につながる脆弱性
Firewire/IEEE 1394 Considered Harmful to Physical Security
Advisory URL: http://pacsec.jp/advisories.html

概要：
　IEEE1394規格(通称Firewire)を使うと、クライアント機器がOSによる制限を擦
り抜けて、ホストのメモリに直接アクセスできるようになる。これを悪用すると、
クライアント機器を用いて、ホストに保存された機密情報を読み出して変更し、
権限昇格、情報漏えい、システムの不正使用などを実行できる。安全でない場所
にある、機密情報が保存されたシステム、特に一般からのアクセスが可能なシス
テムに、Firewireポートが設置されている場合は、システムのセキュリティを今
一度評価して、物理的なセキュリティ措置の追加を検討する必要がある。
Firewireポートは、Sony製品の一部では「iLink」と呼ばれることもある。

詳細：
　RWTH Aachen工科大学の高信頼性分散型システム研究室に所属するMaximilian
Dornseif氏は、11月12日に東京で開催される「PacSec.jp」カンファレンスで行
う予定の「Owned by an iPod」と題した研究発表の中で、ノートやデスクトップ、
および一部のサーバマシンに広く搭載されているIEEE1394インターフェースに関
連した新しいテクニックをいくつか披露する予定である。
　これらのテクニックは、悪質な用途および有益な用途の両面に応用が可能であ
る。有益な用途には、システムフォレンジックや外部デバッグなどの分野への応
用がある。だが、悪質な用途に悪用すると、システムのfirewireポートに物理的
にアクセス可能であれば、電源の入れ直しや再起動などを行わなくても、システ
ム運用を不正に変更し、セキュリティを侵害できる可能性がある。
　リセットや電源のスイッチを操作できないようにする物理的な制限措置や、再
起動などの手順を用いたシステムの不正使用を制限するためのその他の対策に依
存してきたシステムは、セキュリティを再検討する必要がある。
　従来より、コンピュータに物理的にアクセス可能であることはたいていの場合、
不正使用が可能なことを意味する。だがこの新しいテクニックを使うと、特殊な
ソフトウェアを用いて悪意のあるFirewire/1394クライアント機器に接続するだ
けで、ターゲットを不正に改ざんできる。物理的アクセスとFirewire/1394イン
ターフェースとを組み合わせて使える場合は、さらに容易にセキュリティを侵害
できるようになる。
　必要に応じて、セキュリティポリシーや手順を再評価し、この新しい情報につ
いて検討すべきである。

影響を受けるシステム：
　IEEE1394インターフェースを搭載したすべてのOSおよびプロセッサプラットフォー
ム。また場合によっては、問題のOSが1394インターフェースをサポートしていな
い場合でも、ハードウェアに電源が入っていれば、不正使用が可能な場合もある。

対策：
　信頼できない/認証されていない物理的アクセスを必要とし、なおかつ制限を
設けた運用を行う必要があるシステムでは、外ケースのfirewireジャックに接続
しているワイヤヘッダを取り外すことが部分的な回避策になる場合もある。
　ラップトップでは、機能が失われても構わないのなら、エポキシ樹脂を使って
外部ジャックを永久に使用不可能にできる。
　第一の予防策として、機密情報を保存したコンピュータに未知の/信頼できな
いfirewireデバイスを接続しないよう、従業員に警告を発しておく必要がある。
　この機能は、ハードウェアレベルの仕様やチップセットに組み込まれているの
で、ソフトウェアによる修正に関しては、いまだ検討中の段階にある。今回の発
表では、この問題も議論される予定である。
　-- World Security Pros. Cutting Edge Training, Tools, and TechniquesTokyo, Japan
     Nov 11-12 2004  http://pacsec.jp
     pgpkey http://dragos.com/ kyxpgp