【ワロタ】中国製KVMにひっそりマイクが搭載されていることが判明、中国拠点のサーバーと通信している痕跡も

例えばユーザーインターフェースの欠陥です。NanoKVMのユーザーインターフェースにはCSRF対策がなく、セッションを無効化する手段もないなど、問題は多かったとのこと。さらに深刻なのは、ブラウザ経由のログイン時におけるパスワード保護に使用される暗号化キーがハードコードされており、全デバイスで同一である点でした。これは重大なセキュリティ上の見落としであり、攻撃者がパスワードを容易に復号できるようになります。

もう一つの懸念は、デバイスが中国のDNSサーバーに依存しており、中国のSipeedサーバーと通信し、更新プログラムだけでなくクローズドソースコンポーネントもダウンロードしているという点でした。当該コンポーネントを検証する鍵はデバイス上に平文で保存されていました。このほか、ソフトウェアアップデートの完全性検証が行われていない点、一部のネットワークで動作しない特殊なバージョンのWireGuard VPNアプリケーションが組み込まれている点、systemdやaptを欠いた大幅に機能制限されたLinuxが動作している点なども懸念されました。

さらに警戒すべきは、ネットワークパケット解析や無線セキュリティテストに一般的に使用されるツール「tcpdump」と「aircrack」の存在でした。これらはデバッグや開発には有用ですが、悪用される可能性のあるハッキングツールでもあるため、製品版のデバイスに存在すべきではないとのこと。

極めつけは、公式ドキュメントには明記されていないわずか2mm×1mmの内蔵マイクが仕込まれていた点でした。必要な録音ツールはすべてデバイスにデフォルトでインストールされており、SSH経由で簡単に外部からアクセス可能でした。

マイクを物理的に取り外すことは可能でしたが、デバイスの分解は難しく、マイクが非常に小さいため、適切にはんだ付けを外すには顕微鏡か拡大鏡が必要だったそうです。

研究者は「まとめると、このデバイスはセキュリティ上の欠陥だらけということです。これらの問題は開発者の悪意によるものではなく、極度の不注意と急ピッチの開発から生じているものと確信しています。しかし、だからといって懸念が薄れるわけではありません」と述べました。

幸いなことに、NanoKVMは名目上オープンソースであるため、コミュニティメンバーが代替Linuxディストリビューションの移植を開始しており、ユーザーは好みのバージョンを利用することができるそうです。

これが怖いから電化製品はシャープ、富士通、NECを選んでるは

> これらの問題は開発者の悪意によるものではなく

なんでマイクが仕込まれてんだよw