金曜日、多くの米国のウェブ利用者のインターネット アクセスに深刻な影響を与えた分散型サービス拒否 (DDoS) 攻撃の一部が、保護されていない「モノのインターネット」デバイスを標的としたボットネットによって可能になっていることが判明しました。 Apple にとって、この事実は、HomeKit プロトコルを通じて実現された、物議を醸している IoT への壁に囲まれたアプローチの正当性を証明するものです。
昨日詳述したように、未知のハッカー照準を定めるDyn は、多くの主要な Web エンティティに DNS サービスを提供するインターネット管理会社です。
一連の繰り返される攻撃により、次のような Web サイトが引き起こされました。ザ・ヴァージ、Imgur、Reddit、および HBO Now、PayPal などのサービスを利用して、速度の低下やダウンタイムの延長を確認します。フォローアップの波は大混乱を引き起こしましたニューヨーク・タイムズ、CNN、Netflix、Twitter、PlayStation Network など。
Dyn 氏は当初、ソースを突き止めることができませんでしたが、セキュリティ調査会社 Flashpoint がその後公開した情報により、標的型攻撃が明らかになりました。ひずみを伴うMirai マルウェアについては、Brian Krebs 氏が報告しています。クレブス氏は、マルウェアが DDoS 攻撃で展開され、Web サイトがダウンしたため、Mirai を直接経験しています。クレブスオンセキュリティ、9月に。
クレブス氏によると、Mirai はデフォルトの管理者ユーザー名とパスワードの組み合わせで設定された IoT デバイスを Web で検索します。マルウェアが発見されると、侵入し、保護が不十分なハードウェアを使用して、オンライン エンティティ (この場合は Dyn) に対する DDoS 攻撃を促進します。
不適切なセキュリティ慣行は何も新しいことではありません。初心者または怠惰なエンド ユーザーは、ルーター、ネットワーク接続されたプリンター、その他の潜在的な侵入ベクトルの工場出荷時のデフォルト設定を何十年も放置し続けてきました。しかし、これは違います。
中国企業 XiongMai Technologies 製のような DVR や IP カメラには重大なセキュリティ上の脆弱性があり、ボットネットをホストする役割の大部分を担っています。
クレブス氏によると、中国企業 XiongMai Technologies 製の DVR と IP カメラ、および現在市場に溢れているその他の接続ガジェットには重大なセキュリティ脆弱性が含まれており、ボットネットをホストする主な原因となっています。同氏の説明によると、ユーザーがデフォルトのユーザー名とパスワードを変更した後でも、これらのデバイスの一部には Telnet や SSH 経由でアクセスできます。
「これらの特定のデバイスの問題は、ユーザーがこのパスワードを現実的に変更できないことです」とフラッシュポイントの研究開発者ザック・ウィクホルム氏は述べた。 「パスワードはファームウェアにハードコードされており、パスワードを無効にするために必要なツールは存在しません。さらに悪いことに、Web インターフェイスはこれらの資格情報が存在することさえ認識していません。」
別の Mirai 攻撃、または IoT ハードウェアを利用した同様の攻撃を防ぐには、問題のあるデバイスのリコールが必要になる可能性があるとクレブス氏は言います。それ以外の場合は、影響を受ける製品のプラグを抜くことが効果的な応急処置です。
対照的に、アップルのホームキットエンドツーエンド暗号化機能が組み込まれており、保護されていますワイヤレスチップハッキングを阻止するために設計された標準、リモート アクセス難読化、その他のセキュリティ対策。言うまでもなく、HomeKit MFi デバイスを DDoS ゾンビに変えるのは比較的困難です。
2014 年に iOS 8 とともに発表された HomeKit は、安全なフレームワークスマート ホーム製品のメーカーがアクセサリ通信を格子化できるもの。具体的には、このシステムは iOS と iCloud インフラストラクチャを使用して、ホスト デバイスとアクセサリの間でデータを安全に同期します。
Apple は、Web サイトに掲載されたセキュリティ文書で HomeKit の保護について詳しく説明しています (PDFリンク)、システムが公開鍵と秘密鍵のペアに依存していることを指摘しています。
まず、iOS デバイス上でキー ペアが生成され、各 HomeKit ユーザーに割り当てられます。一意の HomeKit ID はキーチェーンに保存され、iCloud キーチェーンを介して他のデバイスに同期されます。互換性のあるアクセサリは、リンクされた iOS デバイスと通信するための独自のキー ペアを生成します。重要なのは、アクセサリは工場出荷時の設定に復元すると新しいキー ペアを生成することです。
Apple は、Secure Remote Password (3,072 ビット) プロトコルを使用して、Wi-Fi または Bluetooth 経由で iOS デバイスと HomeKit アクセサリ間の接続を確立します。初めて使用するときは、メーカーが提供する 8 桁のコードをホストの iPhone または iPad に入力する手順を通じてキーが交換されます。最後に、システムがアクセサリの MFi 認証を検証する間、交換されるデータは暗号化されます。
iPhone が HomeKit アクセサリと通信するとき、2 つのデバイスは交換されたキー、ステーション間プロトコル、およびセッションごとの暗号化を使用して相互に認証します。さらに、Apple はユーザーが自宅にいないときでもアクセサリにアクセスできるようにする iCloud リモートと呼ばれるリモート コントロール機能を入念に設計しました。
iCloud リモート アクセスをサポートするアクセサリは、アクセサリのセットアップ プロセス中にプロビジョニングされます。プロビジョニング プロセスは、ユーザーが iCloud にサインインすることから始まります。次に、iOS デバイスは、すべての Built for HomeKit アクセサリに組み込まれている Apple 認証コプロセッサを使用してチャレンジに署名するようにアクセサリに要求します。このアクセサリは、prime256v1 楕円曲線キーも生成し、公開キーは、署名付きチャレンジおよび認証コプロセッサの X.509 証明書とともに iOS デバイスに送信されます。
AppleのコプロセッサはHomeKitの高レベルのセキュリティの鍵だが、この実装によりサードパーティ製品の発売が数か月遅れたと考えられている。セキュリティ上の利点はおそらく待つ価値がありました。
上記に加えて、Apple は、認証されたユーザーのみがアクセサリ設定にアクセスできるようにするプライバシー保護手段と、ユーザーを特定するデータや自宅を特定するデータの送信を防ぐプライバシー対策も統合しています。
HomeKit の核心は、綿密に計画され、適切に実行された IoT 通信バックボーンです。このアクセサリは、適切にプロビジョニングされたデバイスでのみ機能し、侵入が難しく、iPhone とシームレスに統合され、iOS 10 および第 4 世代 Apple TV (ハブとして機能) では、Apple の専用ホーム アプリからアクセスできる豊富な通知とコントロールを備えています。また、ジャンク データを無差別に Web にブロードキャストすることはできません。
HomeKit の利点は、主に Apple のコプロセッサを組み込むことでメーカーにコストがかかりますが、その価格は間違いなく、修理不能な完成品をリコールするよりも高価ではありません。
Isamu 
Isamu 
Isamu