Androidの無線LANはまだ危険？　WPA2脆弱性「KRACK」問題の終わりが見えない

GoogleはAndroidのアップデートを公開し、無線LANセキュリティプロトコルの脆弱性「KRACK」に対処した。だがアップデートを巡って混乱があり、エンドユーザーは自分のデバイスが安全かどうか分からない状況にある。

公開 2017年11月16日 05時00分

著者

Michael Heller

[TechTarget]

印刷する

AndroidユーザーはいまだKRACKの“悪夢”から解放されていない

　Googleは直近でリリースしたモバイルOS「Android」のアップデートに、無線LAN関連の脆弱（ぜいじゃく）性「KRACK」を修正するセキュリティパッチを盛り込んだ。そのセキュリティパッチが、いつエンドユーザーのデバイスへ配信されるのかは、はっきりしない。

　KRACKの脆弱性を発見した研究チームは公表時点で、これを悪用した攻撃は「特にLinuxとAndroid 6.0に対して壊滅的」だと言明。LinuxやAndroidでは「だまされて、値が全てゼロの暗号鍵を（再）インストールさせられる」恐れがあると指摘していた。

　Googleは2017年11月に公開したアップデートに、AndroidのKRACKの脆弱性に対するセキュリティパッチを盛り込み、Android 5.0.2～8.0の各バージョンで問題を修正した。だがエンドユーザーは、このセキュリティパッチの配信を巡ってトラブルに見舞われている。

併せて読みたいお薦め記事

無線LANの危険性についてもっと詳しく

無線LANの導入事例

　AndroidのKRACK向けセキュリティパッチは、Googleが公開した「2017-11-06」というセキュリティパッチレベル（適用済み最新パッチの日付情報）に含まれる。だが2017年11月のセキュリティパッチレベルは、この他「2017-11-01」「2017-11-05」に分割している。Googleが販売するデバイスの「Pixel」「Nexus」には最初にセキュリティパッチが配信されたが、一部のエンドユーザーは、配信後のセキュリティパッチレベルが2017-11-05だったと報告している。その場合、KRACKの脆弱性は修正されていないことになる。

　ミニブログ「Twitter」への投稿には、KRACKの脆弱性が修正されないセキュリティパッチレベルをGoogleが配信したことに関する、エンドユーザーの混乱が表れている。Androidに独自のセキュリティ対策を施したカスタムROM「CopperheadOS」を提供するCopperheadのTwitterアカウントは、現実にはAOSP（Android Open Source Project。Androidの開発プロジェクト）では修正されておらず、いずれの系統でもパッチは配信も撤回もされていないと説明。「ほとんどのデバイスには、2017-12-01のみが配信されるだろう」と付け加える。

「Googleよりも先に」KRACK対策に着手するデバイスベンダー

　エンドユーザーは普通、GoogleがAOSPのリポジトリにセキュリティパッチを追加して、ハードウェアベンダーが配信に向けた作業を開始できる状態になるまで待つ必要がある。だがAndroidのKRACK脆弱性では、ベンダー各社がGoogleよりも先に、修正に向けた作業に着手していたようだ。

　Xiaomiのバイスプレジデント兼マネージングディレクター、マニュ・クマール・ジェイン氏は、Googleの3日前にパッチ公開を発表した。ジェイン氏はTwitterで「セキュリティはわれわれの最優先課題だ」と説明し、ベンダーごとのカスタマイズをしていない「ストックAndroid」よりも先に、KRACKに対処したことを強調した。Samsung Electronicsも、同社の2017年11月のセキュリティアップデートにKRACK向けのパッチを含むことが分かっている。

　KRACKの脆弱性を発見した研究チームは当初、大手ベンダーにセキュリティパッチ開発の時間を与えるため、この問題を事前に通知していたことで称賛された。だがGoogleがこの問題について、いつ報告を受けたかは分かっていない。

印刷する