リスク1：マジックキルパケット（Magic Kill Packet）

　ハリウッドの夏の大作のような名称だが、マジックキルパケット（Magic Kill Packet）とは、「誰かがどこかから特別な組み合わせのデータ列を送信することによって、ネットワーク機器をシャットダウンできる」という、マジックで操られたようなパケットの脅威のことだ。マジックキルパケットは、中国が関与する現実のサイバー戦争において発信されるかもしれない。Huawei製品の購入者が関与するサイバー戦争においてもだ（Huaweiの売上高のうち、中国市場での売り上げが占める割合は約3分の1である）。

　マジックキルパケットのような時限爆弾的な脅威は、本格的な研究対象とはされていないが、ブログ界の話題の種にはちょうどいい。自社の上級幹部の不安を解消しなければならないセキュリティ管理者やネットワーク管理者は、「エンタープライズルータの制御プレーンは、常にデータプレーンとは隔離されており、ファイアウォールで守られている。そのため、攻撃者がマジックキルパケットを送るためには、既にLANへ侵入している必要がある」という点を説明するといい。

　企業がアクセス制御リスト（ACL）やファイアウォール、ネットワークアドレス変換（NAT）を多用していることを考えると、データプレーンでもこうしたパケットの注入はほぼ不可能だ。たとえ注入できたとしても、マジックキルパケットでLAN全体をシャットダウンすることはできない。なぜなら、ペイロードを送信するための緻密な戦略に基づいて、個別の端末へ慎重にターゲットを定めなければならないからだ。

リスク2：意図的に悪質なソフトウェア

　中国企業が製造したデバイスには、攻撃者が特別なアクセス権限を得るためのバックドアが仕掛けられている可能性もある。一例としては、攻撃者がいつでも好きなときに管理者として端末へログインできるようにするためのマスターパスワードが挙げられる。

　例えば2003年には、米American Power Conversion（APC）が製造した非常に扱いやすい無停電電源装置（UPS）に関して、工場出荷時に組み込まれたデフォルトの固定パスワードを使えばUPSへアクセスできることをデーブ・ターバット氏が発見している。このパスワードは、APCが意図的に組み込んだものだった。社名から分かる通り、APCは米国の企業だ。つまり、こうしたことは中国に限った問題ではないということである。

　より複雑なパターンとしては、製品に意図的にバグを組み込み、攻撃者がどこか別の経路を経由してアクセスできるようにするというケースも考えられる。例えば、デバイスのSSHサーバが特定のバッファオーバーフロー攻撃に対して脆弱であるようなパターンだ。こうした脆弱性を突いた侵入は、典型的なゼロデイ攻撃のように見えるだろう。もちろん、意図的に組み込まれたバグやマスターパスワードは、マジックキルパケットと同様、いったん侵入が検知されれば短い時間しか機能せず、対象にできる端末も数台だけだ。

　電気通信機器に仕掛けられた意図的に悪質なソフトウェアは、仮想プライベートネットワーク（VPN）の暗号化されたデータを外部にさらす可能性もある。例えば、IPsec VPNやSSL VPNの端末で使われている乱数発生器が実際にはランダムでなかった場合はどうなるか。その事実を知る部外者であれば、最先端の暗号化プロトコルで保護されているデータを解読できてしまう可能性があり、不正の証拠も一切残らない。暗号化されたトラフィックを攻撃者が受動的に盗聴できるのであれば、誰にも気付かれないまま情報流出が何年も続くことにもなりかねない。

　中国メーカーが中国政府や中国軍の直接の指揮下に置かれているのだとすれば、意図的に悪質なソフトウェア（工場出荷時に仕組まれたデフォルトのパスワード、アクセスを許す既知のバグ、欠陥のある乱数発生器など）が仕込まれるのは、もっともなことにも思える。

　マジックキルパケットと同様、こうした脅威はあまり理にかなったものとはいえない。中国メーカーは、中国の国内市場も支配している。ネットワーク機器に意図的にバックドアを仕込めば、中国国内の通信を監視したいと考える他の誰かにそのバックドアを利用されないとも限らないからだ。中国メーカー、あるいはこうした企業を背後で操る中国軍は、「メリットを享受できるのは自分たちだけ」という確証を持てない限りは、秘密のバックドアを仕込むリスクは冒せないはずだ。「Anonymous」「WikiLeaks」といったグループが既に証明しているように、どれだけ厳重に守られている秘密であっても、すぐに白日の下にさらされる可能性はゼロではない。

　後編「『中国共産党』と『顧客』、Huawei／ZTEが忠誠を尽くすのはどっち？」では残る2つのリスクを解説し、中国企業からIT製品を購入する危険性を考察する。

本稿筆者のジョエル・スナイダー氏は、米コンサルティングファームOpus Oneのシニアパートナーであり、IT業界で25年以上の経験を持つ。