ハードウェアに迫る危険【後編】
ハードウェアレベルの脆弱性が悪用されたら何が起こるのか？ QSEEに学ぶ
2019年11月、Armの技術「TrustZone」をベースにしたQualcommのセキュリティ機構「QSEE」に脆弱性が見つかった。その悪用は、どのような脅威をもたらすのか。
セキュリティベンダーCheck Point Software Technologies（以下、Check Point）の研究者が、Armのセキュリティ技術「TrustZone」をベースにしたQualcommのセキュリティ機構「Secure Execution Environment」（QSEE）に、脆弱（ぜいじゃく）性を発見した。セキュリティベンダーBitdefenderでグローバルサイバーセキュリティ研究者を務めるリビュー・アルセーヌ氏は、Check Pointが公表した調査結果の重要性を指摘する。「この脆弱性は非常に複雑だが、悪用した攻撃が成功した場合の見返りは大きい。攻撃者がデバイスの重要な資産やデータにアクセスし放題になる可能性があるからだ」（アルセーヌ氏）
ハードウェアとそこで稼働するOSの間で機能するソフトウェアに脆弱性が見つかった場合、その脆弱性が悪用されると、セキュリティとプライバシーに深刻な影響が及ぶとアルセーヌ氏は説明する。
どのように危険なのか
攻撃者がこうしたハードウェアレベルの脆弱性を悪用すると「機密データにアクセスできるだけでなく、標的に気付かれることなくデバイスのセキュリティを破れる」」とアルセーヌ氏は語る。攻撃者が強力な権限を取得し、パスワードや財務情報などの機密データの抜き取りや、デバイスへのソフトウェアの組み込みにも成功する場合もあると同氏はみる。
Check PointのPR責任者エクラム・アーメド氏は、同社が脆弱性をさらに見つけるのは時間の問題だと説明する。「攻撃者がQSEEにアクセスしたら、万事休すだ。クレジットカード、生体認証データ、パスワードなどの盗難ができるようになってしまう」（アーメド氏）。スキルが中程度の攻撃者であれば、この脆弱性の悪用は可能だろう。難しいのは、誰が影響を受けるかを正確に把握することだ。
アルセーヌ氏は、QSEEの脆弱性が実際に大規模に悪用されることはないと予想する。「脆弱性の悪用を受けるユーザーは少数限られそうだ。非常に標的を絞った攻撃が遂行されるのではないか」と同氏は語る。
Check Pointは、影響を受ける可能性のある全てのデバイスメーカーに、この脆弱性の件を報告した。だがパッチ公開までのQualcommとのやりとりは「奇妙なものだった」とアーメド氏は振り返る。Check PointはQualcommにパッチの提供を求めたが、Qualcommがパッチの公開を伝えてきたのは「われわれがブログ記事を公開する前日だった」と同氏は説明する。メディアから接触を受けたためだという。同氏によると、Qualcommからはそれまで何カ月もの間、Check Pointに全く連絡がなかった。
Copyright © ITmedia, Inc. All Rights Reserved.
ハードウェアに迫る危険
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社うるる] 「入札市場」攻略ガイド：効率的に落札するためのポイントを徹底解説 -
製品資料
[株式会社うるる] 入札情報に特化した「販路拡大」「効率化」のためのサポートツールとは？ -
市場調査・トレンド
[株式会社うるる] 公共入札に成功する企業と失敗する企業の「5つの違い」 -
製品資料
[日本ビジネスシステムズ株式会社] 専門家が教える、Microsoft 365の「テナント統合／分離」を成功に導く秘訣 -
製品資料
[rakumo株式会社] Microsoft 365での情報埋没を防ぐ、社内ナレッジを資産化する情報ポータル活用
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
半数がブルーカラー転向を視野に？ ベテランエンジニアを追い込む“54歳の壁”
-
2
PHP脆弱性「PHP2Shell」で2260万件に影響 情シスの緊急チェックリスト
-
3
「Microsoft 365」が乗っ取られる MFAを破る“本物の画面”の恐怖
-
4
「テザリング依存」に潜む落とし穴 “遅いVPN”を解消するネット構築術
-
5
世界のデータセンター容量は5カ国に69%集中、電力消費「5%の壁」が招くものとは？
-
6
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
7
「Windows」の不要なファイルを安全に消して容量を空ける方法
-
8
生成AIが普及しても「技術書」を手放せないエンジニアの本音
-
9
IBM iのブラックボックス化を打破 資産継承と進化を実現する「IBM Bob」の実力
-
10
ChatGPTは“検索しまくり”でGeminiは“淡泊”？ データが明かすAIの裏側
ホワイトペーパーランキング PR
-
1
AI駆動攻撃にどう対抗する？ 超速の攻撃からエンドポイントを保護する方法
-
2
2026年のサイバーセキュリティには何が必要か？ 最新データに学ぶ傾向と対策
-
3
経験豊富な即戦力人材に直接アプローチできる、「攻めの採用」への転換術
-
4
「IT史に名を残すシステム障害」8選
-
5
最速72分でデータが流出？ 最新の脅威トレンドや侵入手法から分かった防衛策
-
6
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
7
Microsoft 365のメールセキュリティ、3つの“死角”と追加で検討すべき対策とは
-
8
AI駆動開発のスピードと安全性を両立 「品質・セキュリティ管理」の実践ガイド
-
9
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
-
10
「標的型攻撃メール」事例・サンプル集
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー