安全でない車両を禁止すべきであり、Flipper Zeroのようなセキュリティツールを禁止すべきではない
(saveflipper.ca)- カナダのサイバーセキュリティ・技術専門家たちは、車両盗難への対応が必要である点は認めつつも、セキュリティ研究ツールの禁止には範囲が広すぎて逆効果になり得るとして反対している
- 連邦政府案は、リモートキーレスエントリーの無線信号を複製して盗難に使われる機器を市場から排除しようとするアプローチであり、Innovation, Science and Economic Development Canadaが法執行機関と連携して進めようとしている内容である
- Flipper Zeroのようなツールは本質的に**ソフトウェア定義ラジオ（SDR）**に近く、オープンソースや市販部品でも実装可能で、類似の無線機能はすでに多くの産業機器で使われている
- 禁止対象が脆弱な車両ではなくツールになると、脆弱性開示報奨金、セキュリティ研究、修理する権利・相互運用性に基づく合法的な解析や修理まで萎縮させるおそれがある
- 司法リソースをツール禁止の執行や訴訟に使うよりも、自動車のキーレスエントリーとpush-to-startシステムの最低限のセキュリティ水準を引き上げるための協力に集中すべきである
車両盗難対策とセキュリティツール禁止の衝突
- 車両盗難はすべてのカナダ人に影響する問題であり、被害を減らすための迅速な対応が必要である
- ただし連邦政府の提案は、とりわけセキュリティ研究ツールの禁止を含む点で誤っており、範囲が過度に広く、逆効果になり得る
- リモートキーレスエントリーの無線信号を複製して車両盗難に使われる機器を禁止し、Flipper Zeroのような機器をカナダ市場から排除できるようにすることが提案の中核である
禁止が難しい汎用無線技術
- この政策は、基盤技術に対する古く誤った前提に依存しており、実施と執行が難しいと批判されている
- Flipper Zeroのようなセキュリティツールは、本質的にプログラム可能な無線機である**ソフトウェア定義ラジオ（SDR）**である
- SDRは何年も前から存在している技術である
- 場合によってはオープンソースまたは単純な市販部品で作ることができる
- 同種の無線機能は多くの分野の機器で広く使われている
- スマート家電
- ドローンと航空宇宙技術
- 携帯電話とネットワーク
- 産業制御システム
- この機能そのものを禁止しようとするアプローチは、事実上執行が難しく、カナダ経済を大きく萎縮させる可能性がある
セキュリティ研究と修理する権利に生じる萎縮効果
- 問題の原因はセキュリティツールではなく、安全でない製品である
- 過去に業界がセキュリティ戦略として隠蔽に依存していた時期とは異なり、セキュリティ研究ツールの民主化は、メーカーに製品の安全性向上を促す圧力として機能する均衡装置になっている
- 現在、多くの産業主体がこのような研究に依存しており、カナダには脆弱性開示を支援し報奨する政府プログラムもある
- Federal政府プログラム
- ケベックのバグバウンティ、アルバータ Vulnerability Reporting Program、ブリティッシュコロンビア Vulnerability Disclosure Program といった州政府の事例
- 過度な禁止は、セキュリティ研究と脆弱性開示の取り組みに**萎縮効果（chilling effect）**をもたらし得る
- C-244は修理する権利に関する法案で最近全会一致で可決され、C-294は相互運用性に関する法案として複数政党の支持を受けている
- セキュリティツールの禁止は、カナダ人にようやく可能になった合法的な解析や修理の活用まで処罰対象にしかねない
執行より必要な産業間協力
- 政策が恣意的に適用される余地があり、司法制度はセキュリティツールの多様な使用事例をめぐる訴訟性のある事件に直面する可能性がある
- 同じリソースは、サイバーセキュリティ専門家、自動車メーカー、保険会社、司法制度の間に建設的な対話チャネルを作るために使うことができる
- 協力の焦点は、自動車のキーレスエントリーとpush-to-startシステムのセキュリティを改善し、他産業と同様に将来の製品へ最低限のセキュリティ水準を義務づけることに置かれるべきである
署名参加方法
- 同意する人は署名フォームに参加して共有できる
- 署名はサイトに手動で1日1回程度追加される
1件のコメント
Hacker News のコメント
Flipper Zero は**ソフトウェア無線（SDR）**ではなく、それより機能は限定的です
皮肉なことに、Flipper Zero はかなり弱めのハッキングツールに近いものです。車のドアを開けることはできますが、実用性はパーティー芸のレベルです。車のキーのボタンを、車の圏外かつ Flipper の圏内で押してコードを記録する必要があり、その後に車のドアを一度だけ開けられますが、持ち主が先に開けるとチャンスは消えます。より高度で、おそらく実用的な rolljam 攻撃はありますが、Flipper がそれを実行できるほど十分なのかは分かりません
Flipper Zero は面白く、比較的安く、有名なだけで、実際の窃盗犯はすでにもっと良いツールを持っています
このチップは、特定のピンで実際の OOK/FSK 状態をロジック high/low として報告するよう設定でき、送信中にも同じことが可能です。そのため Flipper は通常動作で、CC1101 がサポートするプロトコル／形式だけに縛られず、周波数範囲内で OOK や FSK 変調を使うプロトコルであれば処理できます
最近、私の地域では Infiniti が比較的簡単に盗まれていて、うわさでは Bluetooth OBD2 リーダーを Android タブレットに接続し、違法コピーされた Nissan の整備ソフトウェアを動かす方法だと言われています
Infiniti のグループでも 100% 確信しているわけではありませんが、最ももっともらしい推測はこの方法です。数日前の夜にも、一団がうちの近所で Q50 を 3 台、あっさり盗んでいきました
近所の人が投稿した Ring カメラ映像: https://video.nest.com/clip/8ef4d060588d4c7289f87cccb00cb55a...
人々が話しているヘッドライトの問題は、始動用 CAN をイモビライザーと ECU の間にある別の CAN バスへ移せば簡単に解決できます。ヘッドライトを物理的に隔離するということで、総コストは約 5 ドル、窃盗犯が車をほぼ半分に切断するつもりでない限り暗号化も不要です
暗号化の問題は、車のあちこちで使われている 10 ドル程度の安全 MCU が約 20MHz で、既存の処理に加えて毎秒 2000 回以上の暗号演算をこなすのが難しい点です。また、安全関連ソフトウェアで使われるモデルベース設計ツールにおける暗号化サポートも、現時点では非常に不足しています
ただし個人的には、車両を切断して侵入する行為までメーカーの過失だとは考えていません。ボンネットを開けて自分の ECU を持ち込み、車を動かすこともできる物なので、いったん切り始めれば好きなようにできます。自動車システムエンジニアとして言っています
前輪のホイールハウス付近でかなり長くしゃがみ込んでいますが、窃盗犯がホイールアーチ越しにヘッドライトの CAN バス配線へ接続する Toyota ハックを思い出します: https://kentindell.github.io/2023/04/03/can-injection/
なので問題は、OBD-2 ポートや配線をどう保護すべきかです
同じ地域に専門ショップがあり、uprev で Security+ を無効化できました。Nissan エンジンを取り外して別の場所に載せ、点火装置なしで動かすときにも使っていました。始動信号をモーメンタリ式のプッシュボタンから来るようにすることもできます
愚かさの上にさらに愚かさを重ねている状況だ。
Flipper Zero の禁止は、実質的には問題の一部ですらないツールを禁止することなので、非常に愚かだ。同時に「セキュリティの弱い車両を禁止」するのも愚かだ。Kia が粗末なロックを付けた安い車を作るなら、買わないか、保険を考えるか、アフターマーケットのイモビライザーやハンドルロックを取り付ければいい。Kia が数ドルを惜しんだことが過失だというなら、購入者が数ドルを使わなかったことも過失だ。
他人の犯罪を防げなかったから過失だ、と言い放つのにも違和感がある。既存の窃盗禁止法の執行が不足して生じた自動車盗難問題について、解決策としてさらに多くのものを違法化しようと議論するのは、愚かさの連鎖だ。
市場による是正という考えはここでは機能しない。「セキュリティがひどい」と広告するわけではないし、平均的な消費者はもちろん、かなり詳しい消費者でさえ、車を買った後になって初めてこの問題があることを知る。
メーカーが自社の車は安全ではないと宣伝していたなら購入者の責任だと言えるかもしれないが、そうはしていなかった。
やましいところがないなら、ロックのない車を売ってみて、人々がどれだけ買うか見ればいい。「Kia が安い車に粗末なロックを付けるなら買うな」という理屈なら、Boeing が安くて安全でない飛行機を作るなら乗るな、というのと同じだ。
製品の安全性や属性を偽った代償が死刑なら、この実験をしてみてもいいだろうが、現状では企業が製品について嘘をついて消費者を欺いても、特に大きな代償を払わない。
セキュリティの弱い車であれセキュリティツールであれ、禁止する必要はないと思う。ただし、公開は必ずすべきだ。
セキュリティ上の欠陥はすべて同じではない。技術そのものに内在する欠陥と、放置から生まれた欠陥は明確に区別すべきだ。
人は知っている範囲でしか作れないので、誰にも破られないデジタル要塞を作れと要求することはできない。そんなものは存在しないし、消費者にとって有害になり得る。しかし、だからといって業界が低い基準を受け入れてよいという意味ではない。
また Flipper Zero は自作もできるので、この法律は最初から死んだ法律になるだろうし、むしろこうした欠陥の民主化と一般の認識を妨げるように思う。
セキュリティリスクもすべて同じではない。真剣にセキュリティを考える人たちは、可能性、影響度、緩和コストなどを基準に評価する。
自動車は危険な凶器であり、特に興奮した子どもや、酒・薬物に酔った人が運転すればなおさらだ。無断運転で誰かが重傷を負ったり死んだりする可能性は非常に高い。亡くなった子どもには緩和策もない。ところが処罰は「二度としないでください」程度だ。
一方で Aaron Swartz のような子どもがファイルをいくつかダウンロードすると、9件の重罪容疑、合計50年の刑、100万ドルの罰金が付いた。このような価値観を持つ司法制度には、リスクと比例性の概念がなく、軽蔑されて当然だ。
私は20年落ちの車に乗っているが、イモビライザーチップがあり、窓を割ってドアを開けると警報が鳴る基本的なロジックがある。私から見ると、その程度でもかなり安全だ。だから自動車メーカーには、少なくともこの単純なシステムと同じくらい安全な車を作る責任があるように思う。
誰かが「Zipper Flero」のようなクローンを売ることはできるのか？
この記事の著者の一人だ。Hacker News のトップページに載ったと聞いて、GitHub Pages の静的サイトで作っておいてよかったと感じた。
後でコメントを見ていく予定で、今はカナダ人なら議員に連絡してくれるとうれしい。
来週の追加報道に向けてメディアとも作業中だ。関心を持ちそうなカナダの記者を知っているなら、直接知らせるか、私につないでくれればいい。LinkedIn は署名にあり、太字で示された前の2人の名前が著者だ。
この話がより多くの人に届くよう手助けしてくれてありがとう。
環境にオオカミが一匹でもいると考えられるなら、わらと木の枝の家を建てるのは過失であり、怠け者の豚は食べられても仕方ない、という話になる。
セキュリティのために利益の一部を諦め、レンガの家を建てる責任ある豚は、優れた判断と先見の明を称賛される。童話は少なくとも200年、もしかするとずっと前からこれを語ってきた。
このスレッドが過失のある怠け者の豚の味方をしているのを見ると驚く。「私の数千個の依存フレームワークはほとんどわらでできている」「上司が木の枝すら使う時間をくれない」「仕方がない」といった具合だ。
人々は建築業者がレンガ造りだと言う家を買っているが、こうした製品がなければ、オオカミが吹き飛ばして、わらの上の薄いスタッコ層が露出するまで、レンガの家だと信じて住み続けることになる。
家の販売者たちは「オオカミも建物検査官も、このツールで家を吹き飛ばせる」と言う。しかし家がわらではなくレンガで建てられていたなら、それは関係のないことだったはずだ。
それは悪いセキュリティモデルであり、Flipper Zero があろうとなかろうと失敗する。
ここまで来ると、セキュリティツールの禁止は憲法修正第2条違反のように見える。
Microsoftは侵害に次ぐ侵害を重ね、買収も続けている。私は妻に覚えておくよう「これは正常ではない」と言い続けてきたし、妻も「なぜ数字がどんどん悪くなるのか」と尋ねていた。私は「子どもの頃からFirefoxへ直接起動できないようにした件で、手首を軽く叩かれただけで終わって以来、データベースがどんどん大きくなっているからだ」と答えた。
周囲の世界がなぜ崩れているのかを理解する能力まで奪われるなら、私たちはすでに壊れている状態よりさらに壊れることになる。そもそも今は、何かを修理する権利もあまりないではないか。
修正第1条、第4条、第9条違反なら理解できる。修正第5条違反につながりそうな傾向も見える。だが第2条との強い関連は見えない。
以前、誰かが私の祖父の車をドライバーで盗んでいった。
イグニッションスイッチはおそらくハンマーで壊され、ドライバーでスターターを作動させることができた。祖父がその状態でどれくらい長く乗っていたかは覚えていない。
技術を禁止するのは、より深い問題に貼る絆創膏にすぎず、こうしたツールが有効だという格好の宣伝にもなる。
ここでは大半の人が、Flipperが車の盗難に有効なツールですらないという点を無視しているようだ。機能は演出された動画で誇張されてきた。
元のキーにアクセスする必要があり、車の範囲外にいて、かつFlipperの近くでキーを作動させなければならない。そうすれば元の車を一度だけ解錠する機会が得られるが、元のキーが先に使われればその機会も消える。そしてその後はエンジンもかけなければならない。
実際の車両窃盗犯は、もっと良い道具を使うと思う。
答えは明らかだ。メーカーに車をリコールさせ、この簡単な脆弱性を修正させればよい。
しかし政治家は大企業の味方で、Flipper Zeroを禁止すれば政治的コストがほとんどなく、見栄えのよい手早い勝利を得られるため、実際にはそうはならないだろう。