米国政府によるTP-Link販売禁止推進の分析
(krebsonsecurity.com)- 米国政府は TP-Link Systems の無線ルーターおよびネットワーク機器の販売を禁止する案を検討しており、その主な理由として 中国との関連への懸念 が挙げられている
- 商務省 は、TP-Link製品が米国内の機微なデータを扱っており、中国政府の 影響下にある可能性 があると判断
- TP-Linkは、中国法人との完全分離、ベトナムでの製造、カリフォルニア本社 などを根拠に安全保障上のリスクを否定し、市場シェアは誇張されていると反論
- Check Point Research と Microsoft は、TP-Linkルーターが中国のハッカー組織に悪用された事例を報告しており、Camaro Dragon など国家支援ハッカーの活動にも言及している
- 消費者の立場では、セキュリティ上の懸念とは別に 低価格・高性能製品へのアクセス が制限される可能性があり、セキュリティと技術アクセスのバランス が主要な争点として浮上している
米国政府によるTP-Link販売禁止の推進
-
米国政府は TP-Link Systems のルーターおよびネットワーク機器の販売禁止を準備中であり、これは 家庭用および中小企業市場の約50%を占める 企業に対する措置だと報じられている
- 専門家は、今回の措置は技術的脅威というより 中国との関連への懸念 に基づくものだと評価
- 業界全体が中国製部品を使用しているため、セキュリティ脆弱性はTP-Linkに限られない
-
ワシントン・ポスト は、6つ以上の連邦省庁がこの禁止案を支持しており、商務省 がTP-Link製品は 中国政府の影響圏内 にあると結論づけたと報じた
TP-Linkの反論と企業構造
- TP-Linkは 中国のTP-Link Technologiesとの完全分離 を主張し、米国本社（カリフォルニア）、シンガポール支社、ベトナムの製造施設 を運営していると説明
- チップセットを除く大半の 研究・設計・製造を自社で実施
- 中国国内の一部エンジニアリング資産は 独立して運営 されており、中国政府の監督を受けていないと明記
- 広報担当の Ricca Silverio は、「TP-Linkは米国企業として 高品質で安全な製品の提供 に注力している」と述べた
セキュリティ懸念とハッキング事例
- 米中戦略競争特別委員会（下院） は2024年8月、TP-Link機器が 米軍基地および軍の売店で販売 されているとして調査を要請
- 書簡では、TP-Linkの 脆弱性 と 中国法の遵守義務 を懸念し、中国政府が SOHOルーターを利用したサイバー攻撃 を実施してきたと警告
- Check Point Research(2023) は、中国のハッカー組織 Camaro Dragon がTP-Linkルーター向けの悪性ファームウェアを利用して 欧州の外交機関への攻撃 を行ったと報告
- このマルウェアはTP-Link機器でのみ確認されたが、他社製機器も危険となり得る と指摘
- Microsoft(2024) は、2021年以降 中国のハッカーグループがTP-LinkのSOHOルーターを悪用 して パスワードスプレー攻撃 を実施していると発表
コンシューマー向けルーターのセキュリティの現実
- ほとんどの コンシューマー向けルーターは出荷時の初期設定が脆弱 であり、デフォルトのアカウントやパスワードを変更しなければ、数分以内に IoTボットネット攻撃の標的 になり得る
- 新製品であっても、発売時点でファームウェアが旧版 であることが多い
- 近年、主要メーカーは 基本的なセキュリティ手順（パスワード変更、ファームウェア更新） を強制する方向へ移行
- Eero, Orbi, ZenWifi などの メッシュルーター は、オンライン登録を通じて自動更新をサポート
- Belkin, Linksys などは モバイルアプリベースのセットアップ を促しているが、依然としてユーザーが手動で更新しなければならない場合が多い
オープンソースファームウェアと代替策
- OpenWrt, DD-WRT のような オープンソースファームウェア はさまざまなルーターで利用可能で、機能拡張性と寿命延長 を提供する
- TP-Linkルーターのかなりの機種も OpenWrt互換
- ハードウェアレベルの欠陥は解決できないが、ハードコードされたアカウントや認証回避の脆弱性 など ベンダー固有のセキュリティ問題の緩和 は可能
- ルーターが 4〜5年以上経過している場合、性能とセキュリティの観点から 交換が推奨 される
ISP管理機器に関する注意点
- 多くのTP-Linkおよび競合他社のルーターは ISPを通じて貸与・管理 されており、リモート更新および認証プロファイル が含まれている
- この場合、ユーザーが独自にファームウェアを置き換えたり改変したりせず、事前にISPと協議する必要がある
読者の意見と論争
- 一部の読者は、中国製製品に対する過度な恐怖のあおり を批判し、他メーカーも同様の脆弱性を抱えていると指摘
- 一方で別の意見では、中国政府との関連の可能性 を理由にTP-Link製品の セキュリティリスク を強調
- 複数のコメントでは、アプリベース設定の不便さ、個人情報流出への懸念、米国内で代替製品が乏しいこと などが議論されている
- 一部ユーザーは TP-Linkの低価格・高性能という利点 を認めつつも、長期的なセキュリティリスク を理由に買い替えを進めていると述べている
結論的な文脈
- TP-Link禁止推進は、国家安全保障と技術アクセスの衝突 を示す事例
- セキュリティ脅威の実態と範囲についての 明確な情報開示 が求められており、
消費者・ISP・政府の間での責任分担 が今後の議論の核心として浮上している
1件のコメント
Hacker Newsの意見
TP-Linkにはファームウェアアップデートがないと言う人たちがいるのが理解できない
自宅、両親の家、恋人の両親の家まで、合計4種類のTP-Linkルーターを使っているが、発売から何年も経っていても継続的にアップデートを受けている。先月ですら一部モデルに更新があった
価格性能比が良く、基本的なセキュリティ機能もあるので、家庭用としては十分だと思う
完璧ではないが、この価格帯にそれ以上何を求めるのか
今では高価な製品でも信頼しにくいが、TP-Linkは価格に対して素晴らしい選択肢だ
競合よりはるかに長くサポートとアップデートを受けられる点も大きな利点だ
以前は「中国の低価格ブランド」というイメージだったが、今ではAnkerのようなしっかりした中堅ブランドとして定着した感じだ
個人的にはD-Linkの後継的な立ち位置という印象がある
しかし今のところ実際の証拠は見つかっていない。各国のセキュリティ専門家やハッカーがすでに機器を徹底的に解析しているはずで、何か出ていればとっくに明らかになっていたはずだ
バックドアがあるなら、いずれ露見するはずだという確信が私にはある
米国政府がIntelの持ち分を直接買うのはよくて、中国共産党が企業に少しでも関与するのはだめだというのはダブルスタンダードだと思う
セキュリティが問題なら、通信事業者に継続的なファームウェア支援のコストを負担させるなど、実質的な解決策があるはずだ
こうした政治的対応は、結局15年後に米国自身にブーメランとして返ってくるだろう
中国の企業統制のやり方は西側とまったく異なるので、単純比較は誤った同一視だ
今回の件の本当の教訓は、成功したからといってセキュリティ投資を減らしてはいけないということだ
TP-Linkなら、自社ルーター数万台がハッキングされたという話を聞けば怒るべきだったはずだ
すぐにソフトウェア品質の改善と脆弱性点検体制の強化に取り組むべきだった
だが現実には利益率しか気にしていないように見える
今の製品は相変わらずオンライン登録のような面倒な手順が多い
だが現実の多くの産業では、こうした問題をそのまま「正常」と受け入れてしまうのが人間の心理らしい
TP-Link製品は頑丈で、その気になればたいていOpenWRTにファームウェアを書き換えることもできる
両親の家にメッシュWi-Fiを設置したが、作業は非常にスムーズだった
ただしクラウドアカウント登録が必要な点は残念だった
ほとんどのWi-Fiチップセットはクローズドなファームウェアブロブを使い、独自CPU上で別のOSを動かしている
つまりOpenWRTはその下で何が起きているのか知らない。完全な解決策ではない
複数ネットワークの分離、来客用Wi-Fiの自動停止、帯域幅の優先順位付けなど、機能が豊富だ
Merakiよりずっと安く、性能にも満足している
私の環境ではセキュリティリスクが低いので、十分に合理的な選択だった
Linuxを使っていてもIntel MEやSGXのようなファームウェア層が依然として存在するのと同じだ
最近はOpenWRT導入用にルーターを買ったが、リビジョンが変わって仕様が下がっており、インストールできなかった
それでも価格に対する品質は悪くない
安定していて遠隔管理しやすい機器のおすすめを聞きたい
コンシューマールーターの本当の脅威は中国ではなく、ずさんなファームウェアだ
無数のネットワークが国家ではなく犯罪者の攻撃で突破されている
本気でセキュリティを求めるなら、ソフトウェアの設計基準を整備すべきだ
だが現実には政治的圧力と貿易交渉のためのカードでしかない
最近のセキュリティ勧告を見るだけでも、業界全体がYOLO式開発をしていることがわかる
TP-LinkはEOL（販売終了）でない製品には継続的にアップデートを提供している
米国製品も販売終了になれば同じように脆弱になる
今回の論争はセキュリティというより、米国市場シェアを奪おうとするロビー戦に近い
しかもCheckpointが言及したマルウェアはファームウェア非依存なので、他のハードウェアにも適用可能だ
DJIに続いてTP-Linkまで禁止するなら、結局コストパフォーマンスの高い中国製品が消えた米国市場はどうなるのか気になる
こうした環境で育つ米国の次世代エンジニアたちは、技術へのアクセス不足を抱えることになるだろう
禁止の理由は国籍ではなく実際のセキュリティリスクだ
TP-Linkはバックドアの設置とセキュリティパッチ放棄の表明で信頼を失った
1年前から複数の技術コミュニティで問題提起されていた
技術は悪くないが、価格は高く革新は乏しい市場になる可能性が高い
私はFirewalla Goldの後ろにTP-Link Decoを置いて使っている
これまで使ったホームネットワークの中で最も簡単で安定していた
TP-Linkが特別好きというわけではないが、価格に対する目的適合性は最高だった
もし禁止されるなら、米国内でのアフターサービス・アップデート・市場の混乱が心配だ
TikTok-Oracleの事例のように
むしろ米国こそがより大きな脅威だと思う
最近の米国はマフィアのような国家運営に見える。自分たちのバックドアを入れられないなら企業を破壊する
英国のOnline Safety Actや、オーストラリアの暗号化禁止法案がその例だ