マイクロソフトの「ハック不可能」なXbox One、「Bliss」によってハッキングされる

• 2013年の発売以来セキュリティが破られていなかった Xbox One が、「Bliss」と呼ばれる 電圧グリッチ（Voltage Glitch） 攻撃によって完全にハッキングされた
• ある研究者が RE//verse 2026カンファレンス でこのハックを実演し、2回の精密な電圧変調によって ブートROMレベルのセキュリティ回避 を達成した
• この攻撃は ARM Cortexのメモリ保護設定ループ をスキップし、ヘッダー読み込み中のMemcpy処理 を操作して攻撃者制御コードへジャンプするよう設計されている
• その結果、署名されていないコード をハイパーバイザーやOSなどすべての階層で実行でき、セキュリティプロセッサへのアクセス を通じてゲームやファームウェアの復号も可能になる
• この発見は パッチ不可能なハードウェア脆弱性 と評価されており、今後 エミュレーション研究や保存活動 に新たな可能性を開くものとして注目されている

---

Xbox Oneのセキュリティとハッキングの背景

• Xbox Oneは2013年の発売以来、10年以上にわたって 「ハック不可能なコンソール」 と呼ばれ、セキュリティが維持されてきた
  • マイクロソフトは発売から7年後でもXbox Oneを「最も安全な製品」と評価していた
• 前世代の Xbox 360 がReset Glitch Hack（RGH）で突破されたのとは異なり、Xbox Oneでは Resetベースの攻撃が不可能 だった
• Gaasedelenは既存研究を参考にXbox Oneのセキュリティ構造を分析し、新たなアプローチとして 電圧グリッチハッキング（VGH） を試みた

Blissハックの技術的構造

• ハッカーはシステムの リセットピンの代わりにCPU電圧レールの瞬間的な崩壊 を利用してセキュリティルーチンを攪乱した
  • 内部構造を直接見ることができなかったため、そのために 新しいハードウェア観測ツール を開発した
• Blissエクスプロイトは 2回の精密な電圧グリッチ を連続して与えることで成功した
  • 1回目のグリッチは ARM Cortexのメモリ保護設定ループ をスキップする
  • 2回目のグリッチは ヘッダー読み込み中のMemcpy処理 を操作し、攻撃者制御データへジャンプするようにする
• この攻撃は シリコンレベルのブートROMを直接標的 にしているため、パッチ不可能（unpatchable） と評価されている

ハッキングの結果と影響

• Blissは ハイパーバイザーとオペレーティングシステム（OS） を含むすべての階層で 署名されていないコードの実行 を可能にする
• また セキュリティプロセッサ（Security Processor） へのアクセスも可能になり、ゲーム・ファームウェア・オペレーティングシステムの復号 が可能になる
• これにより デジタル保存家（digital archivist） はXbox Oneの内部データに新たなアクセス権を得ることになる
• 今後 エミュレータ開発 や モッドチップ制作 へとつながる可能性がある

今後の見通しとコミュニティの反応

• 記事では、この技術が今後どのように活用されるかは まだ不確実 だと述べられている
• 一部のフォーラムユーザーは「13年ぶりのハック」だとして驚きを示し、他のユーザーは ARMコアの存在有無 をめぐって議論を交わした
• いくつかのコメントでは、今回のハックは 攻撃者と防御者の双方に有用な研究成果 だと評価されている
• PCゲーマーの立場では、Xbox Oneのゲームの大半がすでにPCでより高品質に提供されているため、エミュレーション需要は低いだろう と言及されている

[choijaekyu]

私も昔やってみました。ゲームセンターのスティックで笑

[aciddust]

wwwwwwwwwwww

[mammal]

サイドチャネル攻撃は見るたびに驚かされますね

[GN⁺]

Hacker Newsの意見

• PCユーザーが実際に Xbox One をエミュレーションしたいと思うほど興味を持つ可能性は低い
  2013年のシステムのゲームライブラリの大半は、PCでより高品質に楽しめた
  そのため、このコンソールが長い間ハックされなかった理由もそこにある。わざわざハックする動機がなかったからだ。Microsoft の最高のセキュリティ戦略は、「誰もハックしたがらない機器」を作ることだった

  • Microsoft はコンソールハックのもう一つの主要な動機も取り除いた。Xbox One は現代のコンソールとして初めて公式のサイドローディングを許可した。開発者モードでサードパーティ製アプリやエミュレータをインストールできたからだ
    関連発表: Tony ChenのXbox Oneセキュリティ講演
    アプリ例のまとめ: xboxdevstore.github.io
  • Xbox One のセキュリティアーキテクチャは当時としては非常に先進的だった。たとえハックする動機があったとしても、突破には時間がかかったはずだ
  • Xbox 360 を完全にハックした同じハッカーたちが Xbox One も攻撃しようとしたが、今回はセキュリティレベルがはるかに高く失敗した
  • 最近の Xbox シリーズは失敗作だと言われることもあるが、私はSeries X + Game Pass の組み合わせが最高のコストパフォーマンスのエンターテインメントだと思う
    以前は古い PC を使っていたが、GPU 価格が高騰していた時期だったのでコンソールに乗り換えた。結果的にはるかに満足できた。今でも妻と赤ちゃんが寝た夜には、TVの代わりに Baldur’s Gate 3 を一緒に楽しんでいる

• 電圧降下をタイミングよく誘発してキー比較の時点を操作し、その直後にスパイクを入れて命令フローを強制的に制御した事例だ。本当に美しい攻撃だ

  • これは単なる電圧グリッチではなくダブルグリッチ(double glitch) だ。最初のグリッチで MMU 初期化をスキップさせ、2回目のグリッチで memcpy 中に PC の制御権を奪う。詳細は発表を直接見るのがよい
  • CPU 電圧レールを精密に制御して命令をスキップさせる攻撃であれば、防御はほとんど不可能に見える。まったく新しい脆弱性クラスだ
    関連動画: Intelマイクロコードのグリッチ攻撃事例
  • Xbox 360 もほぼ同じ方式でハックされたことがある。
    参考: Xbox 360 RGH3 の説明
  • この種の攻撃の初期事例としてはCLKSCREWがある。ただし、ルート CA キーを保管するセキュアハードウェアは、はるか以前からこうした攻撃に備えて強化されていた

• Xbox One は後継機が発売されてから5年半が過ぎてようやくハックされたのだから、事実上「アンハッカブル」と言っていい。次世代ではこれをどう緩和するのか気になる

  • 今回のハックは初期リビジョンのシリコンでしか動作しない。以後のバージョンはアンチグリッチ技術やセキュリティコアの分離などにより、はるかに強化されている
  • Microsoft は Xbox の次世代プロジェクトを引き続き進めている
    関連記事: Project Helix – 次世代Xboxの開発

• 今回の脆弱性は2013年発売の初期型「VCR」モデルにのみ該当する

  • ただし、このモデルは中古市場でよく見かけ、安価でもある。私は中古店で $30 で購入した

• ハッカーの Markus は私たちのコミュニティの一員だ
  彼のHNプロフィール

• 今回のニュースはエミュレーションとホームブリューへの道を開くきっかけになるかもしれない

  • 実際、Xbox One は最初から公式のホームブリュー支援があった。誰でも開発者アカウントを登録して dev モードで起動でき、これはハッキング抑止戦略の一環だった
  • ただし今回のハックが実際にモッドチップの形で広まる可能性は低い。DMCA 違反のリスクが大きく、2013年モデルにしか適用できず、その後のシリコンではすでにグリッチ対策が強化されているからだ
  • Xbox One の独占タイトルはほとんどない。Forza や Halo 5 くらいで、ほとんどのゲームは他のプラットフォームでも遊べる
  • むしろ私はこの機会を利用して、初期型 XBone をホームラボ用 Linux ボックスとして再利用してみようと思う

• 私も Xbox Series X にLinux をインストールしてみたい。オープンクローズドなシステムとして使うなら悪くなさそうだ

• RE//verse カンファレンスは、リバースエンジニアリング分野で非常にレベルの高い発表と参加者が集まるイベントだ。興味があるならぜひ勧めたい

• 物理的に機器を所有する攻撃者を防ぐのは本質的に難しく、リモート攻撃よりはるかに安全性が低いレベルになる。予想できる結果だ

  • Microsoft の Tony Chen は、「物理攻撃を試みるには最低でもゲーム10本分の価格($600)がかかる」ように設計したと説明している
    発表動画: Guarding Against Physical Attacks: The Xbox One Story
  • 保護対象の規模による。スマートカードやセキュリティチップのような小さなシステムはほとんど破られないが、現世代コンソール級の複雑なシステムははるかに難しい

• Markus の発表は本当に驚異的な内容だった。Xbox のブートチェーンのセキュリティ構造を詳細に説明している
  Xbox はスマートフォンや Secure Boot PC に似た技術を使っており、ブート ROM から始めて段階的にハードウェアを有効化し、各段階の完全性を検証する。
  ブート ROM は 19KB 程度で、この部分だけがソフトウェアアップデートで修正できない中核領域だ。Markus はこの領域を電圧グリッチングで攻撃して制御権を得た
  Microsoft はこれを防ぐため、ランダムループ、状態出力の遮断、ハッシュチェーン検証、ユーザーモード分離などさまざまな防御策を適用したが、Markus は2回のグリッチチェーンでこれを回避した

  • PSP(Platform Security Processor) が小型の ARM コアなら、TMR(Triple Modular Redundancy) 構成でグリッチを検出できないだろうか。電源回路が異なれば、同じエラーが3つのコアで同時に発生するのは難しいはずだからだ
  • Markus の再現性(repeatability) がどの程度なのか気になる
  • この要約のおかげで、まだ動画を見ていない人でも要点を理解できる。本当に素晴らしい整理だ
  • 私も最初は「一時停止ボタンが必須」という言葉に同意しなかったが、読んでいくうちに発表の進行があまりに速く、結局納得した
  • この技術的要約は本当に印象的だった。共有してくれてありがとう