エアギャップはネットワークを遮断するが、物理法則は遮断しない
RAMBOは、研究で実証された手法で、特定のメモリバス動作によって生じる電磁放射にデータを符号化します。この手法はコンピューターの内部部品を秘匿無線送信機に変え、最高水準のセキュリティを想定して設計されたシステムからもデータを持ち出します。
エアギャップ環境のシステムは、軍事施設や原子力施設のような機密性の高い業務において重要です。ネットワークから隔離されているため、リモートからのデジタルアクセスを防げるからです。しかし、ネットワークからの物理的な隔離は、あらゆる物理的サイドチャネルをなくすものではなく、システムは電磁漏洩に対して脆弱なままとなります。
Ben-Ben-Mordechai Gurion University of the Negev of the Negevのサイバーセキュリティ研究者であるMordechai Mordechai Guriは、概念実証としてRAMBOを開発しました。この攻撃は日常的なパスワード窃取の証拠ではなく、高度な情報持ち出しの手法を示すものです。正式名称がRadiation of Air-gapped Memory Bus for Offenseであるこの手法は、根本的な脆弱性を浮き彫りにしています。
エアギャップ環境のマシン上のマルウェアは、メモリバスを意図的に操作して、制御された電磁放射を生み出すことができます。これはランダムなノイズではなく、この変調によってデータが符号化され、コンピューターのRAMが事実上アンテナとして機能します。
RAMが秘匿送信機に変わる仕組み
RAMBOは、CPUとメモリのあらゆるやり取りに本来伴う電磁放射を利用します。通常、この放射はランダムで意味を持たない背景ノイズです。しかしマルウェアは、メモリの読み書きを正確な高周波パターンで意図的に組み立てることで、この副次的な電磁放射を構造化された無線信号に整形できます。
データの符号化にはマンチェスター符号化が用いられます。これは、各ビットの値を絶対的なレベルではなく信号の遷移で表す堅牢な方式です。この方式に組み込まれたタイミング情報により、信号が弱い場合、ノイズが多い場合、干渉を受けている場合でも、受信側は正確にデータを復元できます。そのため、秘匿性の高い低電力の送信に適しています。
受信側では、攻撃者が近くに置いたソフトウェア無線(SDR)と簡易なアンテナを使用します。この安価な構成で、エアギャップ環境のマシンから出るかすかな電波を捕捉します。その後SDRがマンチェスター符号化された信号を復号し、元のバイト列に戻します。
このプロセスは、コンピューターが判読可能なパスワードを放送するものとは根本的に異なります。エアギャップ環境のシステム上のマルウェアが、メモリバスの動作を操作することで無線信号を生成し、メモリ自体を許可されていない送信機に変えて、専用の受信機へ空中を通じてデータを送ります。
鍵であれば、数秒で十分な場合がある
低速なデータ漏洩であっても、極めて効果的になり得ます。研究者らは、16 GBのRAMを搭載した標準的なIntel Core i7システムで、RAMBOが最大毎秒1,000ビット(bps)でデータを持ち出せることを実証しました。この速度は、1回のキー入力を16ビットで符号化すれば、リアルタイムのキーストロークを取得するのに十分です。
帯域幅が小さいことは、価値が高くサイズの小さいデータにとって障壁にはなりません。たとえば4,096ビットのRSA暗号鍵は、RAMBOの最速設定で約4秒で完全に送信できます。これは、重要な暗号資産や小規模なパスワードの一覧が、一見控えめなデータ速度であっても非常に脆弱であることを示しています。
到達距離と信頼性は送信速度によって変わります。より低速で安定した速度では、最大7メートル離れた場所でも確実に信号を受信できます。データ速度を1,000 bpsに近づけると、有効距離は約3メートルに縮まり、わずかなビットエラーも発生します。この方式は、重要で小さなデータパケットを狙って持ち出すことに最適化されており、大容量の転送向けではありません。この秘匿チャネルの技術的な詳細については、研究論文全文をご参照ください:RAMBO: Leaking Secrets from Air-Gap Computers by Spelling Covert Radio Signals from Computer RAM。
この記事が気に入ったら、毎朝同じようなものをメールで受け取れます。
1日1通 · 2クリックで解除 · サードパーティのトラッキングなし
難しいのはマルウェアの設置
RAMBOにとって最大のハードルは侵入です。まずマルウェアがエアギャップ環境の標的システムに到達しなければなりません。これはエアギャップを突破するリモートからのエクスプロイトではなく、隔離されたマシンがすでに侵害されていることを前提としています。さらに、受信機は標的から数メートル以内、通常は望ましいデータ速度とエラー許容度に応じて3〜7メートルの範囲内にある必要があります。
困難ではあるものの、考えられる感染経路には次のものがあります。
- 侵害されたUSBメディア
- 感染した保守用機器
- サプライチェーンへの介入
- 内部関係者によるアクセス
Stuxnetのような作戦に代表されるこれらの手法は、物理的な隔離が、執拗な攻撃者に対する絶対的な安全を意味しないことを示しています。
このようなサイドチャネル攻撃への防御には、多層的なアプローチが必要です。異常なメモリアクセスパターンを監視することで、マルウェア特有の動作を検知できる可能性があります。機密性の高いシステムに対して、厳格な物理的分離とレッド・ブラックゾーンの分離を徹底することが重要です。
さらなる強化策として、許可されていないデバイスの接続を防ぐためにハードウェアへのアクセスを制限します。きわめて高いセキュリティが求められる環境では、RFジャミングの利用、またはファラデーケージやTEMPESTシールドへの投資により、電磁放射を軽減できますが、これらの対策を広く導入するにはコストがかかる場合があります。
よくある質問
RAMBO攻撃とは何ですか?
RAMBOは、メモリ動作を制御することで、コンピューターのRAMバスから放射される電磁波にデータを符号化する、概念実証段階の秘匿チャネルです。
RAMBOはあらゆるエアギャップ環境のコンピューターからデータを盗めますか?
それだけではできません。まず対象がマルウェアに感染している必要があり、さらに信号を捕捉するための受信機を数メートル以内に設置する必要があります。
RAMBOはどの程度のデータを送信できますか?
報告されている最大速度は毎秒最大1,000ビットで、鍵のような小さな秘密情報には十分ですが、大容量のファイルには適しません。
組織はRAMBOに対してどのように防御できますか?
厳格な物理アクセス制御を実施し、異常なメモリ動作を監視してください。機密性の高いシステムでは、RFシールド、ジャミング、セキュアなゾーニングも検討してください。