研究者は、サムスンの Android 向け Knox セキュリティ レイヤーは脆弱な暗号化キーを生成し、パスワードをローカルに保存し、致命的な「隠蔽によるセキュリティ」設計でユーザーにログインのヒントを与えるため、「製品のセキュリティが完全に危険にさらされている」と詳細に説明した。
[ 更新: Samsung は KNOX ブログで声明を発表し、「これらの主張を詳細に分析した結果、KNOX エンタープライズ ソリューションに関しては結論が誤っていることが判明しました」と回答し、「KNOX エンタープライズ コンテナーは、パスワード回復の目的で代替 PIN を保存しません」と詳細を述べ、ユーザーにパスワードのヒントを提供するためにユーザーの PIN をクリア テキストで保存する慣行は、「消費者が KNOX コンテナーを体験できるように設計された KNOX 1.0 の個人用コンテナー」に限定されていると説明しました。
同社は、「Samsung KNOXデバイスは、FIPS 140-2やMDFPPなどの複数のセキュリティ認証を取得しており、信頼できる第三者機関による、Samsungが適切なセキュリティ対策を講じていることの証拠となっている」と主張している。
しかし、FIPS 140-2 などのセキュリティ認証を取得した一連の製品 (iOS 6 を実行する Apple のデバイス、Android と Knox を実行する一部の Samsung Galaxy 電話、Blackberry OS 10 製品を含む) に、iOS 7.0.6 で修正された Apple の GotoFail SSL の脆弱性、Flash と Heartbleed に関連する Blackberry OS 10 の脆弱性、Fake ID を含む一連の Android と Knox 関連の脆弱性など、深刻な欠陥があることが後に判明しました。
サムスンは、機密性の高いセキュリティニーズを持つ企業や政府機関の顧客への販売を可能にするために、同社のハイエンドAndroidベースのGalaxyスマートフォン、ファブレット、タブレットにKnoxソフトウェアを搭載し、企業向け販売で圧倒的なリードを持つAppleに対抗しようとしている。
2日前、サムスンは、米国政府が「機密扱いの政府ネットワークおよびデータでの使用を目的とした一連の新デバイス」を承認したと発表した。「すべてのデバイスと機能には、Samsung KNOXを搭載したセキュリティ機能が組み込まれている」としており、「機密扱い商用ソリューション（CSfC）プログラムコンポーネントリスト」に追加された。
同社の最高経営責任者（CEO）JK・シン氏はプレスリリースで、「サムスンのモバイルデバイスがCSfCリストに掲載されたことは、KNOXプラットフォームでサポートされているサムスンギャラクシーデバイスの比類のないセキュリティを証明している」と述べた。
TechnoBuffaloのジェイコブ・クラインマン氏は、「サムスンがKNOXセキュリティソフトウェアの開発に注力してきた努力が実を結んだようだ」と述べ、英国のウェブサイトThe Registerのジェニファー・ベイカー氏は「今後、米国の諜報機関はKNOXでロックされたサムスン製デバイスから機密の政府情報にアクセスできるようになるだろう。韓国企業は新しいKNOXセキュリティ製品を積極的に推進しており、その努力が実を結んだようだ」と報じた。
待って、止まって、戻って
しかし本日、ソフトウェア研究者が、SamsungのKnoxアプリがユーザーのパスワード「ヒント」PINをデバイス上に平文で保存していることを示す調査結果を発表しました。Samsung KnoxユーザーはパスワードとPINを使ってKnoxアプリにログインし、PINは平文で「pin.xml」ファイルに書き込まれます。
Knoxアプリは、専用のホーム画面を持つ「Knox Container」を構築し、そこからセキュアなアプリを起動します。これらのアプリは、ユーザーのプライベートアプリやデータと混在することはありません。この設計は、脱獄されたiOSデバイスのように効果的なアプリセキュリティが備わっていないAndroidのオープンな設計を回避しようとしています。
しかし、Samsung KnoxユーザーはパスワードとPINを使用してKnoxアプリにログインします。これらのPINは平文で「pin.xml」ファイルに書き込まれ、ファイルシステムを閲覧できる誰でも閲覧可能です。ユーザー（または平文のPINを読み取った人）はPINを入力することで、「パスワードを忘れた場合」のヒントを得ることができます。
調査で説明されているように、PIN を入力すると、「Knox アプリはパスワードの小さなヒント (パスワードの最初と最後の文字!! + パスワードの元の長さ!) を表示します。」
この「絞首刑ゲーム」スタイルのパスワード セキュリティは、問題の限界ではありません。
「Samsung Knoxがユーザーのパスワードをデバイスのどこかに保存するのは明らかだ」と研究者は指摘し、「/data/system/containerフォルダにはcontainerpassword_1.keyというファイルがあり、そこにユーザーの暗号化キーが保存されている」とさらに詳しく説明した。
サムスンKNOXは「完全に侵害された」
研究では、Samsung Knoxをさらに調査し、「パスワードの暗号化がどのように機能するのか、暗号化のキーはどこから来るのか」を探った。
記事には、「SamsungはDEX事前最適化を利用してKnox APK内のすべてのclasses.dexファイル（Javaコードはclasses.dexというファイルに保存され、このファイルはDalvik JVMによって解析される）を削除しているため、リバースエンジニアリングがやや困難になっている。バイナリを取得するには、/system/app/にある.odexファイルを探す必要がある（odexは基本的に、アプリケーションのclasses.dexをDalvikで実行可能な状態に前処理したもの）。odexファイルはsmaliコードに再変換でき、さらにdexファイルに再変換できる。最終的にdexファイルはjarファイルに変換でき、これは任意のJava逆コンパイラで逆コンパイルできる。パスワードヒント機能のためだけにキーを保持し続けているという事実は、この製品のセキュリティを完全に侵害している」と記されている。
「サムスンはコードの難読化を一切行わず、パスワード保存コードを何百もの Java クラス、継承、プロキシ内に隠そうとしました。」
最終的に彼が発見したのは、KnoxはデバイスのAndroid ID（どのアプリでもシステムに要求できるシリアル番号）を「ハードコードされた文字列と組み合わせて暗号化キーを生成する」という単純なものだということだった。Knoxという製品には、もっと違うアプローチが期待されていたはずだ。
さらに彼は、「パスワードヒント機能のためだけにキーを永続化しているという事実は、その製品のセキュリティを完全に損なうものです。このような製品では、パスワードをデバイスに保存すべきではありません」と指摘し、「Samsung Knoxではなく、Androidに内蔵されている暗号化機能を使用して、デバイス全体を暗号化することをお勧めします」と結論付けています。
幸いなことに、実際にノックスを使おうとしている人はほとんどいない。
サムスンは、「現在のオープンソース Android プラットフォームの欠点を解決する」ために「根本的なセキュリティと管理の強化」を追加する取り組みの一環として、2013 年初頭に Knox を初めて発表しました。
Knox が利用可能になる前から、Samsung はすぐにこれを「SAFE」（「SAmsung For Enterprise」の略）イニシアチブの一環として宣伝し始め、実際には存在しないビジネス プレゼンテーションおよびプロジェクト管理ソフトウェアの模型を実行している Samsung デバイスを描写した看板を設置しました。
昨年、KNOXがGalaxy Note 3に初めて導入された直後、ベングリオン大学サイバーセキュリティ研究所の研究者であるモルデハイ・グリ氏は、「ハッカーがKNOX対応Galaxyスマートフォンのユーザーの機密データを『容易に傍受』できる」脆弱性について説明しました。KNOXが搭載されて出荷された8700万台のデバイスのうち、実際にKNOXを使用していたのはわずか180万台でした。
グリ氏は、最悪のシナリオでは「ハッカーがデータを改ざんし、保護されたネットワーク内で暴走する可能性のある悪意のあるコードを挿入する可能性がある」と述べた。
6カ月後、ウォール・ストリート・ジャーナルはこの問題を「セキュリティ上の欠陥の可能性」と表現し、サムスンが「この問題はサムスンのデバイスに特有のものではない」と「明確にした」と報じた。
しかし、今年 5 月、サムスン幹部の Rhee In-jong 氏は、別のウォール ストリート ジャーナルの記事 (「虹彩スキャン」生体認証の空想的な計画について語ることで、Apple の Touch ID 指紋センサーから注意をそらそうとしたもの) に登場し、Knox を搭載して出荷された 8,700 万台のデバイスのうち、実際に Knox を使用しているのはわずか 180 万台、つまり約 2 % に過ぎないと指摘しました。
Android 5.0 LollypopがKnoxedアップ
6月、GoogleのAndroid開発責任者であるサンダー・ピチャイ氏は、SamsungのKnoxの「貢献」によって提供される企業ユーザー向けのセキュリティ層を備えたAndroid 5.0「Lollypop」の計画を発表した。
LollypopとKnoxの突然の結婚は、GoogleとSamsungの間の妥協案のように見えた。The Informationの報道によると、両社は1月にSamsungが「Magazine UX」と呼ばれる独自の新しいユーザーインターフェースを披露して以来、緊張した対立を続けており、Pichai氏はこれをAndroidに対するGoogleの支配と収益化に対する直接的な脅威とみなしていた。
ピチャイ氏は、Googleの要件を満たさない限り、サムスンがオープンと謳うAndroid OSを使用することを「禁止する用意がある」と報じられている。GoogleがAndroid向けに独自の統一されたユーザーインターフェースを提供するという2度目の試み、つまり「マテリアルデザイン」と呼ぶWebに着想を得た取り組みを発表したことを考えると、この要求はより理にかなっていると言えるだろう。
この対立は、IDCのモビリティ調査ディレクターのライアン・リース氏が示唆したように、他のAndroidベンダーが実質的に企業から完全に締め出されている一方で、サムスンがKnoxを「提供」するよう強要される可能性があることも説明している。Knoxは、サムスン製品の一部を少なくとも政府機関や企業ユーザーが購入できるようにした、大きな差別化機能である。
KnoxはSamsungにとってエンタープライズ市場における差別化要因でした…「だった」がキーワードです。なぜそれを手放したのでしょうか？
— ライアン・リース（@ryanreith）2014年6月25日
Google が 6 月に Android のセキュリティ保護ソリューションとして Knox を導入した後、Bluebox Security は、Android 自体に新たな重大な欠陥があることを詳細に報告しました。この欠陥は、オペレーティング システムがアプリの暗号署名を検証できなかったことによるもので、実質的には、特別なアクセス権限が与えられていないアプリでも、信頼できるアプリとして偽装し、ユーザーのアプリとデータを広範囲に制御できるようになるというものです。
「偽ID」の脆弱性はAndroidのWebViewを悪用し、WebViewを組み込んだ様々なサードパーティ製アプリに感染する可能性があります。また、広くインストールされているNFC Walletアプリや、HTC、Pantech、Sharp、Sony Ericsson、Motorolaなどの様々なAndroidスマートフォンに搭載されている3LMデバイス管理ツールの残骸など、信頼できるGoogleソフトウェアも標的となる可能性があります。AppleはAndroidのセキュリティとプライバシーの問題を取り上げ、iOSは「セキュリティを中核に」設計されていることを強調しています。
世界のスマートフォン市場におけるAndroidプラットフォームの「80%」を占めるデバイスの大半は、いまだに偽ID脆弱性を修正するアップデートを受けていません。さらに、GoogleはGoogle Playアプリの悪質コードのスキャンに取り組んでいますが、GoogleがAndroidをほとんど管理していない中国を含む海外の様々なアプリストアでは、スキャンが未だ行われていません。
今年初め、ピチャイ氏はAndroidにおけるセキュリティに対するGoogleの全く異なるアプローチについて概説し、「Androidが安全であると保証するわけではありません。Androidのフォーマットは、より多くの自由度を与えるように設計されているのです。Androidを狙う悪意のあるプログラムの90%について語る際には、当然ながらAndroidが世界で最も利用されているOSであるという事実を考慮に入れているはずです。もし私がマルウェア対策専門の会社を経営していたら、Androidにも攻撃を仕掛けるでしょう」と述べました。
AppleはAndroidのセキュリティとプライバシーの問題を取り上げ、iOSは「セキュリティを中核に」設計されていることを強調した。
iOSのセキュリティ（Touch IDや最新の64ビットアプリケーションプロセッサのセキュアエンクレーブなど）を詳述したホワイトペーパーの中で、同社は次のように述べています。「最高のモバイルOSの開発に着手した際、数十年にわたる経験を活かし、全く新しいアーキテクチャを構築しました。デスクトップ環境のセキュリティリスクを考慮し、iOSの設計においてセキュリティに対する新たなアプローチを確立しました。モバイルセキュリティを強化し、デフォルトでシステム全体を保護する革新的な機能を開発・組み込みました。その結果、iOSはOSセキュリティにおける大きな飛躍を遂げました。」
