研究者が開発したAirTagのクローンは、Appleのストーカー対策を回避する

セキュリティ研究者らは、AppleのAirTagのクローンを作成し、同デバイスとFind Myネットワークの追跡防止機能を回避できることをAppleに証明しようとしている。

AirTagは、追跡や個人のセキュリティに関する数多くの報告の対象となっており、Appleがそのような使用を制限する機能を備えているにもかかわらず、盗難やストーカー行為に利用されているという。悪用に関する批判を受けて、Appleは2月10日、ストーカー行為の問題に対処するため、「探す」ネットワークにいくつかの変更を加えると発表しました。

ポジティブ・セキュリティのセキュリティ研究者ファビアン・ブラウンライン氏が月曜日に公開したブログ記事で、現在および将来のセキュリティ対策における「極めて明白な回避策」がいくつか公開された。ブラウンライン氏は、これらはすべて実践可能だと考えている。

この仮説を検証するため、クローン版AirTagが製作されました。報告書によると、このステルスAirTagは追跡通知を一切表示することなく、5日間以上iPhoneユーザーを追跡できたとのことです。

研究者は、Appleが計画している変更点の多くの要素を阻止するためのアイデアを考案しました。まず、AppleはすべてのAirTagに固有のシリアル番号が付与され、Apple IDと紐付けられていると主張しています。しかし、クローン製品はハードウェアでもソフトウェアでもAirTagのシリアル番号を使用しておらず、Apple IDとも紐付けられていないため、この概念は当てはまりません。

Appleは、AirTagがペアリング済みのAppleデバイスから離れてからビープ音が鳴るまでの遅延時間を3日以上から8～24時間に短縮していますが、このクローン製品はスピーカーを非搭載にすることでこの問題を回避しています。さらに、スピーカーを取り外したり無効にしたりしたAirTagの販売によって、この問題は既に解消されています。

ストーカー被害の可能性のある人への通知について、ブラウンライン氏は、Appleが2つの点でプライバシーを犠牲にしていると指摘する。特定のAirTagの識別を防ぐために、Bluetooth経由ではAirTagを他のAirTagと区別できないようにしたいと考えている一方で、時間の経過とともに特定のAirTagを識別できるようにすることで、ユーザーと一緒に移動しているAirTagか、単に通り過ぎただけのAirTagかを判別できるようにしたいと考えているのだ。

Braunlein 氏の回避策の例では、2,000 個を超える事前にロードされた公開鍵のリストが使用され、クローンによって 30 秒ごとに 1 つの公開鍵がブロードキャストされました。

今後の変更点としては、セットアップ時のプライバシー警告、AirPodsのアラート問題の変更、サポートドキュメントの更新などはクローンとは無関係と判断されました。また、UWBチップを搭載していないマイクロコントローラーを使用した高精度な位置検出についても、ここでは取り上げていません。UWBチップでは検出できないためです。

クローンの作成

クローン自体の構築にあたり、ブラウンライン氏は「Find My」ネットワークを利用してBluetoothデバイスを追跡するためのフレームワークであるOpenHaystackをベースにシステムを構築しました。Bluetooth対応のESP32マイクロコントローラー、モバイルバッテリー、ケーブルを用いて、AirTagではないクローンを作成しました。

ポジティブセキュリティプロジェクトのために作られたAirTagクローン

このクローンは、公開鍵を定期的にローテーションし、定期的に鍵を送信し続けるカスタムESP32ファームウェアを使用していました。リストは約17時間ごとに繰り返されていました。しかし、クローンで使用されている共通のシードおよび導出アルゴリズムと、それを追跡するMacアプリケーションによって、「実質的に重複のない鍵のストリーム」が生成される可能性があると考えられています。

さらに、不可逆な導出関数を使用し、シードを次のラウンドの出力で上書きすると、たとえクローンに物理的にアクセスできたとしても、法執行機関や Apple がタグの以前にブロードキャストされた公開鍵を取得することは不可能になります。

テストでは、Android Tracker Detectアプリはクローン化されたAirTagを全く表示しませんでした。OpenStackを支えるダルムシュタット工科大学ラボが開発した、近くの「探す」デバイスをスキャンできるAndroidツール「AirGuard」は、クローン化されたデバイスを追跡することができ、公開鍵の変更により複数回表示されました。

クローンAirTagを使用して生成された5日間の追跡データ[Positive Security経由]

5日間にわたり、クローン版AirTagは追跡に成功しました。追跡対象は、プロジェクト用に改造されたmacOSツールを通じて、自宅と外出時に表示されました。被験者自身もiPhoneを所持するルームメイトも、この期間中に追跡アラートを受け取ったことはありませんでした。

変化への希望

テストを総括したブラウンライン氏は、主なリスクはエアタグ自体ではなく、「顧客のデバイスを利用してAppleのサービスを提供する『Find My』エコシステムの導入にある」と考えている。現在の『Find My』ネットワークは、エアタグと正式にネットワーク使用許可を得たハードウェアだけに限定することはできないため、ブラウンライン氏はAppleはセキュリティ強化を検討すべきだと考えている。

「Find Myプロトコルを実装した、カスタムメイドで悪意のある可能性のあるビーコンや、ハードウェアを改造したAirTagの脅威を考慮する必要がある」とブラウンライン氏は述べている。「モバイルバッテリーとESP32はAirTagよりも安価であるため、一部の人にとってはクローンを自分で作ろうという動機がさらに高まるかもしれない。」

研究者は「悪用を奨励するわけではありませんが、この実験を共有することで、『Find My』エコシステムのセキュリティとプライバシーに良い変化がもたらされることを期待しています」と結論付けています。