アップルや他のテクノロジー企業が使用するスーパーマイクロのサーバーに中国のスパイチップが秘密裏に埋め込まれたという報告が、新たな打撃を受けている。安全なサーバーの仕組みを詳しく調査する専門家が、報告ではハッキングの詳細が欠けていると批判し、主張されている手法は実行不可能だったと主張している。
スパイチップの存在を主張したブルームバーグの最初の報道は、すでに多くの企業によって反論されているが、スパイチップは起こっていないとの宣言や、セキュリティ専門家と政府機関の両方からその発生に対する疑問の声が上がっている一方で、なぜ報道が間違っているのかについての説明はほとんどない。
サーバー専門メディア「Serve The Home」による徹底的な調査では、報告書の主張の一部について詳細かつ技術的な調査が行われており、同サイトはブルームバーグの説明には多くの問題点があると指摘している。ハッキングの仕組みの説明には「かなり驚くべき妥当性と実現可能性のギャップ」が含まれているとされ、詳細が不足しており、理解しにくい点が目立つ。
報告書の主張における最大の問題点は、これらのチップが「ベースボード管理コントローラ（ベースボード管理コントローラ）に接続されている。これは一種のスーパーチップであり、管理者はこれを使って問題のあるサーバーにリモートログインし、クラッシュしたり電源が切れたりしたマシンであっても、最も機密性の高いコードにアクセスできるようになる」という記述である。また、これらのチップは接続されたデバイスに外部コンピューターへの接続を指示し、これらのサーバーから受信したコードをデバイスのオペレーティングシステムにインストールすることもできるとされている。
デバイスに外部との通信を指示するという主張は、業界の基本的なセキュリティ慣行、すなわちBMCは通常、インターネット接続とは別にネットワーク化されているため、誤りであると指摘されています。また、AppleやAmazonなど、レポートで特定されている企業は、平均的な中小企業よりも優れたセキュリティ対策を講じている可能性が高く、BMCのセキュリティ強化も含まれているため、前述のような攻撃は事実上不可能です。
クラッシュしたマシンや電源がオフになっているマシン上の機密コードへのアクセスについても、「この技術ではそのような動作はしない」として否定されています。BMCの電源がオンになっている場合、データストアとプロセッサはオンになっていないため、この状態では直接通信することはできません。つまり、サーバーストレージがオンになっていない場合、アクセスは不可能であり、想定されるコードインジェクションは全く実行できないということです。
調査で反論されたもう一つの点は、スパイチップがマザーボード上でデータが移動する際にサーバーに指示する命令を操作し、プロセッサへの経路上の一時メモリ内のコードを調整するという主張である。これは、埋め込まれたとされるハードウェアが「この傍受を実行するためのピン数も処理能力も備えていない」ため、信憑性が低いように思われる。
サーブ・ザ・ホームは、長きにわたる調査を総括し、ブルームバーグ氏は「この記事が真実であることを証明するために、信頼性が高く検証可能な情報を提示する必要がある」と主張している。なぜなら、提示されたハッキング手法はそもそも機能しないからだ。もしそのような証拠や情報が得られないのであれば、ブルームバーグ氏は記事を撤回し、編集委員会の審査を通過できた経緯を調査すべきだ。
Appleのサーバーに埋め込まれたとされる中国のスパイチップの大きさを示す図。
出典：ブルームバーグ・ビジネスウィーク
10月4日、ブルームバーグは数年にわたる調査に基づく報告書で、Apple、Amazon、その他30社が、Super Micro社製のマザーボードに米粒大のチップを埋め込んだスパイ活動の被害に遭ったと主張した。マザーボードが配送されると、AppleのiCloudなどのインフラへのバックドアが作られるという。
アップルはすぐに疑惑を否定し、「大規模で、きめ細やかで、サイロ化された調査」を実施したと主張した。
アマゾンもこの件について明確に否定した。
アマゾンは声明の中で、「アマゾンに関連するこの記事には、数え切れないほど多くの不正確な点がある」と述べ、いくつかの具体的な主張を否定し、改造されたハードウェアは発見されなかったことを具体的に指摘した。
その後も、米国国家安全保障局長官のサイバーセキュリティ戦略担当上級顧問による発言など、複数の発言がさらなる疑念を抱かせている。さらに、米国国土安全保障省は、AppleとAmazonの立場を「疑う理由はない」とコメントした。
金曜日、ティム・クックCEOもブルームバーグの主張について発言した。アップルのCEOは報道を否定し、記事を書いた記者とアップルのやり取りに問題があると指摘した。
「アップルに関する彼らの報道には真実がない」とクック氏は金曜日に述べた。「彼らは正しい行動を取り、報道を撤回する必要がある」
「私は当初からこの件への対応に関わっていました」とクック氏は述べた。「ブルームバーグの記者や、当時当社の法務顧問だったブルース・シーウェル氏と個人的に話をしました。このようなことは起こっていないと明確に伝え、すべての質問に答えました。しかし、彼らがこの件を持ち出すたびに話は変わり、調査しても何も見つかりませんでした。」
「私たちは会社を徹底的に調べ上げました。メール検索、データセンターの記録、財務記録、出荷記録などです」とクック氏は付け加えた。「会社全体を徹底的に調べ上げ、徹底的に徹底的に調査しました。そして、その度に同じ結論に達しました。『これは起こっていない。真実などない』と」
スーパーマイクロは月曜日、報告書に記載された疑惑について引き続き調査すると発表した。同時に、スーパーマイクロのCEOであるチャールズ・リアン氏も、クック氏による撤回要求に同調した。
「ブルームバーグの最近の報道は、お客様に不当な混乱と不安を与え、お客様と当社に損害を与えました」とリアン氏は述べた。「ブルームバーグは責任ある行動を取り、製造工程で悪意のあるハードウェアコンポーネントが当社のマザーボードに埋め込まれたという根拠のない主張を撤回すべきです。」
ブルームバーグは主張を撤回せず、米上院議員らはスーパーマイクロに説明を求めている。
