【 ここから本文 】
- TOP
- > News : セキュリティ
- >
セキュリティ
ソーシャルブックマークに登録 ：
印刷用ページの表示
［米国］
専門家が実証、JavaScriptコードでルータを乗っ取る――対策はルータのパスワード変更
（2007年02月16日）
米国シマンテックとインディアナ大学の研究者らは、悪意のあるJavaScriptコードによって、家庭用ルータが乗っ取られる可能性があるというテスト結果を発表した。研究者らは対策として、ルータの管理パスワードをデフォルト設定から変更するようユーザーに呼びかけている。
研究者らによると、この攻撃は2つの条件が満たされたときに可能になるという。1つはユーザーが悪意あるJavaScriptコードを含むWebページにアクセスしたとき、もう1つはルータの管理パスワードをデフォルトの状態で利用しているときだ。
研究者らは、シスコシステムズのリンクシス部門であるディーリンク（D-Link）の無線ルータ「DI-524」を利用し、ファームウェアを変更したうえでテストを行った。その結果、DI-524経由でインターネットにアクセスしたユーザーを、指定したDNS（Domain Name System）サーバ経由で特定のWebサイトにアクセスさせることに成功したという。
この実験結果は、インディアナ大学のシド・スタム氏とマーカス・ジャコブソン氏、シマンテックのシニア・プリンシパル・リサーチャーであるズリフィカール・ラムザン氏が論文にまとめている。
論文によると、利用しているルータが乗っ取られると、ユーザーは気づかないままに偽サイトに誘導される可能性があり、その偽サイトでマルウェアをダウンロードしたり、個人情報を入力してしまったりするおそれがあるという。
論文では根本的な問題として、家庭用ルータでは特に、「admin」のような単純明快なパスワードがデフォルト設定されている点を挙げている。対策としては、デフォルト以外の推測されにくいパスワードを設定することだと指摘する。
一方、シスコなどのネットワーク機器ベンダーもこの問題を認識しているようだ。シスコの広報担当者、カレン・ソール氏は、「パスワードをデフォルト設定のまま利用しているとハッカーに狙われやすいという問題は、われわれも懸念している。当社は現在までに約3,000万台のルータを出荷してきた。今、われわれは3,000万人のユーザーに、なぜパスワードをデフォルト設定のまま利用しては危険なのかを、どうやって理解してもらうか考えているところだ」と語る。
シスコはセキュリティ対策の一環として、ルータの設定が簡単にできるウィザード・ツールを提供している。同ウィザードでは、ユーザーに独自のパスワードを設定するように推奨している。
「根本的な問題は、パスワードがデフォルト設定のままでもルータが稼働することだ。しかし、当面は改善されることはないだろう」とディーリンクのテクニカル・メディア・マネジャー、マイケル・スコット氏は語る。
「そもそも独自のパスワード設定を強制するようなルータは、ユーザーに買ってもらえない。万が一買ってもらったとしても返品されてしまうのがオチだ。そしてユーザーは競合他社の製品に買い替えてしまうだろう」（スコット氏）
(ロバート・マクミラン／IDG News Service サンフランシスコ支局)
