専門家が実証、JavaScriptコードでルータを乗っ取る——対策はルータのパスワード変更
研究者らによると、この攻撃は2つの条件が満たされたときに可能になるという。1つはユーザーが悪意あるJavaScriptコードを含むWebページにアクセスしたとき、もう1つはルータの管理パスワードをデフォルトの状態で利用しているときだ。
研究者らは、シスコシステムズのリンクシス部門であるディーリンク（D-Link）の無線ルータ「DI-524」を利用し、ファームウェアを変更したうえでテストを行った。その結果、DI-524経由でインターネットにアクセスしたユーザーを、指定したDNS（Domain Name System）サーバ経由で特定のWebサイトにアクセスさせることに成功したという。
この実験結果は、インディアナ大学のシド・スタム氏とマーカス・ジャコブソン氏、シマンテックのシニア・プリンシパル・リサーチャーであるズリフィカール・ラムザン氏が論文にまとめている。
論文によると、利用しているルータが乗っ取られると、ユーザーは気づかないままに偽サイトに誘導される可能性があり、その偽サイトでマルウェアをダウンロードしたり、個人情報を入力してしまったりするおそれがあるという。
論文では根本的な問題として、家庭用ルータでは特に、「admin」のような単純明快なパスワードがデフォルト設定されている点を挙げている。対策としては、デフォルト以外の推測されにくいパスワードを設定することだと指摘する。
一方、シスコなどのネットワーク機器ベンダーもこの問題を認識しているようだ。シスコの広報担当者、カレン・ソール氏は、「パスワードをデフォルト設定のまま利用しているとハッカーに狙われやすいという問題は、われわれも懸念している。当社は現在までに約3,000万台のルータを出荷してきた。今、われわれは3,000万人のユーザーに、なぜパスワードをデフォルト設定のまま利用しては危険なのかを、どうやって理解してもらうか考えているところだ」と語る。
シスコはセキュリティ対策の一環として、ルータの設定が簡単にできるウィザード・ツールを提供している。同ウィザードでは、ユーザーに独自のパスワードを設定するように推奨している。
「根本的な問題は、パスワードがデフォルト設定のままでもルータが稼働することだ。しかし、当面は改善されることはないだろう」とディーリンクのテクニカル・メディア・マネジャー、マイケル・スコット氏は語る。
「そもそも独自のパスワード設定を強制するようなルータは、ユーザーに買ってもらえない。万が一買ってもらったとしても返品されてしまうのがオチだ。そしてユーザーは競合他社の製品に買い替えてしまうだろう」（スコット氏）
(ロバート・マクミラン／IDG News Service サンフランシスコ支局)
米国シマンテック
http://www.symantec.com/
インディアナ大学
http://www.indiana.edu/
提供：Computerworld.jp
