SamsungのGalaxyバックドア問題の顛末
一時期、セキュリティ界隈で物議を醸していたSamsungの主力スマホGalaxyシリーズの旧型機にバックドアがあったのではという話がまた蒸し返されて興味深いところであります。
山本一郎です。春らしい天気ですが、天気に関係なく頑張って毎日を過ごしています。
ところで、3月中頃にSamsungのスマホにバックドアが仕掛けられているという話が持ち上がり、国内でも一部のネタ系サイトで記事になり話題となったことがありました。
「Galaxyシリーズ」にデータの閲覧・削除が可能なバックドアが発見される（GIGAZINE 2014/3/13）
GIGAZINEもせっかく落ち着いてきたのに、一部誤訳や書かれていないことが含まれているように思うので、そのあたりは遺憾ではありますが、それはともかくとして。
ただ、この話、すぐにSamsungが公式に上記の報告を否定する見解を発表したため、国内の一般ニュースサイト等ではほとんどスルーされてしまいました。結構興味深い話だったんですが。海外報道では以下のような記事の中で追記として状況を確認できます。
Backdoor in Samsung Galaxy devices 'allows remote access to data'（ZDNet 2014/3/13）
Update Sunday 16 March: According to Samsung, the "software feature" exposed by Kocialkowski poses no security risk to users.ZDNetSamsung側の説明によれば、セキュリティ上のリスクは一切なく、件の報告は誤った見識によるものだと切り捨てています。まあ、Samsungの言っていることを100パーセント信用するかどうかはまた別の話ですが、これでこの話はいったんは終わりました。
ところがここに来て突然、日経ITproに掲載されているコラム記事の中でこの件が蒸し返されていてちょっと驚いたんですね。
サムスンのスマホに付いていたバックドアIoT時代に問われる説明責任（ITpro 2014/4/3）
2014年3月、「Replicant」と呼ぶオープンソースOSの開発者が韓国サムスン電子のスマートフォン「Galaxy」にバックドアが存在しているのを発見したことを明らかにした。今回は、この問題をきっかけに、個人情報を扱う製品の説明責任について考えてみたい。ITproさすが日経ITproです。
この記事を書かれているのは、日本スマートフォンセキュリティ協会の事務局長も務めておられるラックの西本逸郎氏なんですが、基本的な論調については首肯する部分も多いものの、さすがに「この問題について、サムスンをはじめとする関係者から公式の見解は公開されていないようだ」と書かれてしまうのはちょっといかがなものかと感じました。
私自身もこのSamsungの件を最初に記事で目にしたときには、またSamsungが怪しいことをやりおったかとネタを一つ拾えてニヤリとしたくらいですが、その後に他のメディアが続かなかった時点でさすがに何かおかしいとよくよく調べてみればSamsungからも公式見解が出ていたという流れなので、さすがに軽い違和感を持った次第です。
従来は考えられなかったバックドアが存在という事実は杞憂ならよいのだが、今はテレビやHDDレコーダ、電話、複合機、監視カメラなどに加えて、様々なセンサーや装置がネットワークつながるIoTの時代である。「遺跡の中の記憶」として刻まれたバックドアが様々なところで問題を起こすということが、今後も発生する可能性がある。ITpro当然のことながら、現状で公開されている情報以外のものを数多くラックの西本氏が掴んでおられ、そのあたりのお話も暗黙の諒解として論じておられるのかも知れず。
いずれにせよ、一連のお話は一応はSamsungが公式に一蹴した形で収束に向かったはずが、ちょっとまだ嫌疑が残っているのかなあというのが率直な印象です。