セキュリティ
ご存じないかもしれませんが、ハッカーの多くは、仮想システムをハッキングする以外にも、現実世界のものをハッキングするのを好みます。中でも特に彼らが高い関心を寄せるものに、鍵システムがあります。DEF CONやChaos Communication Congressなど、ハッカー向けカンファレンスでは錠前破りコンテストや関連トークがよく行われています。
最近ハンブルクで開催された32C3カンファレンスで、コロラド大学教授のエリック・ヴストロ（Eric Wustrow）氏が、3Dプリンターを利用した鍵の偽造方法についてレポートしました。正確に言うと、最も一般的な鍵システムと考えられるピンタンブラー錠を作成する方法です。
3D印刷の技術が登場する前、合い鍵を作るには金属工芸の技術や、少なくともCNC施盤のプログラミング能力が必要でした。また、ブランクキー（合い鍵材）の入手に関する規制がありましたし、元になる鍵を物理的に入手する必要がありました。それ以外にも、さまざまな物理的な制約が存在しました。3D印刷は、こうした問題のいくつかをデジタルの場に持ち込み、何もかも簡単に安価で実現できるようにしてしまいました。
でも、3D印刷された鍵を具体的にどう使うと、ピンタンブラー錠を開けることができるのでしょう？ピンタンブラー錠の脆弱性を突く方法（サイバーセキュリティ業界では「攻撃ベクター」と呼びます）は、少なくとも3つあります。
1つめは、遠隔コピーです。最近のカメラのセンサーは解像度が非常に高く、写りの悪い写真であっても、鍵の3Dモデルを作成してレプリカを印刷するのに十分な情報が含まれています。加えて最近の望遠レンズは（比較的安い上に）性能がとても良いので、びっくりするほど遠くから鍵の写真を撮ることもできます。
2つめは、バンピングです。バンピングには、深い溝のある特殊加工されたバンプキーと若干のテクニックが必要です。
3D印刷されたプラスチック製バンプキーは金属製バンプキーよりも優れた選択肢となり得ることが判明しました（英語記事）。金属製のキーと比べて衝撃を伝えやすいため、立てる音が小さい上に鍵穴を損傷させるリスクも小さいのです。そしてもちろん、3Dモデルの作成とプラスチック鍵の印刷は、金属を扱うよりもはるかに簡単です。
最も興味深いのは、3つめの方法です。狙うのはマスターキーシステムで、ヴストロ氏は「権限昇格」と呼んでいます。これは、コンピューターのハッキング技術で同名のものに手口が似ていることからきています。企業で広く利用されるマスターキーシステムは、2つの鍵と「互換性のある」鍵穴を作る、という考え方が中核にあります。鍵穴の中にある2セットのピンのうち1セットを共通化してあるので、いわゆる「マスターキー」はいくつかの鍵穴を開けられるようになっているわけです。
問題は、ピンのセットが完全に独立したものではない点です。対象となる鍵穴のうち1つに合う通常の鍵を持っていれば、その鍵の溝の1つを変えて錠前破りを試みることができてしまいます。試してみてうまくいかなければ溝をもう一度削る、を繰り返すことでもう1つの「マスターキーピン」を完成させるのです。その他の溝は「通常の」ピンに一致しているので、対象の鍵穴に問題なくフィットします。
このようにして、1つずつ、すべての溝を変えながらマスターキーを作成すれば、どんな扉も開けられるようになります。マスターキー作成では試行錯誤が必要で、そのたびに新しい鍵のサンプルが必要になることから、3D印刷技術が適しています。
では、3D印刷された鍵は実際に使えるのでしょうか。調査結果によると、3D印刷で使う素材の中には、柔らかすぎるものや壊れやすいものがあります。しかし、鍵の作成に適した素材があることも確かです。また、プラスチックでは強度が足りないと考える向きには、真ちゅうや鋼鉄、さらにはチタニウムなどの金属を扱う3D印刷サービスもあります。
ここで触れたいのは、3D印刷された鍵が単に理論上の存在ではない点です。3Dプリンターはもちろんのこと、3D印刷技術による鍵作成ソフトウェアはすでに出回っています。最もわかりやすい事例は、TSAロックのマスターキーの流出です。数か月前、ある人がTSAロックのマスターキーの写真をWebに公開したところ、すぐに3D印刷可能なモデルが登場しました。今では誰もがモデルをダウンロードし、自分だけの「スーツケース対応の、認可された」鍵を印刷できます。
では、どうしたら自衛できるのでしょうか。このような、サイバー空間と物理世界にまたがる問題を考えるときには、ITシステムを守るのと同じ方法を採用するのが良いでしょう。鍵は実世界におけるパスワードだと考え、パスワード同様に扱うのです。このようにして、100％保護できるとまではいきませんが、少なくとも攻撃者を諦めさせるのに十分な、簡単なルールをいくつか導き出しましたのでご紹介します。
ネットやコンピューターを使う人にとって、パスワードは切っても切り離せない存在です。パスワードの使い方の基本、分かったつもりになっていませんか？ https://t.co/qnTPlUqDjY pic.twitter.com/BttpeqpsWk
— Kaspersky Labs Japan (@kaspersky_japan) January 7, 2016
-
簡単な「パスワード」は使わない。ここまで見てきたとおり、一般的なピンタンブラー錠は、「123456」や「john1975」ほどではないにしても、それに近いレベルの脆弱性を抱えています。もっと保護を強化したいのであれば、より複雑なロックシステムを選びましょう。
- 「2段階認証」を使う。違う種類の鍵が2つあれば、鍵1つよりも安全です。
- 「パスワード」を漏らさない。カメラのあるところでは鍵を出さず、そしてもちろん、鍵の写真をオンラインに投稿しないでください。画質の悪い写真であっても、3Dレプリカを作成するには十分です。
- マスターキーは、オフィスにある「裏口」のようなもの。重要性の高い部屋やエリアのドアについては、マスターキーを作らないようにしましょう
- セキュリティ施策の導入を検討する。根性のある攻撃者が上に挙げた対策をすべて突破してきたとしても、警報システムがあれば侵入を防いでくれることでしょう。
ヒント