知らない間にハッカーがWebカメラであなたの写真を撮ってしまうかもしれない

次の記事

GoogleはInternet Explorer用のChrome Frameを引退させて来年1月にサポートを打ち切り

haxors

ラップトップのWebカメラにテープを貼って、外部からののぞき見を防いでいる人がいるよね。でもそれは、妥当な行為なのだ。

今日(米国時間6/13)登場したハッキングのデモは、ブラウザからWebカメラを操作してユーザの写真を撮る(そして盗る)。もちろんユーザの承認なしで。

実際にはユーザは承認をしているのだが、そのことを自分で知らないだけだ。

セキュリティコンサルタントのEgor Homakovが概要を説明しているが、このハックはいくつかの昔からあるトリックを駆使してFlashの事前承認要件を回避し、ユーザの明示的な許可なしでカメラやマイクにアクセスする。

簡単に言うとそのデモは、CSS/HTMLの高度なトリックを多量に使って、Flashの許可プロンプトを透明な層の上に表示し、その今や見えない”Allow”(許可する)ボタンの上にユーザがクリックしそうなもの…ビデオの”Play”ボタンなど…を置く。

このテクニックそのものは、クリックジャック(clickjacking)と呼ばれ、前からある。ぼくはこれまで、そういうものについて書くことを避けてきたが、それは、知る人が少なければ被害の広まりも少なくて、実害を受けるまえに対策も可能だ、と思うからだ。でもクリックジャックなどはすでにハッカーたちのあいだで、あまりにもポピュラーだ。Adobeのセキュリティブログは、そのバグは2011年に退治した、と示唆している。“いかなるユーザアクションもFlash Playerプロダクトのアップデートも不要”、だそうだ。

しかしそれでも、その虫はまだ生きている。MacのChromeで試してみたが、ユーザの目に見えるプロンプトはいっさいなしで、Webカメラが操作される。IE 10でそれに‘成功’した人もいる。しかしSafariとFirefoxの最新リリースにはパッチがあてられているようだ。カメラが操作された証拠にLEDが点灯するが、ほとんど一瞬だから気づかない人が多いだろう。

そのデモはここにあるが、女性のセミヌード写真などが使われているので、職場では試さない方がよいだろう。それに、あなたの写真が確実に撮られてしまう。作者はそれを保存していないと言っているが、でもここ以外のサイトでは、その保証はない。

あなたのブラウザで許可ボックスが表示されずにPlayボタンをクリックすると、あなたの写真が撮られ、そのブラウザはテスト不合格となる。許可ボックスが表示されたり、クリックがブロックされたら、あなたは安全だ(少なくともこのハッキングに関しては)。

では、何がそんなに問題なのか? あなたが、自分にとって“なじみの”サイトを閲覧していたとしよう。でもその、信用の置けるサイトから3〜4クリック先で、兎の穴に落ちてしまった。何かおもしろそうなものの上のPlayボタンを、思わずクリックしたら、意外や意外、Webカメラの上のLEDが光り、その2秒後には自分の撮れたての写真が画面に出ている。何がそんなに問題なのか? それはもしかして、そのときの自分の手かもしれない……。

幸いにも、こんないたずらから身を守るのは比較的簡単だ。Webカメラにテープを貼る方法は少々格好悪いけど、知らない間にTumblrにあなたの恥ずかしい写真が載るよりは、ましだろう。Firefoxのユーザなら、NoScriptのようなプラグインを使える(信用できるサイトでのみ無効にすればよい)。

うーん、NSAがPRISMでこのハッキングを使うことも、ありかな?

[*NoScript的なエクステンションはChromeにもあるが、まだ読者にお勧めできるほど良いものを見つけていない。]

上の覗き見の画像はRobert Montalvoの提供、Creative Commonsのライセンスによる。

[原文へ]
(翻訳:iwatani(a.k.a. hiwa))