- 正規の認証・セキュリティチェックをバイパスしてシステムに直接アクセスできるよう仕込まれた「隠し入口・裏口」のこと
- 開発者が保守目的で意図的に設置する場合と、マルウェアが感染後に自動的に設置する悪意あるバックドアの2種類があり、どちらもセキュリティ上の重大なリスクになる
- 政府・軍事機関が暗号化システムやルーターにバックドアの設置を技術企業に要求するケースがあり、セキュリティコミュニティとの間でバックドアの危険性についての議論が続いている
【深掘り】これだけ知ってればOK！
バックドアの実際の事例として、Cisco製ルーターの隠しアカウント：複数のCisco製ルーターに工場出荷時から隠しアカウントが存在することが発覚した。2020年のSolarWinds事件：ITシステム管理ソフトのアップデートにバックドアが仕込まれ、米国政府機関を含む18,000以上の組織が侵害された（サプライチェーン攻撃）。これらはバックドアの深刻さを示す代表的な事件だ。
バックドアとエクスプロイト（脆弱性攻撃）の違いを理解しよう。エクスプロイトはソフトウェアの意図しない欠陥（バグ）を悪用する攻撃だ。バックドアは意図的に設置された（あるいはマルウェアが設置した）アクセス手段だ。エクスプロイトは発見・パッチ適用で対策できるが、バックドアは設置されていること自体を検出しないと対策できない点が異なる。
IoT機器・ネットワーク機器のバックドアリスクが特に高い。工場出荷時のデフォルト認証情報（admin/admin・admin/password）が変更されないまま使われているケースが多く、インターネット上に公開されているとブルートフォース攻撃でアクセスされてしまう。Shodan（インターネット接続デバイスの検索エンジン）でこれらの機器が大量に検索できてしまう現状がある。
よくある誤解
バックドア＝マルウェアが作るものだと思っている
バックドアはマルウェアが作るものだけでなく、開発者が保守目的で意図的に設置したものが製品に残るケースや、ハードウェアの製造段階で仕込まれるサプライチェーンバックドアなど多様な種類がある。ネットワーク機器・IoT機器のデフォルトパスワード・隠しアカウントも広義のバックドアに含まれる。
バックドアはハッカーだけが使うものだと思っている
政府・諜報機関が暗号システムや通信機器に合法的なバックドアの設置を技術企業に要求するケースがある。しかしセキュリティコミュニティは「善意のバックドアも悪意ある第三者に発見・悪用されるリスクがあり、存在自体がセキュリティを根本的に弱体化させる」と反対している。
会話での使われ方
ルーターの設定画面でデフォルトのadmin/adminでアクセスできたままにしておくのは危険です。これは実質的なバックドアです。必ず変更してください。
IT担当者が社内のネットワーク機器のデフォルト認証情報が変更されていないリスクを指摘している場面。
SolarWindsのサプライチェーン攻撃のように、信頼できるソフトウェアのアップデートにバックドアが混入するケースがあります。ソフトウェアの整合性検証（ハッシュ確認）を導入してください。
CISOがサプライチェーンリスクへの対策としてソフトウェアの完全性検証の重要性を経営層に伝えている場面。
このIoT機器、ポートスキャンしたら怪しいポートが開いていました。バックドアの可能性があるのでメーカーのセキュリティアドバイザリを確認してファームウェアを更新してください。
ネットワークエンジニアがIoT機器のバックドアの可能性を発見してファームウェア更新を指示している場面。
【まとめ】3つのポイント
- 正規認証をバイパスする隠し入口で意図的・非意図的に設置される：開発者の保守目的・マルウェアの設置・サプライチェーン汚染という3つのルートで存在するバックドアは設置されていること自体の発見が難しく継続的な監査が必要だ
- デフォルト認証情報の変更・ポート監査・整合性チェックで検出：ルーター・IoT機器のデフォルトパスワード変更・不審なリスニングポートの定期監査・ファイル整合性チェックの組み合わせでバックドアの検出体制を整える
- サプライチェーンバックドアへの対策としてソフトウェアの整合性検証：信頼できるベンダーのソフトウェアでもアップデートにバックドアが混入するリスクがあるためSBOM（ソフトウェア部品表）の確認とダウンロード後のハッシュ値検証が重要になっている
よくある質問
-
Qバックドアとバックドア型ウイルスはどう違いますか？
-
A
バックドアはシステムへの不正アクセスを可能にする隠し入口の総称で、意図的に設置されたもの・マルウェアが作ったものを含みます。バックドア型ウイルスはマルウェアが感染後に自動的にバックドアを設置する種類のマルウェアを指します。
-
Qネットワーク機器のバックドアを確認するにはどうすればいいですか？
-
A
メーカーのセキュリティアドバイザリを定期的に確認する・ポートスキャン（nmap）で不審なオープンポートを確認する・ファームウェアを常に最新版に更新する・デフォルト認証情報を必ず変更するという4点が基本です。
-
Q政府のバックドア要求問題とは何ですか？
-
A
一部の国の政府・諜報機関が暗号化通信・通信機器に対して合法的アクセスのためのバックドア設置を技術企業に要求するという問題です。セキュリティ専門家は「善意のバックドアも悪意ある第三者に発見・悪用されるリスクがある」として強く反対しています。
-
QIoT機器のバックドアリスクを下げるにはどうすればいいですか？
-
A
デフォルトパスワードの変更・ファームウェアの定期更新・不要なポート・サービスの無効化・IoT機器専用のネットワークセグメントへの隔離・メーカーのセキュリティアドバイザリの監視という5点が基本的な対策です。
この用語と一緒に知っておきたい用語
| 用語 | この記事との関連 |
|---|---|
| マルウェア | マルウェアとの関係を知ると全体像がつかみやすくなります。Malicious Softwareの略（読み：マルウェア）。コンピュータやネットワークに害を与える悪意あるソフトウェアすべての総称だ |
| ネットワーク | ネットワークは関連分野でよく登場する重要キーワードです。複数のコンピュータや機器を結び、互いにデータをやり取りできるようにした網、それがネットワークだ |
| パスワード | 本記事のテーマと実務上セットで使われることが多い用語です。アカウントの持ち主が本人かどうかを確かめるための、本人だけが知る合言葉、それがパスワードだ |
| ルーター | ルーターとの関係を知ると全体像がつかみやすくなります。データの宛先を見て最適な届け先を判断する、ネットワークの交通整理係だよ |
| アカウント | アカウントとの関係を知ると全体像がつかみやすくなります。あるサービスを自分専用に使うために登録する、いわば会員証のような利用権、それがアカウントだ |
【出典】参考URL
https://nvd.nist.gov/ ：NIST NVD（CVE脆弱性データベース）でバックドアの既知情報を確認
https://www.ipa.go.jp/security/vuln/index.html ：IPAセキュリティ脆弱性情報
https://www.cisa.gov/topics/cybersecurity-best-practices ：CISAのサイバーセキュリティベストプラクティス
コメント