Bluetoothのセキュリティ強化｜主な脆弱性やリスク・実行すべき対策とは

BlueBorneによるデバイスの乗っ取り・盗聴

Bluetoothの利用に伴う脆弱性の一種として、BlueBorneが挙げられます。BlueBorneとは「セキュリティの壁に穴が開いている状態」を意味しており、セキュリティの穴からハッカーが侵入してくる危険性があるといわれています。

具体的に考えられるのは、Blue Borneを狙ってデバイスの乗っ取りや盗聴をされる可能性です。

個人で行える対策としては、新しい修復プログラムが開発されるとアップデートされるため、デバイスを常に最新の状態にするようにしましょう。また、Bluetoothの通信距離は約10メートル程度のため、特に周囲に人がいる際にはこまめにBluetoothをオフにすることも対策の一つとなります。

CVE-2019-9506によるKNOB攻撃

Bluetoothに見つかっている脆弱性の一種として、CVE-2019-9506が挙げられます。CVE-2019-9506とは、攻撃する側がBluetooth操作に必要となる暗号鍵の長さを不正に最短の長さへ書き換え、暗号鍵突破を容易にする脆弱性のことです。

CVE-2019-9506を狙ったKNOB攻撃では、暗号鍵の長さを操作して送信している側と受信している側の間に入り込み、通信し内容を傍受することや、デバイス内の個人情報の抜き取りなどの被害が考えられます。ステルス性が高く、被害にあったこと自体に気づけないことが特徴です。

具体的な対策としては、Bluetooth機能を利用して個人情報を共有しないことや、脆弱性が対策されているデバイスを使用するように心掛けましょう。

BlueFragによる不正コードの実行

Bluetooth利用時の脆弱性として、BlueFragも挙げられます。BlueFragは、Android OSの脆弱性の一つです。主にAndroid 8.0 、9.0などに見られる脆弱性であり、Androidを製作した際、一定のバージョンのみに発生した設計ミスが原因で不具合が発生しているものとされています。BlueFragを狙うと、不正コードを実行して端末内の情報を抜き取ることが可能です。

具体的なセキュリティ対策として、直接効果があるものは報告されていません。とはいえ、現段階で個人ができる対策としては、特にセキュリティのリスクが高いとされる公共Wi-Fiの利用を避けることが最も効果的と考えられます。

Apple bleeeによる電話番号の搾取

Bluetoothに発見されている脆弱性の一種として、Apple bleeeも挙げられます。Apple bleeeとは、2019年7月に発覚し、報告が行われたApple製品独自のBluetoothを利用する際に発生する脆弱性のことです。

iPhoneなどに実装されるBLE（Bluetooth Low Energy の略でBluetooth規格の一部）が持つ、常時データ送受信ができる仕様を悪用したものになります。Apple bleeeを狙うことで、攻撃する側は電話番号やiOSの状況に関する情報を搾取可能です。

Apple bleeeは、最新バージョンのiPhoneにも検出される標準的な特徴とされています。そのため、具体的な対策方法としては、Bluetooth機能を極力使用しないようにするのみというのが現状です。

Bluetoothの機能をオンのままにしない

Bluetoothの機能をオフにすることで、脆弱性リスクが増大する可能性を防ぐことができます。

特に脆弱性が増加しやすいのが「Bluetooth機能ON時」であるため、意識的に機能をオフにすることだけでも有効なセキュリティ対策の一つになるでしょう。余計な費用や手間をかけることなく、手軽に対策可能です。

ただし、Bluetooth機能をオフにする場合、「オフにするタイミング」に気を付けなければ不便さを感じる可能性があります。普段からオンにしたままの状態で放置しないことを念頭に入れ、適切なタイミングでオン・オフを切り替えるようにしましょう。

ペアリングなどの標準機能も過度に使用しない

Bluetoothの脆弱性は、電波のある場所で増長する傾向です。周囲に人がいる状況ではセキュリティリスクはさらに高まります。

ペアリング機能は、一度実行することで自動設定される便利なものですが、公共の場にいる時にも自動でオンになってしまう可能性があるのが特徴です。そのため、ペアリングをはじめとして、Bluetoothを使用する標準的な機能も過度に使用しないように日頃から意識しておきましょう。

特に公共のフリー回線を安易に利用してしまうとセキュリティ攻撃者にとってはこれほど狙いやすいターゲットはありません。使用回数を少なくすることで、脆弱性に対するリスクを最小限に抑えられます。ペアリング機能に頼らず、有線での接続ができないかなども視野に入れ、どのようにすれば標準機能を使用せずに利用できるかも検討しておきましょう。

Bluetoothのデバイス名に個人情報を入れない

Bluetoothを設定する際、デバイス名に個人情報を入力してしまうと乗っ取りされた際に内部環境を推測されやすくなる傾向があります。そのため、Bluetoothを利用する際のセキュリティ強化のためにも個人情報をデバイスに入れないように意識しましょう。

Bluetoothのデバイス名は設定後も変更可能です。現在設定していると思い当たる場合には、即変更をすることでセキュリティ強化ができます。また、機種や個人名を特定されないためにも、第三者には分からない独自のルールをもとに設定することをおすすめします。

デバイスをアップデートして最新の状態に保つ

Bluetoothをオンにする際、使用しているデバイスを守るためにはデバイスをアップデートして常に最新の状態に保つことも重要です。お使いのデバイスのアップデートを定期的に行うことで、最新のセキュリティ対策が可能になります。

ここ数年間の中でも、多くのバッジプログラムによるセキュリティ強化が施されています。とはいえ、サポート期間が終了している場合にはアップデートした場合にも最新の問題に対応していない可能性があります。新規購入する際には、サポート期間なども視野に入れて購入することが大切です。