セキュリティの世界に「ハックできないもの」はない。むしろ、そう主張されるものはすべて研究者たちにとって、じゃあハックしてやろうというチャレンジだ。
英国のサイバーセキュリティ企業Pen Test Partnersの最新のプロジェクトは、自称アンハッカブル（unhackable、ハックできない）USBフラッシュドライブと言われているeyeDiskを丸裸にすることだった。そのデバイスは、目の虹彩を認識してアンロックし、デバイスの暗号を解く。
昨年のKickstarterキャンペーンで2万1000ドルあまりを集めたeyeDiskは、3月にそのデバイスを発売した。
しかし1つだけ問題があった。それが、アンハッカブルでないことだけは確かだった。
Pen Test Partnersの研究員David Lodge氏は、そのデバイスのバックアップパスワードを見つけた。デバイスのエラーや、目を怪我したときなどにデータにアクセスできるためだが、あるソフトウェアツールを使ってUSBデバイスのトラフィックをダンプすれば、そのパスワードは簡単に見つかった。
彼は、自分の発見を詳細に述べているブログ記事でこう言っている。「上の図の中で、赤で囲った部分が、ぼくがデバイスにセットしたパスワードだ。誰でもできる盗視だね」。
さらにまずいのは、正しくないパスワードを入力してもデバイスの本当のパスワードが分かることだ。彼の説明によると、デバイスは自分のパスワードを見せてから、ユーザーが入力したものと対比し、それからアンロック用パスワードを送る。だから、でたらめを入力しても本物のパスワードがわかる。
Lodge氏によると、このようなデバイスを使うときは、暗号化を自分でもう一度することが必要だ。
欠陥をeyeDiskに教えたら、直すと約束したが、それはまだリリースされない。この問題にコメントを求めたが、eyeDiskからの返事はない。
関連記事: 常套句「プライバシーやセキュリティを真剣にとらえている」は耳にタコだ
画像クレジット: eyeDisk
[原文へ]
（翻訳：iwatani、a.k.a. hiwa）
