正体不明の IT 企業でソフトウェア アップグレードにより偽造機器が動作しなくなった後に発見された 2 種類の偽 Cisco スイッチは、スパイ活動ではなく営利目的で設計されたものと思われます。
F-Secure Consulting のハードウェア セキュリティ チームは、IT 企業の要請に応じて、未承認の Cisco Catalyst 2960-X シリーズ スイッチを分解し、その動作を理解して組織のネットワークが侵害されたかどうかを判断しました。
水曜日に公開されたレポート[PDF]に記載されているように、バックドア機能は発見されませんでした。しかし、類似デバイスはシスコのセキュリティ保護メカニズムを回避する高度な技術を採用していました。
機器の電子部品は偽造品ですが、ユーザーに純正品として見せるためには、CiscoのIOSファームウェアをロードする必要があります。しかし、IOSは純正ハードウェア上で動作し、適切なライセンスが付与されていることを確認するために様々なチェックを実行するため、これらのチェックを回避する必要があります。F-Secureは、偽造品の1つで、セキュリティコンポーネントのこれまで未知の脆弱性を悪用し、セキュアブートプロセスを無効化するエクスプロイトチェーン全体を特定できたと述べています。
シスコは昨年、セキュアブートの別の脆弱性を修正しました。シスコの広報担当者はThe Registerに対し、F-Secureの報告を調査中であり、注意すべき点があれば顧客に通知すると述べました。
偽造ユニットAとBは、シスコ純正品と実質的に類似していましたが、同一ではありませんでした。例えば、シスコがスイッチの回路基板に貼付しているホログラムシールは、どちらの製品にも貼付されていませんでした。回路基板を詳しく調べたところ、模倣品にはシスコ純正品とは異なるフラッシュメモリチップが搭載されており、イーサネットチップが異なるなど、その他の差異も確認されました。
偽造デバイスのIOSソフトウェアイメージを分析した結果、正規ハードウェアのソフトウェアと同一であることが判明しました。研究者によると、これはつまり、IOSソフトウェアがブートローダーによってフラッシュからRAMにロードされる際にパッチが適用され、偽造ハードウェアでも動作することを保証していたことを意味します。偽造業者はブートローダーをカスタマイズし、ファームウェアがメモリにロードされる際に必要な変更を加えていました。このブートローダーは、Ciscoのソフトウェアアップグレードによって正規版のローダーに上書きされ、マシンが壊滅状態になり、正常に起動できなくなりました。
魚介チップスはいかがですか？これらのセンサーを注文するだけです。研究により、疑わしい部品の供給源が明らかに
続きを読む
2つの偽造ユニットは、IOSのシステム整合性チェックを無効にするために異なる戦術を用いていました。「偽造品Aには、SLIMpro ROMコードの競合状態を悪用してSLIMproのソフトウェア検証をバイパスする『アドオン』回路が含まれていました」とF-Secureのレポートは説明しています。「これは、EEPROMの制御信号を傍受し、ロード中のイメージ内の特定のバイトを置き換えることでソフトウェアの動作を変更することで実現しました。」
SLIMpro は、ネットワーク デバイスの暗号化と認証を提供する AppliedMicro Trusted Management Module です。
一方、偽造品 B は、偽造品 A のアドオン ハードウェア機能を PCB 設計に組み込み、EEPROM を未知の集積回路に置き換えました。
研究者らは、これはコピーの作成に相当なリソースが投入されたことを示唆しており、偽造者はシスコのエンジニアリング文書にアクセスできたか、オリジナルのPCB設計を再現できるツールに十分な投資をした可能性があると推測している。報告書では、偽造品を誰が製造したか、どこで製造されたかについては言及されていない。
シスコの偽造機器の密売は長年問題となっている。カリフォルニアに拠点を置くこのネットワーク大手は、自社製品の完全性と品質の維持を最優先事項としている。
「偽造品は、ネットワークの品質、パフォーマンス、安全性、信頼性に重大なリスクをもたらします」と、Switchzillaの広報担当者はThe Registerへの電子メールで述べ、長年にわたる偽造品対策の取り組みを指摘した。
お客様が正規の認定シスコ製品を確実に入手できるよう、シスコから、または認定パートナーを通じてシスコ製品を購入することをお勧めします。
F-Secureのハードウェアセキュリティ責任者、アンドレア・バリサーニ氏はThe Registerへの電子メールで、「このようなデバイスは、経済的、運用的、セキュリティ上の大きなリスクをもたらす可能性がある」と述べた。
純粋に経済的な観点から言えば、偽造デバイスを所有することは、長期的には正規品を購入するよりもコストがかかる可能性があります（そもそも偽造品が割引価格で購入された場合）。サポート契約やリクエストを拒否できる可能性もあるからです。
さらに、ファームウェアのアップデートやベンダーがサポートしていない問題によりユニットが動作しなくなると、運用上の懸念もあるとバリサニ氏は述べた。
「セキュリティの観点から言えば、偽造ユニットは正規の認証済みファームウェアの範囲外で動作する可能性がある」とバリサニ氏は述べた。
最悪のシナリオでは、このようなファームウェアには、ネットワークトラフィックの監視や改ざんを可能にする意図的なバックドアが組み込まれる可能性があります。認証バイパスの埋め込みは、バックドアの意図がない場合でも、ベンダーファームウェアの本来のセキュリティ対策を損なう脆弱性をもたらす可能性があります。
分析した2つのユニットにはバックドアの証拠は見られなかったが、偽造品の場合はバックドアの可能性が残るとバリサニ氏は述べた。®
