Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

IoT機器の無線通信「Z-Wave」のペアリング時に通信傍受のおそれ

多数IoT機器で採用されている無線通信のプロトコル「Z-Wave」において、一部ペアリング時のプロセスに脆弱性が存在し、通信が保護されないおそれがあることがわかった。

20180528_pt_001.jpg
ダウングレードの流れ(図:Pen Test Partners)

Pen Test Partnersが、「Z-Wave」でペアリングを行う際、デバイス間で通信に利用するキーの交換プロセスにおける問題を指摘したもの。

「Z-Wave」では、機器間でキーをペアリングする際に脆弱なキーを利用していることが指摘され、2013年により安全なキーを用いるセキュリティフレームワーク「S2(Security 2)」を発表してセキュリティの強化を図ったが、「S2」対応機器でも下位互換性のため、ペアリング時に脆弱な「S0(Security 0)」へとダウングレードされるおそれがあることが判明したという。

同社がテストに用いたスマートキーにおいても、「S2」に対応しているものの、「S0」のみサポートしている機器からペアリングを要求した際、ダウングレードして「S0」でペアリングされたとしている。

(Security NEXT - 2018/05/28 ) このエントリーをはてなブックマークに追加

PR

関連記事

MS月例パッチ 、脆弱性74件を修正- 悪用確認済みのゼロデイ脆弱性にも対応
「Amazon FreeRTOS」の複数脆弱性、詳細公表される - コード実行やDoSのおそれ
脆弱ライブラリ同梱した「Apache Struts」、「Webex」などCisco製品にも影響
複数無線LAN製品に脆弱性「BLEEDINGBIT」 - TI製BLEチップに起因、医療機器にも影響か
MS月例パッチがリリース、一部でゼロデイ攻撃が発生 - 公開済み脆弱性にも対処
Intel、多岐にわたるセキュリティアップデート - アドバイザリの確認を
日本医師会のレセプトソフトに複数の脆弱性
スマート電球など身近な複数IoT機器に脆弱性 - ファームウェアの確認を
4月のMS月例パッチ、「緊急」22件含む脆弱性65件を修正
PwCサイバーサービス、IoT機器の脆弱性検査に特化したラボを開設