Tile のセキュリティ欠陥により、ストーカーが位置情報などを追跡できる可能性があります

研究者らは、Tileタグに重大なセキュリティ上の欠陥を発見しました。この欠陥により、Tile社自身とハイテクに精通したストーカーの両方がユーザーの位置情報を追跡できる可能性があります。これは、AirTagsとTileタグに使用されているセキュリティの2つの重要な違いに起因しています。

この欠陥を悪用すると、悪意のある人物が、Tile タグの 1 つが常に他の誰かのタグの近くにあるように見せかけて、Tile 所有者をストーカー行為で偽装できる可能性もあります。

AirTagsとTileタグはどちらも基本的に同じように動作し、Bluetoothを使用して近くのスマートフォンにIDをブロードキャストします。また、どちらもIDコードは15分ごとに切り替わるため、特定のタグに永続的に紐付けられることはありません。

AirTags の場合、タグによってブロードキャストされるのは回転 ID コードのみで、すべての送信は暗号化されます。

しかし、セキュリティ研究者は、TileタグがローテーションIDだけでなく静的MACアドレスも送信していることを発見しました。しかも、どちらも暗号化されていません。これは重大なセキュリティ上の脆弱性となります。

Tileのセキュリティ上の欠陥

Wired誌によると、ジョージア工科大学のアクシャヤ・クマール氏、アンナ・レイメーカー氏、マイケル・スペクター氏は、MACアドレスがIDと共にブロードキャストされていることを発見した。IDとは異なり、TileのMACアドレスは決して変更されない。

タグの位置、MACアドレス、固有IDも暗号化されずにTile社のサーバーに送信されるが、研究者らはこれらの情報が平文で保存され、Tile社がタグの位置とその所有者を追跡できるようになっていると考えている。ただし、同社はそのような機能は持っていないと主張している。

さらに、無線周波数スキャナーを持っている人なら誰でも、送信されるこの情報すべてを傍受できます。

さらに悪いことに、Tile社がMACアドレスの送信を停止したとしても、問題は解決されない。同社のローテーションID生成方法は安全ではなく、過去のコードから将来​​のコードを確実に予測できるためだ。たとえ単一のIDからでも。

「攻撃者はデバイスからメッセージを1つ記録するだけで、そのデバイスの寿命が尽きるまでそのデバイスを指紋で特定できる」とクマール氏は述べ、これによりスキャンに引っかかったタグを持つ人全員に対する組織的な監視のリスクが生じると指摘する。

Tileは、持ち物や車内に隠された他人のタグによってストーカー行為を受けているかどうかを確認するという点で、AirTagsと同様の保護機能を備えています。しかし、Tileの実装には重大な脆弱性があります。

タグ所有者が盗難防止機能を有効にしてタグを窃盗犯から見えなくすると、不正なタグでストーカー行為を受けているかどうかを確認するためにスキャンを実行する人にもタグが見えなくなります。つまり、ストーカーはタグを盗難防止モードに設定することで、ストーカータグを隠すことができるということです。

最後に、悪意のある人物があなたをストーカーとして陥れる可能性もあります。

攻撃者は無線周波数アンテナを用いて他のユーザーのタグから暗号化されていないブロードキャストを収集し、そこからMACアドレスと固有IDを抽出して別の場所に送信することができます。ユーザーがその場所でストーカー対策スキャンを実行すると、スキャン結果にこのMACアドレスと固有IDが表示され、この情報とスキャンされた場所がTileのサーバーに送信されるため、そのタグがスキャンを実行した人物の近くにあるかのように見せかけることができます。研究者らによると、MACアドレスと固有IDが正規のTileデバイスから送信されたものなのか、それとも悪意を持ってその情報を再生した人物から送信されたものなのかを判断する方法はないとのこと。

セキュリティ研究者たちはベストプラクティスに従い、昨年11月にTileの親会社であるLife360に調査結果を報告しました。しかし、同社は今年2月に連絡を停止しました。

同社はWiredに対し、セキュリティに数々の改善を加えたと語ったが、特定された問題が解決されたかどうかは明らかにしなかった。

注目のアクセサリー

• Amazonの公式Appleストア
• Apple iPhone 17用 40W ダイナミック電源アダプタ
• Apple iPhone Air 公式ケースとバンパー
• iPhone Air MagSafeバッテリー
• 公式iPhone Airケース
• 公式iPhone 17ケース
• 公式iPhone 17 ProケースとPro Maxケース

画像: Ajeng Coleendyah による Life360 写真を背景に Unsplash に掲載

loomcc.com を Google ニュース フィードに追加します。