車のキーフォブを1回ハッキングすると、“いつでも何度でも”ロック解除できる技術 70％以上の車両で成功：Innovative Tech

[山下裕毅，ITmedia]

Innovative Tech：

このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。

　シンガポールのNCS Group、A*STAR、シンガポール国立大学による研究チームが開発した「RollBack - A New Time-Agnostic Replay Attack Against the Automotive Remote Keyless Entry Systems」は、車のキーフォブをハッキングすると所有者に気が付かれずに自由にロック解除できるシステムだ。これまでにも同様の技術は公開されていたが、今回は1回ハッキングすると何度でもいつでもロック解除ができるという。

実験の様子。PCにつながれたキーフォブの信号を妨害するデバイスと、手に持ったキーフォブが確認できる

　車のロックをリモコン操作できるリモートキーレスエントリー（以下、RKE）は、ボタン操作で周囲から車のロックやアンロックを手軽に行えることから普及している。ハッキング防止のため、ボタンが押されるたびに新しい使い捨てコード（ローリングコード）を作り出していることも知られている。

　しかし、2015年にSamy Kamkar氏によって「RollJam」デバイスを用いたリプレイ攻撃でロック解除できることが実証された。数千米ドルで構築できる安価なRollJamは、所有者がキーフォブのボタンを押した際の信号を車に届く前に妨害して記録でき、記録したロック解除のコードを（未使用なため）所有者がいないときに再生しロック解除が行える。

　具体的には次のようになる。1度目のロック解除を妨害し記録した時点では車は開いていないため、所有者はささいな違和感を覚えるが、2度目のロック解除で開くため気にしないで乗車する。

　この2度目のロック解除は、キーフォブからの信号ではなく（所有者はキーフォブからだと勘違いしている）、RollJamが1度目に記録した信号で開いている。これにより、2度目のロック解除コードは未使用になるため次で使えるというわけだ。

　強力なRollJamだが、キーフォブからの信号を妨害し続けなければいけない課題が残っている。ローリングコードは毎回新しいコードに変わるため、所有者がロック解除を繰り返すと、その度に未使用コードを更新しなければならない。つまりRollJamを車の近くに常に設置しておかなければならない。その上、未使用コードは1度しか悪用できず、1回開けると全てをやり直さなければならない。

　今回、この課題をクリアしてしまったのが「RollBack」である。RollJamと違い、信号を妨害し記録するのは一度だけであり、その後は所有者がキーフォブを繰り返し使用し記録したコードが無効になった後でも、将来いつでも何度でも再同期しロック解除が行えるという。無制限に何度でも解除できるため、スペアキーを作ったようなものといえる。

　RollBackでは2つ以上の連続したキーフォブからの信号を取得し記録しなければならない。車両によって3つ、5つと多い場合や連続していなくて良い場合など記録の方法は多様だ。

　取得時はロック／アンロックを問わないため、例えばロックを取得し所有者が戻ってくるのを待ってアンロックを取得すると2回の記録が完了となる。ロックされているか不安で何度もロックボタンを押す人も少なくないため、容易に取得できたりもする。カーシェアやレンタカーとなると、じっくり取得できるので狙いやすいだろう。

　RollBackは無効な信号を再生することによって、過去に使用されたコードに再同期でき、そこからそれ以降に使用された全ての信号が再び機能する。所有者は攻撃前と攻撃後の違いに気が付くことなく、キーフォブを使用する中で攻撃されることになる。

RollBackの仕組み

　ただし、この攻撃は全ての車種に対応するわけではなく、研究者が行ったテストによると、マツダ、ホンダ、日産、韓国の起亜とHyundaiが脆弱（ぜいじゃく）であると判明した。一方、トヨタには効かなかった。下記の表によると、20台中14台（70％）で成功している。

テストに使用した車両の詳細

　下記の動画では、キーフォブの信号取得から100日以上経過した後に（400回以上キーフォブを使っても）信号を使用した場合でもロック解除に成功し、実用性を示した。

　また他にもいくつか動画が公開されており、基本的なRollBackの解説動画はこちらから視聴できる。

Source and Image Credits: Levente Csikor, Hoon Wei Lim, Jun Wen Wong, Soundarya Ramesh, Rohini Poolat Parameswarath, and Chan Mun Choon.“RollBack - A New Time-Agnostic Replay Attack Against the Automotive Remote Keyless Entry Systems”