Wi-Fi機器の充電を急速に“ゼロ”にするサイバー攻撃 150m離れた場所からスマホや監視カメラを無効に：Innovative Tech

米スタンフォード大学、米UCLA、カナダのウォータールー大学に所属する研究者らは、Wi-Fi機器に偽のデータパケットを継続的に送信することで、その機器の充電を急速に低下させる攻撃を提案した研究報告を発表した。

[山下裕毅，ITmedia]

Innovative Tech：

このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。

　米スタンフォード大学、米UCLA、カナダのウォータールー大学に所属する研究者らが発表した論文「WiFi Physical Layer Stays Awake and Responds When it Should Not」は、Wi-Fi機器に偽のデータパケットを継続的に送信することで、その機器の充電を急速に低下させる攻撃を提案した研究報告である。

　Wi-Fiネットワークは、高度な認証と暗号化メカニズム（WPA3など）を使用して、未承認デバイスによるデバイスやデータへのアクセスを阻止することで、ユーザーのプライバシーとセキュリティを保護している。

　しかし、Wi-Fiネットワークは、主にWi-Fi規格で定義された要件による攻撃に対して脆弱なままである。この研究では、IEEE 802.11規格に存在する2つの脆弱性を活用し、それらがどのようにユーザーのプライバシーとセキュリティを危険にさらすかを説明する。

　1つ目の脆弱性は、応答すべきでないときに応答すること。Wi-Fiネットワークでは、あるデバイスが他のデバイスにパケットを送信すると、受信側のデバイスが送信側にACK（Acknowledgment、受信完了通知）で応答を返す。問題なのが、ネットワーク外の不正なWi-Fiデバイスから受信した偽のパケットに対してもACKで応答を返すことである。

攻撃側と被害側の間で交換されるデータフレーム

　2つ目は、Wi-Fi無線が起動してはいけない時に起動していること。Wi-Fi機器のほとんどは、電力を節約するためにスリープモードを搭載している。スリープモードに入る前にWi-Fiアクセスポイントに通知し、アクセスポイントが受信パケットをバッファリングするようにしている。そしてWi-Fi機器は定期的に起動して、関連するアクセスポイントから送信されるビーコンフレームを受信する。

　通常の動作では、アクセスポイントだけがビーコンフレームを送信して、パケットをバッファリングしているWi-Fi機器に通知する。Wi-Fi機器は通知を受けると、それを受信するために起動したままになる。しかし、これらのビーコンフレームは暗号化されていないため、権限のないユーザーがビーコンフレームを偽造してターゲットのWi-Fi機器に送ることで、ターゲットのWi-Fi機器を常に起動させておくことができる。

ビーコンフレームを送り続けることで、常にWi-Fiデバイスを起動したままにできる

　研究チームは、これらの脆弱性を利用した攻撃を実装した。その攻撃は、Wi-Fiデバイスを強制的に起動させ、継続的に送信することにより、バッテリーを急速に消耗させることである。これにより、Wi-Fi対応監視カメラやスマートフォンなどを無効にできる。

ターゲットデバイスの周囲に座って攻撃している様子

　この攻撃は、Wi-Fiネットワークとデバイスが完全に保護されているにもかかわらず、建物の外から実行することができる。

　攻撃者に必要なのは、Wi-Fiを内蔵した10ドル程度のマイクロコントローラー（ESP32など）とバッテリーバンクだけである。攻撃者側のデバイスは小さいため、ポケットに入れて持ち運んだり、ターゲットデバイスの近くのどこかに隠したりすることが簡単にできる。

　攻撃距離を調べる実験を行った結果、100m以内の距離でも、ほぼ全てのターゲットデバイスが応答していることが分かった。さらに150m離れた場所でも73％という高い応答率を得ており、この距離でも攻撃が有効であることを確認できた。

最大150mの距離からでも攻撃ができる

　また研究チームは、どれほどのWi-Fiデバイスにこれらの攻撃が行えるかを調べた結果、186のベンダーの5000台以上のWi-Fiアクセスポイントおよびクライアントデバイスを調査し、全ての機器が攻撃に対して脆弱であることを確認した。

Source and Image Credits: Abedi, A., Lu, H., Chen, A., Liu, C., & Abari, O. (2022). WiFi Physical Layer Stays Awake and Responds When it Should Not. arXiv preprint arXiv:2301.00269.