English-Video.net comment policy

The comment field is common to all languages

Let's write in your language and use "Google Translate" together

Please refer to informative community guidelines on TED.com

TEDxMidAtlantic

Avi Rubin: All your devices can be hacked

アビ・ルビン:どんな機器もハッキング可能

Filmed
Views 1,113,109

ペースメーカーもハッキングされる?TEDxMidAtlantic にて、アビ・ルビンはハッカーがどのように車やスマートフォン、医療機器に侵入するか説明し、ハッキングの可能性が一層高くなった世界における危険について警告します。 (TEDxMidAtlanticにて収録)

- Computer security expert
Avi Rubin is a professor of computer science and director of the Health and Medical Security Lab at Johns Hopkins University. His research is focused on the security of electronic records -- including medical and voting records. Full bio

I'm a computer science professor,
私はコンピューター科学の教授で
00:12
and my area of expertise is
私の専門は
00:15
computer and information security.
コンピューターと情報セキュリティーです
00:17
When I was in graduate school,
私が大学院にいたとき
00:20
I had the opportunity to overhear my grandmother
祖母が彼女の友達の一人に
00:22
describing to one of her fellow senior citizens
私の仕事について
00:25
what I did for a living.
説明しているのを聞きました
00:29
Apparently, I was in charge of making sure that
彼女の説明によると私の仕事は 大学で
00:31
no one stole the computers from the university. (Laughter)
コンピューターの盗難を防止することだそうです(笑い)
00:35
And, you know, that's a perfectly reasonable thing
彼女がこのように考えてしまうのは当然です
00:39
for her to think, because I told her I was working
なぜなら以前 私が働いている分野は
00:41
in computer security,
コンピュータセキュリティだと彼女に言ったからです
00:43
and it was interesting to get her perspective.
彼女の視点は興味深いものでした
00:45
But that's not the most ridiculous thing I've ever heard
しかし私の仕事については
00:48
anyone say about my work.
もっとおかしな話がありました
00:51
The most ridiculous thing I ever heard is,
私が聞いた一番おかしな話はこれです
00:53
I was at a dinner party, and a woman heard
ディナーパーティーの席で ある女性が
00:55
that I work in computer security,
私がコンピューターセキュリティーの分野で
00:58
and she asked me if -- she said her computer had been
働いていると知って質問してきました
もしコンピューターがウィルスに感染したら
01:00
infected by a virus, and she was very concerned that she
それによって彼女も病気になるのか
01:04
might get sick from it, that she could get this virus. (Laughter)
彼女もウィルスに感染するのではないかと
心配していました(笑い)
01:07
And I'm not a doctor, but I reassured her
私は医者ではないですが
01:11
that it was very, very unlikely that this would happen,
その起こる可能性とても低いでしょうし
01:14
but if she felt more comfortable, she could be free to use
もし心配なら コンピューターを使う時
01:17
latex gloves when she was on the computer,
ラテックスの手袋をはめれば安心でしょう
と説明しました
01:20
and there would be no harm whatsoever in that.
まったく害はありませんからね
01:22
I'm going to get back to this notion of being able to get
コンピューターからウィルスに感染するという話を
01:25
a virus from your computer, in a serious way.
真面目に考えてみましょう
01:28
What I'm going to talk to you about today
今日ここで皆さんにお話したいのは
01:31
are some hacks, some real world cyberattacks that people
ハッキング 現実のサイバー攻撃についてです
01:33
in my community, the academic research community,
私が属する学術研究のコミュニティで
01:38
have performed, which I don't think
実際に実現したハッキングですが
01:40
most people know about,
ほとんどの方はご存じないと思います
01:43
and I think they're very interesting and scary,
とても興味深く また恐ろしい実験であり
01:44
and this talk is kind of a greatest hits
学術セキュリティーのコミュニティの中で
01:47
of the academic security community's hacks.
一番話題になったハッキングの数々です
01:50
None of the work is my work. It's all work
紹介する成果のいずれも私自身の研究ではなく
01:53
that my colleagues have done, and I actually asked them
私の同僚の研究で スライドを彼らに頼み
01:55
for their slides and incorporated them into this talk.
このトークに組み入れました
01:57
So the first one I'm going to talk about
まず最初に
01:59
are implanted medical devices.
インプラント医療機器についてお話します
02:01
Now medical devices have come a long way technologically.
現代の医療機器は技術的に大きく進歩してきました
02:04
You can see in 1926 the first pacemaker was invented.
1926年に初めてペースメーカーが開発されました
02:07
1960, the first internal pacemaker was implanted,
1960年最初のペースメーカーが
体内に植え込まれました
02:11
hopefully a little smaller than that one that you see there,
今ここでお見せしているものよりもう少し小さいものですが
02:14
and the technology has continued to move forward.
そして技術はどんどん進歩していきました
02:17
In 2006, we hit an important milestone from the perspective
2006年には コンピューターセキュリティーの観点から
02:20
of computer security.
重要なマイルストーンに達しました
02:24
And why do I say that?
何故だか分かりますか?
02:28
Because that's when implanted devices inside of people
人体植え込み式機器が
02:29
started to have networking capabilities.
ネットワーク能力を持つようになったのです
02:32
One thing that brings us close to home is we look
身近に感じる例として
02:35
at Dick Cheney's device, he had a device that
ディック・チェイニー元副大統領が使った機器があります
02:36
pumped blood from an aorta to another part of the heart,
大動脈から他の心臓の部分に血液を輸送するポンプですが
02:39
and as you can see at the bottom there,
この写真の下部に見えるように
02:43
it was controlled by a computer controller,
マイコンによってコントロールされていたのです
02:44
and if you ever thought that software liability
ソフトウェアの責任の重要性について考えたことがあれば
02:47
was very important, get one of these inside of you.
この機器がみなさんの体の中に入ることを想像してください
02:50
Now what a research team did was they got their hands
研究チームはICDと呼ばれるデバイスを
02:53
on what's called an ICD.
入手して調べました
02:57
This is a defibrillator, and this is a device
これは細動除去機です
02:58
that goes into a person to control their heart rhythm,
体内に植え込まれ 心拍を管理する機器で
03:00
and these have saved many lives.
このデバイスによって多くの命が救われました
03:05
Well, in order to not have to open up the person
機器を再調整したり診断するたびに
03:07
every time you want to reprogram their device
人体にメスをいれる必要性を無くすために
03:10
or do some diagnostics on it, they made the thing be able
無線で調整できるデバイスを作りました
03:12
to communicate wirelessly, and what this research team did
この研究チームがしたことは
03:14
is they reverse engineered the wireless protocol,
無線プロトコルをリバースエンジニアリングし
03:17
and they built the device you see pictured here,
この小さなアンテナのある機器を作りました
03:20
with a little antenna, that could talk the protocol
植え込み医療機器の無線プロトコルを使い
03:22
to the device, and thus control it.
制御することができます
03:25
In order to make their experience real -- they were unable
実験をより現実的にするために --
03:29
to find any volunteers, and so they went
被験者を買って出てくれる人はいなかったので --
03:32
and they got some ground beef and some bacon
挽肉とベーコンを使い
03:34
and they wrapped it all up to about the size
人体に植え込まれるだろうサイズに
03:36
of a human being's area where the device would go,
丸め
03:38
and they stuck the device inside it
その中に医療機器を入れ
03:41
to perform their experiment somewhat realistically.
実際に近い条件で実験を行いました
03:42
They launched many, many successful attacks.
何度も何度も攻撃に成功しました
03:46
One that I'll highlight here is changing the patient's name.
例えば 患者さんの名前を書き変えてしまう攻撃があります
03:49
I don't know why you would want to do that,
そのなことをする意味があるか分かりませんが
03:52
but I sure wouldn't want that done to me.
私が患者だったら されたくないことですね
03:53
And they were able to change therapies,
攻撃により 治療パターンを変更することもできました
03:55
including disabling the device -- and this is with a real,
機器を無効にすることも含めてです
03:57
commercial, off-the-shelf device --
市販の商業機器を使って
04:00
simply by performing reverse engineering and sending
単にリバースエンジニアリングを使って
04:01
wireless signals to it.
無線信号を送るだけで実現できてしまう攻撃です
04:04
There was a piece on NPR that some of these ICDs
NPR(米国の公共ラジオ局)の報道がありましたが
04:07
could actually have their performance disrupted
イヤホンを近づけるだけで
04:10
simply by holding a pair of headphones onto them.
ICDの機能に影響があるというものでした
04:13
Now, wireless and the Internet
さて 無線技術やインターネットは
04:16
can improve health care greatly.
健康管理を大いに向上させることができます
04:18
There's several examples up on the screen
医師が機器の植え込みを検討している
04:19
of situations where doctors are looking to implant devices
いくつかの例をスクリーンでお見せしています
04:21
inside of people, and all of these devices now,
これらの全ての機器は
04:24
it's standard that they communicate wirelessly,
ワイヤレスで通信するのが標準になっています
04:27
and I think this is great,
それは素晴しいと思いますが
04:30
but without a full understanding of trustworthy computing,
「信頼できるコンピューティング環境」を
十分に理解しないで
04:32
and without understanding what attackers can do
悪意のあるハッカーによる攻撃を理解しないで
04:35
and the security risks from the beginning,
セキュリティリスクを理解して行わないと
04:37
there's a lot of danger in this.
多大な危険を伴います
04:39
Okay, let me shift gears and show you another target.
さてもう一段階進んで
別の攻撃のターゲットを見てみましょう
04:42
I'm going to show you a few different targets like this,
いくつかの攻撃のターゲットの例をお見せするのが
04:43
and that's my talk. So we'll look at automobiles.
私のトークのテーマです
では車の例についてお話しましょう
04:45
This is a car, and it has a lot of components,
ここに車があります
今日 車にはいろいろな部品
04:48
a lot of electronics in it today.
電子部品が使われています
04:51
In fact, it's got many, many different computers inside of it,
私が大学にいたころよりも もっと多くの
04:53
more Pentiums than my lab did when I was in college,
様々なコンピューターが含まれていて
04:57
and they're connected by a wired network.
それらは有線ネットワークでつながっています
05:00
There's also a wireless network in the car,
無線ネットワークも存在して
05:04
which can be reached from many different ways.
色々な方法でアクセスできます
05:07
So there's Bluetooth, there's the FM and XM radio,
たとえばブルートゥースやFM及びXMラジオがあり
05:11
there's actually wi-fi, there's sensors in the wheels
Wi-Fiもあり タイヤにはセンサーがあり
05:14
that wirelessly communicate the tire pressure
無線でタイヤ内の気圧を
05:17
to a controller on board.
車載コントローラに通信します
05:19
The modern car is a sophisticated multi-computer device.
現代の車は高度なマルチコンピューター機器なのです
05:21
And what happens if somebody wanted to attack this?
誰かがこれを攻撃したかったらどうなるのでしょう?
05:26
Well, that's what the researchers
今日ここでお話しするのは
05:29
that I'm going to talk about today did.
研究チームがしたことです
05:31
They basically stuck an attacker on the wired network
彼らは有線ネットワークと
05:33
and on the wireless network.
無線ネットワークに攻撃者を繋げました
05:36
Now, they have two areas they can attack.
さて攻撃の標的はふたつあります
05:38
One is short-range wireless, where you can actually
ひとつは ブルーテゥースやWi-Fiなど
05:41
communicate with the device from nearby,
近くの装置によって操作できる
05:43
either through Bluetooth or wi-fi,
近距離の無線通信です
05:44
and the other is long-range, where you can communicate
もうひとつは 携帯ネットワークや
05:47
with the car through the cellular network,
ラジオ局を通して 車と通信する
05:49
or through one of the radio stations.
広域のものです
05:51
Think about it. When a car receives a radio signal,
車がラジオの電波を受けると
05:52
it's processed by software.
ソフトウェアがそれを処理します
05:56
That software has to receive and decode the radio signal,
そのソフトウェアはラジオの電波を受け解読し
05:58
and then figure out what to do with it,
それからどうすればいいか判断します
06:01
even if it's just music that it needs to play on the radio,
ラジオから流れる音楽でさえ
06:02
and that software that does that decoding,
ソフトウェアが解読しているのです
06:05
if it has any bugs in it, could create a vulnerability
ソフトウェアにバグがあったら
脆弱性を生み出し
06:07
for somebody to hack the car.
その車が誰かにハックされる
可能性があるということです
06:10
The way that the researchers did this work is,
研究チームが実験した方法はこうです
06:13
they read the software in the computer chips
車載コンピューターのチップに書き込まれた
06:16
that were in the car, and then they used sophisticated
ソフトウェアを読み取り
06:21
reverse engineering tools
高度なリバースエンジニアリングツールを用いて
06:24
to figure out what that software did,
ソフトウェアの機能を解読しました
06:25
and then they found vulnerabilities in that software,
そしてソフトウェア上の脆弱性を見つけ
06:27
and then they built exploits to exploit those.
その脆弱性を突く攻撃を作りました
06:30
They actually carried out their attack in real life.
実際の車を使って攻撃をやってみました
06:34
They bought two cars, and I guess
彼らは2台の車を買いました
06:36
they have better budgets than I do.
きっと私より予算があったのでしょう
06:37
The first threat model was to see what someone could do
最初の脅威モデルでは
06:40
if an attacker actually got access
もし攻撃者が
車内のネットワークにアクセスできた場合
06:43
to the internal network on the car.
何ができるかを試しました
06:45
Okay, so think of that as, someone gets to go to your car,
さあ 誰かが皆さんの車に入り込み
06:47
they get to mess around with it, and then they leave,
何かを仕掛けて行った状況を想像してみてください
06:50
and now, what kind of trouble are you in?
どんな問題が起こりえるでしょうか?
06:52
The other threat model is that they contact you
もうひとつの脅威モデルでは
06:55
in real time over one of the wireless networks
携帯電話のような無線通信で
06:58
like the cellular, or something like that,
リアルタイムに通信が行われ
07:00
never having actually gotten physical access to your car.
車とは物理的接触がない場合です
07:02
This is what their setup looks like for the first model,
最初のケース つまり車への物理的なアクセス
07:06
where you get to have access to the car.
がある場合にはこんな感じです
07:09
They put a laptop, and they connected to the diagnostic unit
ノートパソコンを持ち込み
車内のネットワーク上の診断ユニットに侵入し
07:11
on the in-car network, and they did all kinds of silly things,
いろいろ下らないことをしました
07:14
like here's a picture of the speedometer
例えば 駐車中なのに速度計に時速140マイルを
07:17
showing 140 miles an hour when the car's in park.
表示させるというようなことです
07:20
Once you have control of the car's computers,
車のコンピューターを制覇すれば
07:23
you can do anything.
何でもできるのです
07:25
Now you might say, "Okay, that's silly."
さて皆さん「まったく意味がない」と思うかもしれません
07:26
Well, what if you make the car always say
でももし車がいつも実際に走っている速度より
07:28
it's going 20 miles an hour slower than it's actually going?
時速20マイル遅く表示されていたらどうなるでしょう?
07:29
You might produce a lot of speeding tickets.
速度違反チケットを
溜め込む羽目になるでしょう
07:32
Then they went out to an abandoned airstrip with two cars,
それから2台の車
追いかけられる車と追跡用の車を
07:34
the target victim car and the chase car,
廃滑走路で走らせ
07:38
and they launched a bunch of other attacks.
様々な攻撃を試しました
07:41
One of the things they were able to do from the chase car
追跡車ができたひとつのことは
07:44
is apply the brakes on the other car,
コンピューターに侵入するだけで
07:47
simply by hacking the computer.
もう一台の車のブレーキを 操作できたのです
07:49
They were able to disable the brakes.
ブレーキの作動を止めることもできました
07:50
They also were able to install malware that wouldn't kick in
また 時速20マイル以上で走るまで
07:53
and wouldn't trigger until the car was doing something like
起動しないマルウェアを
07:56
going over 20 miles an hour, or something like that.
仕掛けることもできました
07:58
The results are astonishing, and when they gave this talk,
結果は驚くべきものであり
08:02
even though they gave this talk at a conference
カンファレンスで彼らがこの発表を行った際に
08:05
to a bunch of computer security researchers,
聴衆はセキュリティの専門家であるのにも関わらず
08:06
everybody was gasping.
みんなを唖然とさせました
08:08
They were able to take over a bunch of critical computers
彼らは 重要な車載コンピュータを
乗っ取ることに成功しました
08:10
inside the car: the brakes computer, the lighting computer,
ブレーキを制御するコンピューター
ライトを制御するコンピューター
08:13
the engine, the dash, the radio, etc.,
エンジン ダッシュボード 
ラジオを制御するコンピューター などなど
08:17
and they were able to perform these on real commercial
そしてこれらの攻撃は
彼らが購入した市販車で行われたものであり
08:20
cars that they purchased using the radio network.
彼らは 無線ネットワークを用いて
08:22
They were able to compromise every single one of the
車のすべての無線機能のひとつひとつを
08:25
pieces of software that controlled every single one
コントロールするすべてのソフトウェアを
08:28
of the wireless capabilities of the car.
乗っ取ることに成功したのです
08:31
All of these were implemented successfully.
すべての攻撃の実装に成功しました
08:34
How would you steal a car in this model?
この場合 攻撃者はどうやって車を盗むと思いますか?
08:36
Well, you compromise the car by a buffer overflow
車に攻撃を仕掛け
08:39
of vulnerability in the software, something like that.
バッファーオーバーフローの脆弱性を突くのです
08:42
You use the GPS in the car to locate it.
車の位置を確認するのにGPSを使います
08:45
You remotely unlock the doors through the computer
ドアを制御するコンピュータを遠隔操作で操り
ロックを解除します
08:47
that controls that, start the engine, bypass anti-theft,
そしてエンジンを始動し
盗難防止を回避し
08:49
and you've got yourself a car.
そうやって車を盗む訳です
08:52
Surveillance was really interesting.
車載の監視システムも興味深いものでした
08:54
The authors of the study have a video where they show
この論文の著者は 車を乗っ取り
08:57
themselves taking over a car and then turning on
車載のマイクのスイッチを入れ
09:00
the microphone in the car, and listening in on the car
車の中の会話を盗聴し
09:02
while tracking it via GPS on a map,
同時にGPSを用いて地図で追跡をしている
ビデオを録画しました
09:05
and so that's something that the drivers of the car
それでも運転手は何が起こっているのか
09:08
would never know was happening.
知る由もありませんでした
09:10
Am I scaring you yet?
怖くなりましたか?
09:12
I've got a few more of these interesting ones.
もう少し面白い例をお見せしましょう
09:15
These are ones where I went to a conference,
私があるカンファレンスに参加した時に知り
09:16
and my mind was just blown, and I said,
とてつもなく驚愕して
09:18
"I have to share this with other people."
『この話を皆に知らせなければ』と思ったほどの話です
09:20
This was Fabian Monrose's lab
これは北カリフォルニア大学の
09:22
at the University of North Carolina, and what they did was
ファビアン・モンローズの研究所で行われたことですが
09:24
something intuitive once you see it,
彼らの研究は一旦わかると直感的なものですが
09:27
but kind of surprising.
でも意外なものです
09:29
They videotaped people on a bus,
彼らはバスに乗っている人々を録画し
09:31
and then they post-processed the video.
それからビデオを後処理を施しました
09:33
What you see here in number one is a
最初に見えるのは
09:36
reflection in somebody's glasses of the smartphone
携帯電話で文字を入力している様子が
09:38
that they're typing in.
誰かの眼鏡に反射しています
09:43
They wrote software to stabilize --
振動を補正するソフトウェアにより
09:44
even though they were on a bus
バスの中の録画であるのに関わらず
09:46
and maybe someone's holding their phone at an angle --
携帯電話を斜めに持っていても
09:48
to stabilize the phone, process it, and
安定して画像を補足し 処理を施します
09:51
you may know on your smartphone, when you type
スマートフォンでパスワードを入力するときに
09:53
a password, the keys pop out a little bit, and they were able
文字が飛び出してして表示されるのをご存知でしょうか
09:55
to use that to reconstruct what the person was typing,
これを利用して タイプしている文字を再現するのです
09:58
and had a language model for detecting typing.
そして入力している文字を推測する言語モデルもあります
10:01
What was interesting is, by videotaping on a bus,
ここで興味深いことは
10:05
they were able to produce exactly what people
バス内を録画したことによって
10:08
on their smartphones were typing,
人々が携帯電話で何をタイプしたか
正確に再現することができ
10:10
and then they had a surprising result, which is that
意外だったのは
10:12
their software had not only done it for their target,
このソフトウェアが特定のターゲットのみならず
10:14
but other people who accidentally happened
映像にたまたま写った人々に対しても
10:17
to be in the picture, they were able to produce
その人が何を書いていたか
再現できたことです
10:18
what those people had been typing, and that was kind of
それはソフトウェアがした
10:20
an accidental artifact of what their software was doing.
偶然の産物でした
10:23
I'll show you two more. One is P25 radios.
あと2つの例をお見せします
ひとつはP25ラジオです
10:27
P25 radios are used by law enforcement
P25ラジオは警察や
10:31
and all kinds of government agencies
あらゆる種類の政府組織 および
10:34
and people in combat to communicate,
戦闘員などが連絡するのに使われています
10:37
and there's an encryption option on these phones.
P25 電話機には暗号オプションがあります
10:39
This is what the phone looks like. It's not really a phone.
その電話はこんな風で 電話機のようには見えません
10:42
It's more of a two-way radio.
トランシーバーといったほうがいいでしょう
10:44
Motorola makes the most widely used one, and you can see
モトローラが一番普及している機種で
10:46
that they're used by Secret Service, they're used in combat,
秘密情報機関や 戦闘で使われています
10:49
it's a very, very common standard in the U.S. and elsewhere.
アメリカや他国でも一般的な規格です
10:52
So one question the researchers asked themselves is,
セキュリティ研究者が自問したことは
10:55
could you block this thing, right?
これをジャムできるかということです
10:57
Could you run a denial-of-service,
ファースト・レスポンダー(第一次応答者)
11:00
because these are first responders?
に対してサービス拒否攻撃を仕掛けることができるか?
11:01
So, would a terrorist organization want to black out the
テロ組織が 緊急事態に警察と消防署との
11:03
ability of police and fire to communicate at an emergency?
連絡網を阻止できるのではないか?
11:05
They found that there's this GirlTech device used for texting
彼らは P25と全く同じ周波で作動する
11:09
that happens to operate at the same exact frequency
GirlTech社のチャット機器に目をつけ
11:13
as the P25, and they built what they called
マイ・ファースト・ジャマー(初めての妨害機)
11:15
My First Jammer. (Laughter)
と呼ばれるものを作りました (笑い)
11:18
If you look closely at this device,
この機器をもっとよく見てみると
11:22
it's got a switch for encryption or cleartext.
暗号通信とクリアテキスト(平文)の切り替えをする
スイッチがあります
11:24
Let me advance the slide, and now I'll go back.
スライドをもう進めて また戻します
11:28
You see the difference?
違いがわかりますか?
11:31
This is plain text. This is encrypted.
これは暗号化されていない状態
これは暗号化されている状態です
11:33
There's one little dot that shows up on the screen,
スクリーンに見える小さな点があります
11:36
and one little tiny turn of the switch.
カチッとスイッチを入れるだけで切り替わります
11:39
And so the researchers asked themselves, "I wonder how
調査チームは自問しました
『とても危険で重要で貴重な
11:41
many times very secure, important, sensitive conversations
会話がこの双方向無線電話で行われ
11:43
are happening on these two-way radios where they forget
暗号化するのを忘れたり
暗号化しなかったのに気づかなかったことが
11:47
to encrypt and they don't notice that they didn't encrypt?"
どのぐらいの頻度であるのだろうか?』 と
11:48
So they bought a scanner. These are perfectly legal
そこで 彼らはスキャナーを購入しました
完全に合法な機器で
11:51
and they run at the frequency of the P25,
P25が利用する周波を探索しました
11:55
and what they did is they hopped around frequencies
色々な周波数をホップし
11:58
and they wrote software to listen in.
会話をピックアップするソフトウェアを書きました
12:00
If they found encrypted communication, they stayed
暗号化された通信が見つかると
12:02
on that channel and they wrote down, that's a channel
そのチャンネルにとどまり
12:05
that these people communicate in,
警察機関が通信する
12:07
these law enforcement agencies,
チャンネルだと記録しました
12:09
and they went to 20 metropolitan areas and listened in
また同じことを20箇所の都市部で行い
12:10
on conversations that were happening at those frequencies.
同じ周波で行われている会話を聞きとりました
12:14
They found that in every metropolitan area,
そして全ての都市部で
12:17
they would capture over 20 minutes a day
一日20分以上の
12:20
of cleartext communication.
暗号化されていない通信を傍受しました
12:22
And what kind of things were people talking about?
どの様なことが話されていたのでしょう?
12:25
Well, they found the names and information
情報提供者の名前やその他の情報
12:27
about confidential informants. They found information
がありました
12:28
that was being recorded in wiretaps,
また盗聴器に録音された会話および
12:31
a bunch of crimes that were being discussed,
取りざたされている犯罪に関する
12:33
sensitive information.
様々な機密な情報が含まれていました
12:36
It was mostly law enforcement and criminal.
ほとんどが警察の取り締まりおよび犯罪に関するものでした
12:37
They went and reported this to the law enforcement
彼らは得られた情報を匿名化した後に
12:41
agencies, after anonymizing it,
警察にこの事実を知らせました
12:42
and the vulnerability here is simply the user interface
脆弱性は単純にユーザインタフェースが
12:44
wasn't good enough. If you're talking
機能的でなかったということです
12:47
about something really secure and sensitive, it should
危険で機密なことについて話すときには
12:49
be really clear to you that this conversation is encrypted.
会話が暗号化されているという事実が
利用者に明確でなくてはなりません
12:52
That one's pretty easy to fix.
これは簡単に改良できますね
12:55
The last one I thought was really, really cool,
最後にお見せする例はとてもクールです
12:57
and I just had to show it to you, it's probably not something
どうしてもお見せしたかったものです
12:58
that you're going to lose sleep over
車やペースメーカーの例みたいに
13:01
like the cars or the defibrillators,
心配で眠れなくなるようなものではありませんが
13:02
but it's stealing keystrokes.
キーボード入力の盗聴についてです
13:04
Now, we've all looked at smartphones upside down.
スマートフォンを詳しく見たことがあると思います
13:07
Every security expert wants to hack a smartphone,
セキュリティー専門家は皆スマートフォンのハッキングが
大好きです
13:10
and we tend to look at the USB port, the GPS for tracking,
今までは USB ポートや位置追跡のための GPS
13:12
the camera, the microphone, but no one up till this point
カメラやマイクなどに注目しがちでしたが
13:17
had looked at the accelerometer.
誰も加速度計には目を向けませんでした
13:20
The accelerometer is the thing that determines
加速度計はスマートフォンの
13:21
the vertical orientation of the smartphone.
垂直方向を計測します
13:23
And so they had a simple setup.
彼らは簡単な実験をしました
13:27
They put a smartphone next to a keyboard,
スマートフォンをキーボードの横に置き
13:28
and they had people type, and then their goal was
人々にキーボードで入力してもらい 最終的には
13:31
to use the vibrations that were created by typing
タイプすることによって起きる振動をつかって
13:33
to measure the change in the accelerometer reading
加速度計を読み解明することにより
13:36
to determine what the person had been typing.
何をタイプしているか解明しようと試みました
13:41
Now, when they tried this on an iPhone 3GS,
まず iPhone 3GS で試してみたところ
13:44
this is a graph of the perturbations that were created
タイプをすることによって起きた振動で得られた
13:46
by the typing, and you can see that it's very difficult
グラフがこれです 見ての通り
13:49
to tell when somebody was typing or what they were typing,
タイプしているか否か
またどのキーをタイプしているのかまったく分かりません
13:52
but the iPhone 4 greatly improved the accelerometer,
しかし iPhone 4 では 加速度計がものすごく改善され
13:55
and so the same measurement
同じ測定で
13:58
produced this graph.
このようなグラフが得られました
14:02
Now that gave you a lot of information while someone
これで 被験者がタイピングをしている時の
14:04
was typing, and what they did then is used advanced
豊富な情報を得ることができきます
14:06
artificial intelligence techniques called machine learning
機械学習とい人工知能のテクニックを使い
14:10
to have a training phase,
学習フェーズを設けました
14:13
and so they got most likely grad students
おそらく大学院生にお願いして
14:14
to type in a whole lot of things, and to learn,
さまざまな文をタイピングにより入力してもらい
14:16
to have the system use the machine learning tools that
学習機能を持つシステムは
14:20
were available to learn what it is that the people were typing
どの文字をタイプしているかが分かり
14:23
and to match that up
同時にそれを
14:26
with the measurements in the accelerometer.
加速度計と照合します
14:28
And then there's the attack phase, where you get
そして攻撃を試すフェーズでは
14:31
somebody to type something in, you don't know what it was,
誰かに文をタイピングしてもらい
14:33
but you use your model that you created
学習フェーズで構築したモデルを使い
14:35
in the training phase to figure out what they were typing.
どの文字がタイプされているのか解明しようとします
14:37
They had pretty good success. This is an article from the USA Today.
彼らはなかなかの成功を収めました
ここに USA Today の記事があります
14:40
They typed in, "The Illinois Supreme Court has ruled
『イリノイの最高裁判所は
14:44
that Rahm Emanuel is eligible to run for Mayor of Chicago"
ラフ・エマヌエルがシカゴ市長選に出馬
14:46
— see, I tied it in to the last talk —
する資格があるとという審判を下し
14:49
"and ordered him to stay on the ballot."
そして投票用紙に彼の名前を残すように命じた』
14:51
Now, the system is interesting, because it produced
さてこのシステムのおもしろいところは
14:53
"Illinois Supreme" and then it wasn't sure.
"Illinois Supreme" (イリノイ最高)まで再現しまして
迷ってしまったことです
14:55
The model produced a bunch of options,
このモデルは様々な選択肢を出します
14:58
and this is the beauty of some of the A.I. techniques,
人工知能技術の美点でもありますが
15:00
is that computers are good at some things,
コンピューターはある作業には長けていて
15:03
humans are good at other things,
人間は別のことに長けている
15:05
take the best of both and let the humans solve this one.
長点を取り合わせて この部分は人間にやらせます
15:07
Don't waste computer cycles.
コンピューターの計算時間を無駄にしないで
15:09
A human's not going to think it's the Supreme might.
人間は正解が "Supreme might" (最高権力)
だとは思いません
15:10
It's the Supreme Court, right?
正しいのは "Supreme Court" (最高裁判所)ですよね?
15:12
And so, together we're able to reproduce typing
コンピュータと協力し合い
加速度計で測定したことだけで
15:14
simply by measuring the accelerometer.
タイプで何を打ったか
再現することができるのです
15:16
Why does this matter? Well, in the Android platform,
これがなぜ重要なのでしょうか?
例えばアンドロイド開発環境では
15:19
for example, the developers have a manifest
開発者は使用する全てのマイク等のデバイス
15:23
where every device on there, the microphone, etc.,
を登録する
15:27
has to register if you're going to use it
マニフェストを作成しなくてはなりません
15:30
so that hackers can't take over it,
ハッカーによる乗っ取りを防止するためです
15:32
but nobody controls the accelerometer.
しかし加速度計はコントロールされていません
15:34
So what's the point? You can leave your iPhone next to
これは何を意味するでしょうか?
iPhone を誰かのキーボードの横に置いて
15:37
someone's keyboard, and just leave the room,
部屋を出て行くと
15:39
and then later recover what they did,
マイクを使わなくても
15:41
even without using the microphone.
後で何をタイプしたか再現できるということです
15:43
If someone is able to put malware on your iPhone,
もしあなたの iPhone にマルウェアが仕掛けられたら
15:45
they could then maybe get the typing that you do
キーボードの横に iPhone を置く度に
15:47
whenever you put your iPhone next to your keyboard.
あなたがタイプしたことを
彼らが盗むことができるかもしれません
15:50
There's several other notable attacks that unfortunately
他にも有名な攻撃の例がありますが
15:52
I don't have time to go into, but the one that I wanted
残念ながら時間がありません
15:54
to point out was a group from the University of Michigan
最後にひとつだけお見せしたいのは
ミシガン大学のグループが
15:56
which was able to take voting machines,
ニュージャージーの投票で使われる予定だった
15:59
the Sequoia AVC Edge DREs that
廊下に置き去りにされた
16:01
were going to be used in New Jersey in the election
セコイア直接記録電子投票機に
16:04
that were left in a hallway, and put Pac-Man on it.
パックマンをインストールしたことです
16:05
So they ran the Pac-Man game.
あのパックマンゲームを動かしたのです
16:07
What does this all mean?
これは何を意味するでしょうか?
16:11
Well, I think that society tends to adopt technology
社会は実に早く技術に順応します
16:13
really quickly. I love the next coolest gadget.
みな最新のガジェットが大好きです
16:16
But it's very important, and these researchers are showing,
しかしお見せした研究から分かるように
16:19
that the developers of these things
これらの技術を開発する人々は
16:22
need to take security into account from the very beginning,
一番最初からセキュリティーを考慮する必要があり
16:23
and need to realize that they may have a threat model,
脅威モデルを定義したとしても
16:26
but the attackers may not be nice enough
それでも攻撃者はたぶん
16:29
to limit themselves to that threat model,
脅威モデルの枠組み内に留まるほど優しくないので
16:31
and so you need to think outside of the box.
より自由な思考が要求されます
16:33
What we can do is be aware
我々ができることは理解することです
16:36
that devices can be compromised,
機器は乗っ取ることは必ず可能であり
16:37
and anything that has software in it
ソフトウェアがあるものは必ず脆弱生がある
16:40
is going to be vulnerable. It's going to have bugs.
バグがある という事実を理解することです
16:41
Thank you very much. (Applause)
ありがとうございました
(拍手)
16:44
Translated by hiroko fujikawa
Reviewed by Shuichi Sakai

▲Back to top

About the speaker:

Avi Rubin - Computer security expert
Avi Rubin is a professor of computer science and director of the Health and Medical Security Lab at Johns Hopkins University. His research is focused on the security of electronic records -- including medical and voting records.

Why you should listen

Along with running the Health and Medical Security Lab, Avi Rubin is also the technical director of the JHU Information Security Institute. From 1997 to 2002, Avi was a researcher in AT&T’s Secure Systems Department, where he focused on cryptography and network security. He is also the founder of Harbor Labs, which provides expert testimony and review in legal cases related to high tech security. Avi has authored several books related to electronic security, including Brave New Ballot, published in 2006.

More profile about the speaker
Avi Rubin | Speaker | TED.com