ご存じの方もいらっしゃるとおり、Google 社が発表した最新のガジェット Google Glass が、メディアやテクノロジ業界の話題をさらい、賛否両論を巻き起こしています。Google Glass は先週一般公開されましたが、スマートフォン技術とメガネ型のウェアラブルデバイスを融合したその姿は、まさにスタートレックの世界そのものです。一般公開と言っても、実際にはベータテスター（Glass Explorer と呼ばれています）向けの段階であり、購入するには #ifihadglass というハッシュタグで 50 語以内のエッセイを書いて応募しなければなりませんでした。当選した人だけが、1,500 米ドルで Google Glass Explorer Edition を購入できます。
何でもできそうなデバイスという絶賛の声がある一方で、物議を醸している点もあります。Google Glass を購入できた 8,000 人のユーザーが承諾しなければならない厳格な使用許諾契約によると、本製品を第三者に売却、貸与、委譲した場合には製品が非アクティブ化され、使用できなくなると規定されているのです。しかも、それが判明したのは、幸運にも購入できたユーザーが Google Glass を EBay に出品し、Google 社から連絡を受けた後のことでした。一方、製品を改変したりルート権限を取得したりする行為については、保証の対象外となりテクニカルサポートを受けられなくなるだけで、特に制限はされていません。
先日、米国のセキュリティ研究者 James Freeman 氏は、Google 本社（カリフォルニア州マウンテンビュー）から Google Glass を入手したことを自身のブログで報告しました。彼がルート権限の取得に成功したデバイスの写真を公開したところ、各メディアからも Google 社からも大きな反響がありました。彼は Glass Explorer ベータテストに参加しているわけではなく、単に 2012 年の Google I/O 参加者として購入資格を持っていたにすぎません。彼が Google Glass を購入した最大の動機はデバイスのカスタマイズであり、カスタマイズするためには「脱獄する」つまり「ルート権限を取得する」必要がありました。
Google Glass に搭載されているのは Android 4.04 で、他のオペレーティングシステムと同様、既知の脆弱性とその悪用コードが存在します。今回 Freeman 氏は、シンボリックリンクトラバーサルと競合状態を利用した、まだ名前もない悪用コードを解析し、それを Google Glass に応用できるかどうかを確かめました。完全なルート権限を取得するためには、Google Glass で［Debug］メニューを開く必要があります。［Debug］メニューは、通常のスマートフォンではロックされており、アクセスするには PIN が必要ですが、Google Glass の［Debug］メニューはロックされておらず、簡単にデバイスにアクセスできることが判明しました。
「Google Glass を常時身に着けると言っても、掛けたまま眠ったりシャワーを浴びたりする人はいないでしょう。実際には、ほとんどの人が常時装着などしないでしょうから、長時間置きっぱなしになる可能性は高いと思われます。誰かが手を出せる場所に放置したら、［Settings］パネルを使ってデバッグモードに入り、adb アクセスを使って悪用コードを起動して、ルート権限を取得するのは簡単です。
これを実行しようと思ったら、Google Glass が放置されている必要さえありません。別の Android デバイスをポケットに忍ばせておいて攻撃を仕掛けることも難しくはないからです（コンピュータ 1 台すら必要ありません）。携帯用の USB ケーブルをシャツの裏のポケットから右の袖口まで伸ばしておき、すばやい手さばきで Google Glass を「試し掛け」すれば、悪質なソフトウェアをこっそりインストールすることも可能でしょう」
Google Glass の脆弱性を悪用すれば、悪質な意図を持つ誰もが思うままにマルウェアをインストールできますが、そのためには物理的なアクセスが必要です。セキュリティコミュニティで知られているとおり、今回の脆弱性は間違いなくセキュリティ上の欠陥ですが、デバイスに物理的にアクセスできる場合には完全な安全というものはありえません。Linux の各ディストリビューションで、root のパスワードを忘れたり紛失したりした場合にシングルユーザーモードでログインするのも、そのためです。デバイスやコンピュータに物理的にアクセスできれば、もはや安全とは言えません。
デスクトップからモバイルデバイスへと標的が広がった前例から見ても、ウェアラブルデバイスがマルウェアの作成者によって悪用される新たな舞台となるのは間違いありません。積極的かつ創造性に富んだマルウェア作成者は、あらゆるものの脆弱性を悪用する機会を常に狙っています。悪用が始まるのも時間の問題と言えるでしょう。
理論的には、Google Glass に限らず、装着できて記録に使用できるデバイスは、どのようなものでもセキュリティ上のリスクが考えられます。そのようなデバイスをユーザーに害のある形で悪用される段階が、ついそこまで来ています。たとえば、自分の所在が密かに記録されるといったプライバシー上のリスクや、ATM の暗証番号を記録されるなどの窃盗の恐れも考えられますが、そのような問題は氷山の一角にすぎず、セキュリティ上の懸念がなくなることはありません。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。