RAS AIカーナビがroot化された――TARAで見るとリスクはどの程度か

VisualPro Tech Brief

カーナビがroot化された――TARAで見るとリスクはどの程度か

同じ弱点でも、公開の有無と車両アーキテクチャによってリスクは変わります――攻撃パス・攻撃実現可能性・リスク値で読み直す

区分

VWAY 技術資料

公開日

2026年11月9日

読了時間

約7分

ISO/SAE 21434TARA攻撃実現可能性攻撃パスヘッドユニットサイバーセキュリティ目標

01要約

02時計を直そうとしてrootを得た研究

エストニアの研究者Rasmus Moorats氏は11月2日、自身のブログで、2014年式Renault Latitudeの純正ナビゲーション（TomTom Carminat LIVE）でroot権限を得た経緯を公開しました。夏時間が終わって時計が1時間ずれたものの、時刻設定メニューは純正の地図SDカードを挿したときにしか開きませんでした。カードを買い直すと約60ユーロかかるため、自力で解決することにしたのが始まりです。

この機器はLinux 2.6.28.10ベースですが、防御がなかったわけではありません。アップデートイメージには署名があり、ルートファイルシステムは読み取り専用で、その他のパーティションもほとんどが実行禁止（noexec）でマウントされていました。SDカードにはカード固有のIDで検査するDRMがかかっていました。研究者が見つけた入口は、起動時にSDカードのスクリプト（master.script）を読み込む機能でした。運転者が「master.scriptを実行しますか？」という確認ダイアログで「はい」を押すと、root権限で動作するパーサがこのスクリプトを処理します。

弱点は二つありました。スクリプトのLOGコマンドはファイルパスを検査しないため、所定のログフォルダの外にも書き込めました。SHEXコマンドはプログラムを起動できるものの、引数を渡せませんでした。研究者はLOGでカーネル設定のcore_patternを上書きし、プログラムが異常終了したらSDカードのスクリプトを実行するように変更しました。続いてSHEXでdbus-monitorを起動して異常終了させ、カーネルがそのスクリプトをrootとして実行しました。研究者は内部ストレージ全体をバックアップし、設定ファイルのタイムゾーンのオフセット値を書き換えて時計を合わせました。

03「rootを得た」を二つの軸に分ける

ISO/SAE 21434のTARAは、一つの脅威を二つの軸で別々に評価します。一つは攻撃がどれほど容易かを表す攻撃実現可能性、もう一つは成功した場合に安全・財務・運用・プライバシーに生じる影響です。リスク値はこの二つを合わせて決まります。root権限は攻撃の中間段階にすぎないため、それ自体には評価が付きません。

例として、VisualPro TARAに教育用の架空のヘッドユニットを一つ作成し、二つの車両アーキテクチャを仮定しました。アーキテクチャAでは、ヘッドユニットは車両ネットワークからデータを受信するだけです。アーキテクチャBでは、ヘッドユニットがゲートウェイを経由して車両制御ドメインにメッセージを送信できます。攻撃者はレンタカーやカーシェアの車を借りた人としました。この人物は車内に長時間とどまることができ、確認ダイアログも自分で押します。

04二つの弱点を組み合わせた攻撃パス

研究者の手法は、どれか一つの段階が欠けても成功しません。VisualProでは、このようなパスをANDゲートで描きます。脅威TH-1（連絡先・位置履歴のコピー）には二つのパスを設定しました。AP-1は、研究者と同様にファームウェアを解析してチェーンを見つけ出すパスです。AP-2は、公開された記事を見て手順どおりにたどるパスです。

二つのパスには共通の段階が一つあります。「車内でSDカードを挿し、確認ダイアログを承認する」です。確認ダイアログは、他人の車にこっそりSDカードを挿すような攻撃に対しては有効な防御です。しかし、攻撃者が運転席に座っている本人である場合には、何の役にも立ちません。レンタカーの利用者、中古車の購入者、鍵を預かった整備工場の従業員などがそのケースです。

05公開が実現可能性を変える

VisualProの攻撃ポテンシャル方式では、経過時間、専門知識、アイテムに関する知識、機会の窓、機器の五つの項目の点数を合計します。合計が低いほど攻撃は容易で、0〜13点はHigh、14〜19点はMedium、20〜24点はLow、25点以上はVery Lowです。

差を生んだのは機器やアクセス条件ではなく、知識でした。研究者がファームウェア解析とエミュレータ構築を経て見つけた道筋が一本の記事として公開されると、次の人は1日でそれをたどれます。脅威の実現可能性は通常、最も容易なパスに従います。VisualProもそのように集計し、TH-1の攻撃実現可能性を総合でHighと評価しました。最初のTARAにAP-1しかなかったなら、TH-1のリスク値は1だったはずです。研究の公開後にAP-2を追加したことで、4に上がりました。

06最も高いリスクは車両制御ではなかった

結果は直感とは少し異なります。リスク値が最も高いのはTH-1、すなわち以前の利用者の個人情報漏えいです。公開された手順だけで完結する攻撃であり、実現可能性がHighだからです。アーキテクチャBのTH-3は影響がSevereであるにもかかわらず、リスク値は3です。ヘッドユニットのrootまでは公開された手順で到達できますが、ゲートウェイがどのメッセージ形式を通過させるかを突き止めるには、機密情報と専用機器、そして専門家の時間が必要です。そのため合計は22点（Low）となりました。

だからといって、TH-3を後回しにしてよいわけではありません。そのパスの最初の段階はすでに誰でも実行でき、残る防御線はゲートウェイだけです。ゲートウェイのメッセージルールが漏えいしたり、別の研究で公開されたりすれば、TH-1と同じように実現可能性が一気に跳ね上がります。アーキテクチャAであれば、TH-3はそもそも存在しません。同じヘッドユニットでも、車両アーキテクチャが被害の上限を決めるのです。

07サイバーセキュリティ目標は共通の段階に設定する

目標は三つ設定しました。SG-1「出所が検証されていないリムーバブルメディアのスクリプトを実行しない」は、四つのパスすべてに含まれる段階を阻止します。元の機器はアップデートイメージには署名を要求していましたが、起動時に読み込むスクリプトは運転者の確認だけでroot権限で処理していました。SG-2は利用者が入れ替わる車両の個人データを、SG-3はアーキテクチャBのゲートウェイ境界を担います。SG-1が破られてもSG-2とSG-3が被害を抑えられるよう、目標を重ねて設定しています。

08自社製品に適用する五つのチェック

• リムーバブルメディアと診断入力の権限：SDカード、USB、診断ポートから入ってくるファイルを、どのプロセスがどの権限で処理するかを一覧にします。rootで処理されている場合は、その経路に署名検証があるかを確認します。
• 確認ダイアログを防御とみなせる条件：ユーザーの承認をセキュリティ制御として数える前に、承認する人物が攻撃者本人である可能性がないかを検討します。レンタカー、カーシェア、中古車、整備入庫中の車両が典型的な例です。
• 研究が公開されたらパスを追加：既存のパスのスコアを修正するのではなく、「公開後」のパスを別に追加します。知識、専門性、経過時間を評価し直せば、脅威の実現可能性は自動的に更新されます。
• ヘッドユニットの侵害を前提とした境界：まず、ヘッドユニットが車両制御ドメインにメッセージを送信できる構成かどうかを確認します。送信できる場合は、ゲートウェイの許可リストが最後の防御線になっていないかを確認します。
• 利用者が入れ替わる車両の個人データ：利用者の切り替え時に、連絡先と位置履歴が消去または暗号化されるかを確認します。この例で最も高いリスク値が現れたのがこの部分です。

09よくある質問