Starlink端末のハッキングが始まった

Oct 06, 2023

マット・バージェス

2018年以来、イーロン・マスク氏のスターリンクは3,000機以上の小型衛星を軌道上に打ち上げてきた。 この衛星ネットワークは、地球上のアクセスしにくい場所にインターネット接続を送信し、ロシアのウクライナ戦争中は重要な接続源でした。 業界の活況に伴い、さらに数千機の衛星の打ち上げが計画されています。 現在、他の新興テクノロジーと同様に、これらの衛星コンポーネントがハッキングされています。

本日、ベルギーのルーヴェン大学のセキュリティ研究者であるレナート・ウーターズ氏が、スターリンクのユーザー端末の最初のセキュリティ機能の一つである、人々の家や建物に設置されている衛星放送受信アンテナ（ディッシー・マクフラットフェイスと呼ばれる）を明らかにする予定だ。 ラスベガスで開催される Black Hat セキュリティ カンファレンスで、Wouters 氏は、一連のハードウェアの脆弱性により、攻撃者がどのようにして Starlink システムにアクセスし、デバイス上でカスタム コードを実行できるようになるのかについて詳しく説明します。

衛星アンテナのソフトウェアにアクセスするために、ワウターズ氏は購入した衛星アンテナを物理的に取り外し、スターリンク アンテナに取り付けられるカスタム ハッキング ツールを作成しました。 このハッキングツールは、modchipとして知られるカスタム回路基板で、価格は約25ドルの既製部品を使用している。 Starlink ディッシュに取り付けられると、自家製プリント基板 (PCB) は、Starlink のセキュリティ保護をバイパスするために、障害挿入攻撃 (システムを一時的に短絡) を開始することができます。 この「不具合」により、Wouters は Starlink システムの以前にロックされていた部分に侵入することができます。

Wouters 氏は現在、攻撃を開始するために必要な詳細の一部を含むハッキング ツールを GitHub 上でオープンソース化しています。 「攻撃者として、衛星自体を攻撃したいと考えたとします。衛星と通信できる独自のシステムを構築しようとすることもできますが、それは非常に困難です。したがって、衛星を攻撃したい場合は、場合は、作業が容易になる可能性があるため、ユーザー端末を経由したいと考えています。」

研究者は昨年Starlinkに欠陥を通知し、同社は脆弱性の特定に対してバグ報奨金制度を通じてWoutersに報酬を支払った。 ウーターズ氏は、SpaceXは攻撃をより困難にするためのアップデートを発行したが（それに応じてMODチップを変更した）、同社がメインチップの新しいバージョンを作成しない限り、根本的な問題は修正できないと述べた。 既存のユーザー端末はすべて脆弱である、とワーターズ氏は言う。

Starlinkは、今日午後のBlack HatでのWouters氏のプレゼンテーションを受けて「公開アップデート」をリリースする予定だとしているが、公開前にそのアップデートに関する詳細を『WIRED』と共有することは拒否した。

ジェレミー・ホワイト

カリ・ジョンソン

ケイト・ニブス

エミリー・マリン

Starlink のインターネット システムは 3 つの主要な部分で構成されています。 まず、地表から約 340 マイル上空の地球の低軌道を移動し、地表への接続をビームダウンする衛星があります。 衛星は地球上の 2 つのシステムと通信します。1 つはインターネット接続を衛星に送信するゲートウェイで、もう 1 つは人々が購入できる Dishy McFlatface 皿です。 Wouters 氏の研究は、当初は円形であったこれらのユーザー端末に焦点を当てていますが、新しいモデルは長方形になっています。

Starlink が販売を開始して以来、同社のユーザー端末の分解は何度も行われてきました。 YouTube のエンジニアは端末を開いて、コンポーネントとその動作を公開しています。 Reddit で技術仕様について議論している人もいます。 しかし、以前にテスラのロックを90秒で解除できるハードウェアを開発したワウターズ氏は、端末とそのチップのセキュリティに注目した。 「ユーザー端末は間違いなく有能な人々によって設計されました」とワーターズ氏は言う。

ユーザー端末に対する彼の攻撃には、ディッシュのグリッチに使用できる現在オープンソースの回路基板を最終的に作成するまでに、複数の段階と技術的手段が含まれていました。 大まかに言えば、カスタム回路基板を使用した攻撃は、システムが正しく起動し、改ざんされていないことを証明するための署名検証セキュリティ チェックをバイパスすることによって機能します。 「私たちはこれを利用して、グリッチを注入するタイミングを正確に計っています」と Wouters 氏は言います。

2021 年 5 月から、Wouters 氏は Starlink システムのテストを開始し、大学の建物の屋上でダウンロード速度 268 Mbps、アップロード速度 49 Mbps を達成しました。 次に、デバイスを開く時が来ました。 「ヒートガン、こじ開けツール、イソプロピルアルコール、そしてかなりの忍耐」を組み合わせて、彼はディッシュから大きな金属カバーを取り外し、内部コンポーネントにアクセスすることができました。

直径 59 cm のフードの下には、カスタム クアッドコア ARM Cortex-A53 プロセッサを含むシステムオンチップを収容する大型 PCB があり、そのアーキテクチャは公開されていないため、ハッキングが困難になっています。 ボード上のその他のアイテムには、無線周波数機器、パワー オーバー イーサネット システム、GPS 受信機などがあります。 Wouters 氏は、ディッシュを開けることで、ディッシュがどのように起動し、ファームウェアをダウンロードするかを理解できるようになりました。

ジェレミー・ホワイト

カリ・ジョンソン

ケイト・ニブス

エミリー・マリン

MODチップを設計するために、Wouters 氏は Starlink ディッシュをスキャンし、既存の Starlink ボードに適合する設計を作成しました。 MODチップは既存のStarlink PCBにはんだ付けし、数本のワイヤを使用して接続する必要があります。 MODチップ自体は、Raspberry Pi マイクロコントローラー、フラッシュ ストレージ、電子スイッチ、電圧レギュレーターで構成されています。 ユーザー端末の基板を作成する際、Starlink のエンジニアは基板全体に「Made on Earth by human」と印刷しました。 ウーターズのモッドチップには「人間によって地球に不具合が生じた」と書かれている。

ディッシュのソフトウェアにアクセスするために、Wouters はカスタム システムを使用し、電圧障害注入攻撃を使用してセキュリティ保護をバイパスしました。 Starlink ディッシュがオンになると、一連の異なるブートローダー ステージが使用されます。 Wouters の攻撃は、ROM ブートローダーとして知られる最初のブートローダーに対してグリッチを実行します。ROM ブートローダーはシステムオンチップに焼き付けられており、更新できません。 その後、攻撃はパッチを当てたファームウェアを後のブートローダーに展開し、ディッシュを制御できるようにします。

「大局的に見ると、攻撃を試みることができるのは明らかで、署名検証とハッシュ検証の 2 つです」と Wouters 氏は言います。 この不具合は署名検証プロセスに悪影響を及ぼします。 「通常、ショートパンツは避けたいものです」と彼は言います。 「この場合はわざとそうしています。」

当初、Wouters 氏はブート サイクルの終了時 (Linux オペレーティング システムが完全にロードされたとき) にチップにグリッチを起こそうとしましたが、最終的にはブートの開始時にグリッチを引き起こす方が簡単であることがわかりました。 この方法の方が信頼性が高かった、とワーターズ氏は言います。 同氏によると、このグリッチを機能させるには、電源を平滑化するために使用されるデカップリングコンデンサの動作を停止する必要があったという。 基本的に、この攻撃はデカップリング コンデンサを無効にし、グリッチを実行してセキュリティ保護をバイパスし、その後デカップリング コンデンサを有効にします。

このプロセスにより、研究者はブート サイクル中に Starlink ファームウェアのパッチ適用バージョンを実行できるようになり、最終的にはその基盤となるシステムにアクセスできるようになります。 ワーターズ氏によると、研究に応じて、スターリンクは彼にデバイスのソフトウェアへの研究者レベルのアクセスを提供したが、研究にあまりにも深く入り込みすぎてMODチップを構築したかったため断ったと述べている。 (テスト中、彼は改造した皿をこの研究所の窓から吊り下げ、応急処置の防水システムとしてビニール袋を使用しました。)

ウーターズ氏によると、スターリンクはファームウェアのアップデートも発行しており、これにより攻撃の実行は困難になるものの、不可能ではないという。 この方法で料理に参入したい人は誰でも、多くの時間と労力を費やす必要があります。 この攻撃は衛星システムや接続を破壊できるほど壊滅的なものではないが、スターリンクネットワークがどのように運用されているかをさらに知るために利用できるとワウターズ氏は言う。

「私が現在取り組んでいることは、バックエンド サーバーとの通信です」と Wouters 氏は説明します。 Modchip の詳細を Github でダウンロードできるようにしているにもかかわらず、Wouters 氏は完成した Modchip を販売する予定はなく、パッチを当てたユーザー端末のファームウェアや、彼が使用したグリッチの正確な詳細を人々に提供する予定もありません。

ジェレミー・ホワイト

カリ・ジョンソン

ケイト・ニブス

エミリー・マリン

Amazon、OneWeb、Boeing、Telesat、SpaceX が独自の衛星群を作成し、打ち上げられる衛星の数が増加するにつれ、そのセキュリティに対する監視はさらに厳しくなるでしょう。 このシステムは、家庭にインターネット接続を提供するだけでなく、船舶のオンライン化にも役立ち、重要なインフラストラクチャでの役割も果たします。 悪意のあるハッカーは、衛星インターネット システムが標的であることをすでに示しています。 ロシア軍がウクライナに侵攻する中、ロシア軍ハッカーらはVia-Sat衛星システムを標的とし、人々のルーターをブロックしてオフラインにするワイパーマルウェアを展開したとされる。 ヨーロッパでは、5,000 基以上の風力タービンを含む約 30,000 のインターネット接続が中断されました。

「これらのシステムは重要なインフラストラクチャであるため、その安全性を評価することが重要だと思います」と Wouters 氏は言います。 「このような料理は非常に簡単に入手できるので、特定の人々がこの種の攻撃を試みることはそれほど突飛なことではないと思います。」

2022年8月10日東部時間午後5時更新：Wouters氏のカンファレンス講演の後、Starlinkは自社のシステムをどのように保護するかを説明する6ページのPDFを公開した。 「この攻撃は技術的に印象的なものであり、我々のシステムにおいてこの種の攻撃を認識したのはこれが初めてである」と論文では述べられている。 「私たちは、侵入的な物理的アクセスを持つ攻撃者が、その ID を使用して単一の Starlink キットに代わって悪意のあるアクションを実行できると予想しています。そのため、私たちは、より広範なシステムへの影響を制限するために、『最小権限』の設計原則に依存しています。」

Starlinkは、この攻撃にはユーザー端末への物理的なアクセスが必要であることを繰り返し、グリッチプロセスによって侵害されたセキュアブートシステムはその1台の端末にのみ影響を与えると強調した。 Starlink システム全体のより広範な部分は影響を受けません。 「通常のStarlinkユーザーは、この攻撃が自分たちに影響を与えることを心配したり、それに応じて何らかの措置を講じたりする必要はありません」とStarlinkは述べている。