Carrier IQ批判の高まり--その妥当性と問題点を検証

Declan McCullagh (CNET News) 翻訳校正: 川村インターナショナル2011年12月07日 07時30分
  • このエントリーをはてなブックマークに追加

 Carrier IQという新企業がほんの数日のうちに、公の場で異常なほどの中傷にさらされている。同社は複数の報道で、「皆をぞっとさせる」あるいは「諸悪の根源」の「ルートキットキーロガー」を開発したとして非難された。


 唯一の問題(このことは公開リンチに常に伴うリスクだ)は、Carrier IQが自社にかけられた嫌疑に関して潔白であると思われることだ。

 Carrier IQはベンチャーキャピタルの出資を受けた新興企業で、カリフォルニア州マウンテンビューに拠点を置き、通信事業者向けの診断ソフトウェアを開発している。Carrier IQに対する最も深刻な批判は、同社がキー入力を記録して通信事業者に送信しているというものだ。ある「Mac」関連ウェブサイトの記事は、「おそらくCarrier IQは、膨大な数の事例で米連邦盗聴法違反を犯した」と興奮気味に報じた。

 しかし、それは違う。Carrier IQがキー入力の捕捉、記録、送信を行ったという証拠は何もない。だが、それでもブログやTwitter上の自称私刑団(#OccupyCarriersで投稿した人もいるかもしれない)は攻撃の手を緩めなかった。

 非常に優秀なセキュリティコンサルタントであるDan Rosenberg氏(LinuxカーネルやFreeBSD、GNUユーティリティの脆弱性を100件以上発見した)は、自身の「Android」携帯電話からCarrier IQのソフトウェアのコピーを抽出した。同氏はその後、デバッガを使ってアセンブリ言語コードを分析し、内部を見ることができた。

 Rosenberg氏は米CNETに対し、「このアプリケーションは、キー入力データを記録して通信事業者に送信するようなことはしていない」と述べている。同氏のリバースエンジニアリングによって、「Carrier IQには実際にデータ収集目的でキー入力を記録するコードが含まれていない」ことが分かった。

 Carrier IQは、著名なセキュリティ専門家でTripwireやQualysなどの新興企業にアドバイスをしたRebecca Bace氏に、Carrier IQのエンジニアと話し内部文書に触れる機会を与えた(Bace氏は、Carrier IQと金銭面でのつながりはないと話している)。

  • このエントリーをはてなブックマークに追加