Chaos Computer Clubの年次会議で、ハッカーのトーマス・ランバーツ氏がWindows 11の暗号化技術BitLockerに関する衝撃的な脆弱性を発表した。2022年に技術的修正が施されたはずの「CVE-2023-21563」が、実際には依然として悪用可能であると判明。旧バージョンのWindowsブートローダーとLinuxを使用し、ネットワーク接続を介した攻撃で暗号化キーを抽出可能であると示した。

Microsoftはこの問題の根本的な解決を先送りしており、Secure Boot証明書の更新は2026年以降の予定。現状、ユーザーに求められるのは、自身でPINを設定するかネットワーク接続を制限する対策のみである。この脆弱性は一般的なユーザーに直接的な危険を及ぼすものではないが、企業や政府機関には重大なセキュリティリスクとなる可能性が高い。

Chaos Computer Clubが指摘したBitLockerの構造的問題

Chaos Computer Club（CCC）は、ヨーロッパ最大規模のハッカー集団であり、サイバーセキュリティ問題の最前線で活動している。今回の会議ではトーマス・ランバーツ氏が、Windows 11のBitLocker暗号化が持つ深刻な構造的問題について詳細に解説した。

この問題の中心にあるのは、暗号化キーがシステムメモリに保存される仕組みだ。旧バージョンのWindowsブートローダーをSecure Bootで起動し、ネットワーク経由でキーを抽出する手法は、Microsoftが提供した修正が実質的に機能していないことを露呈している。

重要なのは、物理的なデバイス分解や高度なツールを必要としない点である。この攻撃では、わずか1つのUSBネットワークアダプターと数分のアクセス時間があれば十分だとされる。こうした攻撃の容易さは、特に高度なセキュリティ対策が必須の環境では見過ごせないリスクを伴う。CCCが提起したこの問題は、技術的な修正だけでなく、暗号化技術そのものの設計を見直す必要性を強調するものでもある。

一方で、この問題が特定の条件下でしか発生しない点も重要だ。一般ユーザーの日常利用には影響が少ないと考えられるが、企業や政府機関が使用する環境では状況が異なる。BitLockerの構造的な限界を浮き彫りにしたこの指摘は、セキュリティ対策の再検討を促す契機となるだろう。

Microsoftの修正とその限界を探る

MicrosoftはBitLockerの脆弱性に対応するため、複数回のアップデートを実施してきた。しかし、トーマス・ランバーツ氏の発表によれば、これらの修正は根本的な解決には至っていない。その理由は、UEFIファームウェアの記憶領域制限や、旧バージョンのWindowsブートローダーの動作を完全に無効化できない現行のシステム設計にある。

現行のWindows 11における修正は、表面的なパッチに留まり、暗号化キーが抽出可能な状況を完全に排除できていない。ランバーツ氏が使用した手法では、Secure Bootによって旧バージョンの起動を防ぐべきところが、適切に機能していないことが明らかになった。この問題は、Microsoftが短期的な対処に終始している現状を反映している。

一方で、MicrosoftはSecure Boot証明書の更新を2026年以降に予定しており、それまではユーザー自身が追加のセキュリティ対策を講じる必要がある。この計画は、企業や重要機関がBitLockerを使い続ける場合、深刻なリスクとなる可能性を孕んでいる。

セキュリティ企業や専門家は、Microsoftに対し、より迅速かつ効果的な対応を求めている。これが単なるソフトウェアの脆弱性ではなく、暗号化技術全体の信頼性に関わる問題であることは否定できない。

ユーザーが取るべき対策とセキュリティへの意識

現在、Microsoftが抜本的な修正を提供するまでの間、ユーザーが自ら安全性を確保する必要がある。最も有効な手段は、BitLockerに独自のPINコードを設定することだ。また、ネットワーク接続をBIOSで無効化することで、この攻撃手法の重要な部分を遮断できる。これらの方法は完全な防御策ではないものの、一定のリスク軽減が可能である。

一般ユーザーにとって、この脆弱性が直接的な脅威となる可能性は低い。物理的なアクセスが前提条件であるため、日常的な利用環境での影響は限定的だ。しかし、企業や政府機関のようにセキュリティの重要度が高い場合、この脆弱性がもたらす潜在的なリスクは無視できない。USBネットワークアダプターを使用した攻撃が可能である点は、標的型攻撃において深刻な武器となり得る。

セキュリティの専門家たちは、こうした状況を受け、暗号化技術に対する一般の認識を高める必要性を指摘している。BitLockerに限らず、暗号化技術の限界を理解し、代替手段や追加の対策を検討することが求められるだろう。Microsoftが本質的な解決を提供するまでの間、ユーザーはより積極的に自己防衛に努める必要がある。