本サイトの記事や画像はAIが公的資料や報道を整理し制作したものです。[続きを表示]ただし誤りや不確定な情報が含まれることがありますので、参考の一助としてご覧いただき、実際の判断は公的資料や他の報道を直接ご確認ください。[私たちの取り組み]
中国のSipeedが開発したKVMスイッチ「NanoKVM」は、接続したPCやサーバーをブラウザー経由で遠隔操作できる端末として、€30〜€60程度の手頃さもあって短期間で話題になった。ところがスロベニアのセキュリティ研究者が2025年2月に解析結果を公開し、基本設計の甘さと、仕様からは見えにくい機能の存在が重なっていたと指摘した。便利さの中心にあるはずの管理端末が、逆に弱点になり得る。
「触れる範囲が広い」機器ほど、初期設定の粗さが刺さる
KVM over IPは、対象機にソフトを入れずに画面と入力を扱えるのが強みだ。OSが起動していない段階でも操作できるため、障害対応や遠隔保守の切り札にもなる。一方で、端末側が侵害されれば「そのPCを丸ごと触れる」ことになる。安価な機器が一気に広がるほど、現場では設置場所やネットワーク分離といった運用の重みが増す。
研究者やコミュニティの報告では、初期ロットでの既定パスワードやSSHの扱い、Web画面のCSRF対策不足、盗まれたセッションを無効化しにくい点などが問題視された。さらに、ブラウザー側で使う暗号鍵が端末ごとに変わらず固定だったという指摘もある。導入の手軽さが、対策の「後回し」を呼び込みやすい構図が透ける。
「予期せぬ機能」と通信の癖、メーカーの説明が残した課題
解析で波紋を広げたのは、未記載のマイクが搭載され、SSH経由で動作し得るとされた点だ。加えて、DNSを特定のサーバーへ向ける挙動や、更新のために外部へ定期的に通信し、クローズドな部品を取得する流れも注目された。鍵情報の保存方法や更新ファイルの検証が弱い場合、途中で差し替えられる余地が残るとの見方が出ている。
SipeedはGitHub上で、使いやすさとのトレードオフがあったとしつつ、既定設定や実装の改善方針を示している。Tom’s Hardwareも、報告後に複数の問題が是正された経緯を伝えた。とはいえ、購入者側が「届いたら即安全」とは考えにくい。社内ネットに直結せず隔離して使う、認証情報を見直す、コミュニティ版のイメージを検討するなど、運用で埋める前提が当面の現実になりそうだ。
参考・出典
- Telefoncek.si • How I discovered a hidden microphone on a Chinese NanoKVM
- February report from researcher found Chinese KVM had undocumented microphone and communicated with China-based servers, but many of the security issues are now addressed [Updated]
- 中国製KVMにひっそりマイクが搭載されていることが判明、中国拠点のサーバーと通信している痕跡も
- Some security issues · Issue #270 · sipeed/NanoKVM
