Bluetoothを使った在宅COVID-19検査の新たな欠陥により、誤った結果が出る可能性がある

セキュリティ研究者が、Cue Healthの家庭用COVID-19検査キットに、ユーザーが結果を偽造できるバグを発見した。

Cue HealthのCOVID-19検査キットは、Bluetooth接続による分子検査で、20分で陽性検体を判定できます。このシステムは、使い捨てカートリッジに挿入された鼻腔スワブを用いてコロナウイルスの検査を行い、電池駆動のCue Readerで分析します。結果はBluetooth経由で、検査を受ける人のスマートフォンのCue Healthアプリに送信されます。2021年3月、Cueのシステムは、在宅および市販薬としてFDAから緊急使用許可を取得した初のCOVID-19分子検査キットとなりました。

当時、FDAはCue Health社のCOVID-19検査に対する革新的なアプローチを称賛していたが、F-Secureの企業セキュリティ事業であるWithSecureのセキュリティコンサルタントであるケン・ギャノン氏は、検査結果を改ざんできる可能性のある欠陥を検査キットに発見した。

これは、Ellume社のCOVID-19ホームテストで同様の欠陥を最近明らかにした同じ研究者によって接続型COVID-19テストでセキュリティ上の脆弱性が発見された2度目であり、連邦政府の緊急承認権限に基づいて急いで市場に投入された検査キットの信頼性に疑問が投げかけられている。

この脆弱性（現在は修正済み）は、Cue ReaderがProtobufプロトコルを用いてBluetooth経由でCue Healthアプリと通信する方法に存在し、検査データは読み取りやすいデータブロックで提示されます。Readerによって生成されるデータブロックは、COVID-19検査結果が陽性の場合は「10 02」、陰性の場合は「10 03」で終わります。ギャノン氏は、これらの数字を操作することでデータを傍受・改ざんできるスクリプトを開発しました。結果の1桁を変更する、つまり「ビット反転」することで、ギャノン氏は陰性の結果を陽性結果に変更し、結果の有効性を証明する証明書を取得することができました。

「陽性結果を陰性に変更する手順は基本的に同じです。私がやったのと同じやり方を知っている人が結果を偽造しようとすれば、問題が発生する可能性があります」とギャノン氏は述べた。COVID-19の陰性検査結果は、米国への渡航を含む多くの活動の必須条件となっている。

「現時点では、これらのビットを反転させるには、ある程度のスキルレベルが必要です」とギャノン氏は述べた。「モバイルアプリのハッキングと、Cueのアプリ内でカスタムコードを実行するための十分な知識が必要です。しかし、Androidアプリのハッキングに関して私が常に懸念しているのは、ハッキングをカスタマイズして一般消費者が同じハッキングを実行できる可能性があることです。そのため、リバースエンジニアだけが理解して使用できる技術的な詳細とカスタムコードを意図的に公開しています」と彼は付け加えた。