Windows 11のBitLocker保護を完全回避する危険なゼロデイ攻撃が発覚#
**Windows 11ユーザーの皆さんに緊急のセキュリティ情報をお届けします。**デフォルト設定のBitLocker暗号化を数秒で突破する深刻な脆弱性「YellowKey」が公開され、企業や政府機関での情報漏洩リスクが急浮上しています。
この記事では、攻撃手法の詳細、影響範囲、そして今すぐ実施できる対策について、最新の技術情報を基に解説します。
要点まとめ：5分で理解できる重要ポイント#
攻撃の概要
- 攻撃名: YellowKey
- 影響範囲: Windows 11のデフォルトBitLocker設定
- 必要条件: デバイスへの物理アクセス
- 実行時間: 数秒以内
- 危険度: 極めて高い（完全な暗号化回避）
攻撃の流れ
- カスタムFsTxフォルダをUSBドライブにコピー
- 対象デバイスにUSB接続
- Ctrlキーを押しながら起動
- Windowsリカバリ環境でコマンドプロンプトにフルアクセス
発表内容の詳細解説#
YellowKeyエクスプロイトの仕組み#
研究者「Nightmare-Eclipse」により今週初めに公開されたこの攻撃手法は、Windows 11のデフォルトBitLocker配置を確実に回避します。通常、BitLockerは暗号化キーをTPM（Trusted Platform Module）という安全なハードウェアに保存し、ディスク内容を保護しています。
攻撃の核心はカスタム作成されたFsTxフォルダにあります。このフォルダは、Microsoftが「transactional NTFS」と呼ぶ機能に関連しており、ファイル操作における「トランザクション原子性」を開発者に提供するものです。
実際の攻撃手順#
攻撃手順は驚くほど単純です：
- 準備段階: カスタムFsTxフォルダをNTFSまたはFAT形式のUSBドライブにコピー
- 接続: USBドライブをBitLocker保護されたデバイスに接続
- 起動操作: デバイスを起動し、即座にCtrlキーを押し続ける
- リカバリ環境へ: Windowsリカバリに入る
通常のWindowsリカバリフローでは、攻撃者はBitLockerリカバリキーの入力が必要です。しかし、YellowKeyエクスプロイトはこの保護機能を完全に回避してしまいます。
技術的メカニズムの分析#
Tharros LabsのシニアプリンシパルバルネラビリティアナリストであるWill Dormann氏の分析によると、この脆弱性には重要な技術的側面があります：
通常のWinREセッションでは、X:\Windows\System32\winpeshl.iniファイルが以下の内容でWindowsリカバリ環境を制御します：
[LaunchApp]
AppPath=X:\sources\recovery\recenv.exeYellowKeyエクスプロイトでは、USBドライブ上のTransactional NTFSが別のドライブ（X:）のwinpeshl.iniファイルを削除し、期待されるWindowsリカバリ環境の代わりに、BitLockerがアンロックされた状態でcmd.exeプロンプトが表示されます。
背景と意義：なぜ重要なのか#
組織への深刻な影響#
BitLockerは政府機関との契約を持つ組織を含む多くの企業で必須の保護機能です。この脆弱性により、これらの組織は以下のリスクに直面しています：
- 機密データの完全漏洩: 暗号化されていると思われていたデータへの無制限アクセス
- コンプライアンス違反: セキュリティ基準を満たしていない状態
- 信頼失墜: 顧客や取引先からの信頼低下
検証された脅威#
複数の研究者により攻撃手法の有効性が確認されています：
- Kevin Beaumont氏
- Will Dormann氏（Tharros Labs）
- その他の独立した検証者
実際の影響：ユーザー・業界への変化#
現在の状況#
Microsoft代表者は電子メールでの質問に対し、調査中である以外の回答を拒否しています。これは企業や個人ユーザーが、修正パッチの提供時期について不透明な状況に置かれていることを意味します。
即座に影響を受けるシナリオ#
- 紛失・盗難デバイス: BitLockerが有効でも、デバイスへの完全アクセスが可能
- 内部脅威: 物理アクセスを持つ悪意ある従業員による情報窃取
- 法執行機関: 法的手続きを経ずにデータアクセスが可能な状況
対策と回避方法#
推奨される即効対策#
1. PIN認証の有効化 多くのセキュリティ専門家が推奨する設定変更です。TPMからキーを取得する前にPINの入力を必要とすることで、この攻撃を防ぐことができます。
2. BIOSパスワードロック Kevin Beaumont氏が推奨する対策ですが、この特定の攻撃に対する保護効果については明確ではありません。
設定変更の重要性#
記事では、Windows 11のBitLockerデフォルト設定（TPMのみ）が長い間、多くのセキュリティ専門家によって不十分と考えられてきたことが指摘されています。
技術的な深層分析#
根本的な問題#
Will Dormann氏は重要な技術的疑問を提起しています：
「なぜ一つのボリューム上の\System Volume Information\FsTxディレクトリの存在が、リプレイ時に別のボリュームの内容に影響を与えることができるのか？」
この疑問は、BitLocker回避だけでなく、より根本的なシステム脆弱性の存在を示唆しています。
Transactional NTFSの役割#
この攻撃では、command-log file systemを内部で使用するTransactional NTFSが重要な役割を果たしています。Windows fstx.dllのコード分析により、FsTxFindSessions()関数が\System Volume Information\FsTxを明示的に検索することが確認されています。
今後の展望と注目ポイント#
Microsoftの対応#
現在Microsoftが調査中であることから、以下の対応が期待されます：
- セキュリティアップデートの提供
- デフォルト設定の見直し
- より安全な設定への移行ガイダンス
業界への波及効果#
- 企業セキュリティポリシーの見直し: デフォルト設定への依存からの脱却
- 暗号化製品の再評価: 他社製品への移行検討
- 物理セキュリティの強化: デバイスアクセス管理の重要性再認識
疑問解決：よくある質問への回答#
Q: この攻撃は遠隔から実行できますか？ A: いいえ。物理アクセスが必要です。
Q: PIN設定で完全に防げますか？ A: ソース記事によると、TPMのみの設定で発生する問題のため、PIN認証により防止できると考えられます。
Q: 他のWindowsバージョンも影響を受けますか？ A: 記事ではWindows 11のデフォルト設定に特化した攻撃として説明されています。他のバージョンへの影響については詳細は元記事を参照してください。
まとめ：押さえておくべき3つの要点#
即座のリスク認識: Windows 11のデフォルトBitLocker設定は現在、十分な保護を提供していません
緊急対策の実施: PIN認証の有効化など、より強固な認証方式への変更が必要です
継続的な情報収集: Microsoftからの公式アップデート情報を注視し、提供され次第迅速に適用することが重要です
企業のIT管理者や個人ユーザーは、この脆弱性を深刻に受け止め、適切な対策を講じることが急務となっています。
出典: Zero-day exploit completely defeats default Windows 11 BitLocker protections
