ラックに聞くIoTセキュリティ - メーカーは設計段階でセキュリティを考えて

バリエーションに富んだIoT機器が市場に登場し、IoTのユースケースやメリットの認知も進みつつある。家庭、オフィス、工場などさまざまな場所でIoTの利用が広がりそうだが、セキュリティに問題はないのだろうか?

ラックでサイバー・グリッド・ジャパン　サイバー・グリッド研究所のチーフを務める渥美清隆氏は、「今のIoTの世界はWindows 95/98が使われていた頃のPCのような状態」と形容する。渥美氏に、IoTセキュリティの現状、そして機器メーカー、プラットフォーム提供者、ユーザーができることについて聞いた。

ラックサイバー・グリッド・ジャパン　サイバー・グリッド研究所チーフ渥美清隆氏

懸念が現実に、IoT機器を狙う攻撃は今後も増加する

IoTセキュリティは想定外の事象ではない。専門家は古くから警告を鳴らし続けてきた。そんな中、2016年にWebカメラなどのLinuxベースのIoT端末を狙った「Mirai」が大きく取り上げられるなど、懸念は現実のものとなっている。

渥美氏は状況を楽観していない。「この1～2年で数え切れないぐらい、IoT端末を狙った攻撃が行われている。今後も増えるだろう」と予想する。

傾向として、3、4年前に発売された機器が狙われているという。例えば、2013年にあるメーカーのブロードバンドルータの脆弱性を狙った攻撃が報告された。この脆弱性を突いてISPの契約情報が盗み出すというもので、攻撃者は盗んだ情報を悪用して乗っ取ることが可能になる。この攻撃については警視庁から発表が行われており、メーカーも告知したが、現在でも攻撃件数はゼロになっていないという。

IoT機器の問題は、PCにおけるWindowsアップデートのような手段がない点だ。つまり、脆弱性が存在した場合、放置されたままとなる。かといって、膨大な数の機器が出荷されており、個別に製品の脆弱性を指摘することも難しい。このようなことから、「フタを開けてみたら、脆弱性があるIoTデバイスが世の中にたくさんばらまかれており、攻撃者が自由に攻撃できる状況ができている」と、渥美氏は解説する。

IoTの攻撃は複雑 - 仕組みの脆弱性もある

IoTの場合、攻撃も複雑だ。PCを狙う攻撃とは異なり、ソフトウェアの脆弱性を悪用し、ネットワーク経由でサーバを攻撃するといった形態だけではない。IoT独自と言えるのが、「仕組みそのものの脆弱性」だ。

渥美氏は、温度を管理するセンサーとヒーターの両方がネットワーク経由で制御されているプラントを想定した次のような例を紹介する。

攻撃者がセンサーを攻略して「温度が低い」という誤った情報を流し続けると、ヒーターはそれに呼応して熱を出す。その結果、プラントの温度はどんどん上昇し、沸騰状態から圧力が上がりタンクが爆発するといった事項も考えられる。攻撃しているのはセンサーだが、実際の爆発が起こるのはタンクといったように、攻撃した場所とは異なる場所で問題が起こるわけだ。

「IoTを狙う攻撃の手法は多岐にわたる」と渥美氏は述べながら、視点を変える必要性も訴える。ITセキュリティで重要とされる機密情報は、IoTにはあまり関係ない。「IoTにおける問題は機密ではなく、動かなくなること」と渥美氏は述べる。

上記のプラントがその例だが、渥美氏は自動車の例も紹介する。コネクテッドカーでは、運転手がブレーキペダルを押すとセンサーがその量を計測し、アクチュエーターがブレーキを制御するが、このセンサーが攻略されるとどうなるか――センサーがデータを一切出さなくなると、運転手がブレーキペダルを踏んでも、実際にはブレーキがかからないという状況を作り出すことが可能になる。

これらは「実際に起こりうるリスク」と渥美氏は指摘し、「機密性と違うレベルにもリスクがあること、事故を起こすのが必ずしも攻略されたポイントではないこと」を知っておく必要があると語る。この点に合わせて、IoTではリスク評価も変わってくるだろうと予想する。