IoT機器の開発時のセキュリティ対策　ーセキュリティ特集　第五回

IoT社会が進む中で、叫ばれているセキュリティの問題。IoTNEWSでは、今週も国際政治（サイバー）研究家の足立照嘉氏が、様々な角度からセキュリティとサイバー攻撃に関して解説をしていく。

第五回ではIoT機器の脆弱性について開発者サイドとして何をすべきかについて解説する。

英国でおきた驚異の被害は、初歩的な課題から発生していた

2016年3月、英国では5300万台のスマートメーターにハッキングを可能とする重大な問題が発見され、システムを保護するために英国の諜報機関である政府通信本部（GCHQ）までもが介入することとなった。

どんな重大な問題だったかというと、各スマートメーターとそれらを操作する装置の間の通信は、暗号化されるように設計されていたにもかかわらず、各スマートメーターが送受信するデータの暗号を解読するためのキーが全て同じだったのだ。

このことによって、110億ポンド（≒1.5兆円）かけて英国内に張り巡らされた電力網が、悪意を持った攻撃者に破壊されてしまう危険性があるということが明らかになった。

また、本コラム第四回でも、ハードウェアであってもソフトウェアで動いているということを解説したが、多くのIoT機器では同様に保守・メンテナンスをするために、ソフトウェアの変更を外部から行なえる仕様となっているのだ。

しかし、このソフトウェアを変更する時に使う通信に、Telnet（テルネット）と呼ばれる暗号化を行わずに通信をする方式が採用されてしまっている製品が多いという問題があるのだ。

国立研究開発法人情報通信研究機構（NICT）によると、2014年頃よりTelnetを使った攻撃が増えているということだが、この攻撃の多くがIoT機器を狙ったものであることが予想できる。

ソフトウェアの変更ができるということは、悪意を持ったプログラムへの書き換えも可能だということも同時に意味する。

また、悪意のある攻撃者は、悪意のある設定を侵入したデバイスにしてしまえば、わざわざマルウェアなどを埋め込まなくても、通信の盗聴などが可能となってしまう。

そこで、米国国立標準技術研究所（NIST）の策定したガイドラインにおいても、ソフトウェアの改ざんをされないような対策を取ることが推奨されている。

つまり、前述のスマートメーターのように暗号を解読するためのキーが全て一緒であったり、そもそも暗号化自体がされていない機器が多く存在してしまっていることで、IoT機器は悪意を持った攻撃者が容易に侵入できてしまう脆弱性を抱え込んでしまっているのだ。

本コラム第一回では、IoT機器が乗っ取られることによって、何者かがIoT機器を遠隔操作し、映画に出てくるゾンビの大群のように押し寄せてくるサイバー攻撃の話題に触れた。

IoT機器が悪意を持った攻撃者に乗っ取られるまでの手法や事例を見ていくと、これまでインターネットサービスやアプリケーションなどに対して行われてきた攻撃手法と比較しても、悪意を持った攻撃者は必ずしも高度な方法を取る必要がない。

セキュリティ設計は設計段階から

スペインのITコンサルティング企業のCEOが、昨年のNATOのカンファレンスで発表した調査報告によると、利用者の約半数（48%）はIoT機器に必要なセキュリティが確保されていると思ってIoTを利用しているものの、開発者の90%は、必要なセキュリティが確保できていないと認識しているという、衝撃の事実が判明した。

それでは、IoT機器の開発者はどのようにセキュリティ対策に取り組んでいけば良いのだろうか？

まず、IoT機器の開発者がセキュリティ対策に取り組んでいくときは、設計段階からセキュリティ対策を前提として取り組んでいかなくてはならない。

なぜなら、設計時のセキュリティ対策コストを1とすると、開発時からセキュリティ対策を行うと6.5倍、テスト時からでは15倍、そして運用中のものに対しては100倍のコストが掛かってしまうと言われているからだ。

この考え方を、「セキュリティ・バイ・デザイン（Security by Design）」と呼んでおり、独立行政法人情報処理推進機構（IPA）などでも推奨されている。

そして、IoTのセキュリティについて考えていく際には、セキュリティ課題の解決を目的とした国際的なコミュニティであるOWASPが、2014年に公開した10大リスクとその対策がとても参考になる。

開発者の方は参照してみてほしい。