アイキャッチ

日々の暮らしがネットに繋がる近未来…IoTのセキュリティ脅威と今後の動向【CEATEC】

  • このエントリーをはてなブックマークに追加

by [2014年10月15日]

 Internet of things(モノのインターネット)の登場により、インターネットはより日々の暮らしに密着することが予想されます。さらにクラウドファンディング・開発キットなどの手段が登場し、個人がネットワークデバイスの企画から開発、製造、販売までを行うことが可能になりました。
 ポジティブな側面のみが語られがちですが、こうした変化はどういったセキュリティ脅威を招くのでしょうか。アジア最大級の最先端IT・エレクトロニクス総合展「CEATEC JAPAN 2014(シーテック ジャパン)」にて行われた、株式会社シマンテックの兜森清忠氏による講演を取材しました。

車や家がネットに繋がるリスク

 予測する調査機関によって若干数字が異なるんですが、2020年には大体今の倍の機器がインターネットに繋がるでしょう。例えばエアコンやビデオデッキなどの家電がネットワークに繋がっていくということが考えられます。パソコンは画面が見えますが、IoTの機器は画面が見えない状態でも稼動するので、見えない部分で様々な脅威が生まれてくるのです。


 IoTで何ができるのでしょうか。カーナビの中に色々な情報が集まってきて、外部と通信するようになってくる、ということが言えます。スマホにカードリーダーを接続して、スマホのアプリがデータセンターと通信してクレジット決済をすることが考えられます。自動販売機もネットワークに接続することで、利用状況、在庫状況や時間帯に何が売れるかなどの情報がリアルタイムに得られます。ヘルスケアでは、家から病院が遠い方に対しての遠隔診断が行われてきています。次にガス・水道は、スマートメーターや温度調節がネットワークに繋がることで、メーターを監視・管理することが出来ます。スマートホームは横浜などで実証実験が行われていて、このようにありとあらゆるものが含まれているという状況です。

 最近ハッカーのコンテストで公開されたんですが、クルマの仕組みを分かった上でクルマを分解してある程度までいくと、内部に侵入できるんです。それを防ぐためセキュリティ対策をした場合、なかなかそれが出来ない。その理由としては、リアルタイム性が求められるからなんです。最近実証実験で、クルマとクルマがコミュニケーションするようなことを行っています。例えば、信号のない交差点にクルマが2台入ってきたとします。その場合、もし2台のクルマの位置情報を互いに知ることが出来れば、事前にスピードを落とすことが出来ます。ただその情報がリアルタイムで入ってこないとなると、衝突・事故に繋がってしまいます。セキュリティ対策を行うとレスポンスが遅くなって事故に繋がるので、そもそもセキュリティとして使えないことになります。こうした部分がセキュリティの課題です。

 リアルタイム性が求められないものとしては、スマートホームの中身が挙げられます。ただ、やはり個人情報をたくさん抱えることになるので、その情報だけは保護する必要があります。その際に考えるべきなのは、勝手に家の中のシステムに繋がるようなセンサーを防ぐことと、通信上のことでネットワーク上に流れるウイルスに感染しないようにすることです。その対策としてはウイルス対策ソフトなどになるんですが、このソフトはある程度情報をアップデートする必要があるんですが、これに関しては自らアップデートしなくてはならなかったり、再起動であったりという部分で難しいと考えています。最近では、ホワイトリスト型のウイルスソフトもあるのでその検討もあるんですが、製品自体にそれが組み込まれるかは不明です。

個人メーカー製のIoTを利用するリスク

 そして、個人がハードウェアを作ることが容易になり、個人メーカーが生まれている状況があります。基盤・モニター・光センサーのキットをアメリカでオーダーすると、大体1万円で購入できます。このキット自体が、はんだ付けいらずでコネクター付きなので、接続するだけである程度基盤が出来ます。さらにそのキットを提供する側で、3Dプリンタのイメージまでアップロードされているので、自分で3Dプリンタで印刷し組み立てて、製品化することができるんです。この部分に関しては、元々はマイクロソフトが開発した.NET Gadgeteerというツールがあるんですが、今はこれがオープンソースとなっているのでそれも比較的簡単に入手することができます。そして開発ツール自体もGUI(グラフィカルユーザインタフェース)が組み込まれていて、さらにサンプルコードもあるのでこちらも容易に開発することができます。

 最近では流通の仕方もAmazonを経由して販売することが出来るので、個人でメーカーのように試作機を作りながら量産・展開することも可能になってきています。その時に1番困るのが、セキュリティのところを何も考えずに機能重視で作ってしまうことです。それが流通・拡散してネットワークに繋がって、脆弱性またはウイルスが発生した部分がわからないという問題が発生する恐れがあるということです。

IoTに関連する4つのトレンド

IoTに関連するトレンドは、大きく4つに分けられます。まず1つは、IPv6です。今まではIPv4で家庭内のものは1段階内部のネットワークがあって、外部に出るときはグローバルのIPで出ていっていました。しかし、先ほどのクルマの相互接続のようにそれぞれのセンサー同士が対話するようなことも起こってくるのではないか、と思っています。その際には、やはりIPv6が1つのキーワードになるだろうと考えています。その次にセンサーです。センサーも段々高性能で小さくなり且つ安価になっているので、実装しやすくなりIoTが広がっていくと思います。後はビックデータです。通常、アプリを開発すると定型的なデータを設計・収集することになっているのですが、IoTのデバイスになると非定型的なデータを集めて解析することになります。最後に、ものを守るためのセキュリティを確保しなくてはならないことです。ビックデータはありとあらゆる情報が含まれているので、それぞれのセンサー情報を集めてくると個人の特徴が分かってきてしまうことになります。例えば電車の自動改札機で移動した人を計算すると、徐々に人が特定されていくので、そういったところからもセキュリティを考慮しなくてはなりません。


 実際のIoTは、4つのレイヤーで構成されています。センサー/デバイスに関しては、スマートメーターやスマホも対象になります。この部分で必要になるのが、役割としてはデータ生成と情報収集であって、必要なことはデバイスの認証が重要です。デバイスは、最初からパスワードが組み込まれていてそれが分かってしまうと、全部一緒のセンサーになっているということを考慮しなければなりません。またユーザー認証も同様です。あと、パソコンやサーバーで使われている証明書は有効期限が設定されています。デバイスは1度設置してしまって有効期限があった場合、どのように更新するかという問題が出てきます。また、ネットワークでは通信になるのでデータの暗号化と攻撃からの保護、センサーなどの監視が挙げられます。ネットワーク・セキュリティの監視もそうですが、そのような役割を担います。
 そしてITシステムでは制御と管理の他に、実際に不具合のあったソフトウェアの更新も挙げられます。IoTデバイスの難しさは、ソフトウェアの更新もあることです。センター側から更新しようと思っても、電源が入っていなくて通信できないこともあります。パソコンは自動アップデートや通知によって何らかのアクションを起こしているんですが、IoTのデバイスはモニターがないものもある難しさがあります。サービスでは、センターの仕組みとしてセキュリティが機能しているかが重要です。

デバイス増加により監視が難しくなる


 やはりマルチレイヤ・マルチテクノロジーで防御していかなくてはならないんです。デバイスのところでデバイス自体やセキュアなアプリケーションなどを考えていかなくてはならないですし、データセンターではセンター自体の保護や大量のデータが生成されるので、データが搾取・紛失しないような環境を作る必要があります。
 またネットワークレベルのところでは、ネットワークの分離や異常の検出などがあります。データセンターでの監視であればプロが見ているのですが、例えば自宅の中でIoTのデバイスをたくさん持ってそれぞれ色々なところで購入していた場合、監視することが難しいのです。自宅の中でルーターで言えば、ルーターが定期的にソフトウェアアップデートされているか、変なアカウントが作られているかどうか、などをチェックすることはなかなかありません。それと同じようなことが、どんどん増えていくということですね。

家庭におけるIoTの脅威動向

 監視カメラやビューモニターへのリアルな攻撃というのは、実際に起こっています。ビューモニターは自宅をリモートで監視するカメラなんですが、そのカメラがハッキングされたという情報があります。テレビ・自動車・医療機器への攻撃というのは実際に起こってはいないんですが、実証という形でハッカーのセミナーなどで報告されています。インスリンポンプを制御するデモや、自動車でもハンドル操作を遠隔で行っていることが挙げられます。
 スパムを送信する冷蔵庫が見つかったというニュースがありましたが、これは違うという判断をしています。W32というWindows系のウイルスが見つかり、自宅の中にIPアドレスを変換するルーターがあってIPアドレスが1つだったので冷蔵庫だ、という報道だったんですが、実際に冷蔵庫で使われていたOSと異なります。
 私はパソコンやサーバーのウイルス対策をしているシマンテックに所属しているんですが、それまではルーターのウイルスは監視していなかったんです。ただ、色々情報を集めてみるとルーターに搭載されているLinuxのウイルスが見つかったんです。このLinuxは1つのキーポイントで、IoTのデバイスで利用されている多くがUnix・Linux系のものなんです。ですので、もうすでにルーターが乗っ取られているということは、IoTのデバイスも同じように感染すると考えています。そして感染した場合、周辺機器への攻撃などが起きてきます。あとは、ルーターを例に挙げるとIoTのデバイスも同様ですが、デフォルトのパスワードが問題になります。というのも、ルーターやサーバーなどの初期状態のユーザーIDやパスワードをリスト化して集めているサイトがあります。それらの情報をもって、遠隔操作によってログインしようとすることが言えます。

 こちらは最新の動向として、Unix・Linux系での脆弱性を挙げているんですが、Bash bug脆弱性というものが今年の9月25日に公開されています。これは非常に危険なものです。Bash bugのBashというのは、SHELLといってコマンド処理をする機能なんですが、この機能に脆弱性があって、リモートから悪意のあるコマンドを打ち付けるとそれを実行してしまうものです。これはSSHというコマンドで接続することや、WebサーバのCGIを利用することでリモートからコマンドを簡単に実行できます。例えばここに、ファイル全部削除などのコマンドを入れて流されると機器自体が破壊されてしまいます。IoTの機器も同様に破壊されることもありうるので、色々なところに影響を与えていると思われます。かなりのコードがネット上に公開されているので、この部分は気をつける必要があります。

IoTの脅威トップ10

 次に、網羅的にどのような脆弱性を考えればいいかをお話します。OWASPという団体がIoTの脅威としてトップ10を挙げています。

 まずはWebインターフェースの脆弱性です。これは内部・外部のネットワークからのWebアクセスになるんですが、よく内部からしか使わないから安全だという話を聞きます。しかし、内部・外部両方からアクセスできるという前提で実行すべきだと考えます。この脆弱性が、認証のデフォルト値を使っていたり、通信の盗聴をされることによってアカウント情報などが搾取されることになります。アカウントのリストを作られていることと、そのときにロックアウトの機能がないことが致命的になります。ユーザーIDが分かってパスワードがわからないけれども、パスワードを試行錯誤すると。通常であれば、3回間違えればロックするような機能を入れていると立ち切れるんですが、繰り返し受け付ける状態になっているといつかは成功してしまいます。そのパスワードのクラッキングのツールなどもネット上に転がっているので、悪用されやすいです。これらの脆弱性は、ツールを使って簡単に見つけられるものなのでハッキングされやすい、と言えます。もしハッキングされた場合、データ漏洩や破壊、サービス停止が起きることになります。

 そして2つめの認証と認可なんですが、脆弱なパスワードの設定になっていることとパスワードの復旧機能がプアであるということです。他のところであったのが、パスワードを忘れたということで再発行した際に生年月日だけ入れて再発行してくれるというのがあると、その画面応答だけだと何回もリトライすることでそのうちパスワードを見破られてしまいます。そういった仕組み自体も頑丈に作る必要があります。これらの情報もツールなどで簡単にテストできます。影響としては、サービス停止や機器の乗っ取りに繋がります。機器の乗っ取りというのは、乗っ取られているかどうかわからないので非常に恐ろしいです。ご家庭で通信機器をモニタリングしているということはないので、密かに潜んでいる場合にはわからないということです。

 3つめはネットワークとサービスです。こちらは通常のサーバと同様のもので、まずは不要なサービスを立ち上げないことです。これが立ち上がっていると、そもそも利用しないサービスのためデフォルトのアカウント設定などが入っていると、リモートからログインされてしまいます。さらに使っていないという認識のままなので、アップデートすること自体考えないと思います。もしそのサービス自体にバグがあった際にパッチを手配しないということもあり、脆弱なまま維持されてしまう可能性があることが重要なポイントと言えます。

 通信の暗号化の欠如は、IoTの機器にとって重要になってきます。当然、ウェアラブルやヘルスケアの情報になると個人的な情報が流れるので、筒抜けになる可能性があります。暗号の強度も十分考慮して、構築する必要があります。あとはWi-Fiを利用する際に、Wi-Fi自体の暗号を使わないような通信になっていることもあるので、そこも暗号化強度を十分考慮する必要があります。これらの対策をしない場合、データ・ユーザー情報漏えいに繋がっていきます。

 それとプライバシーに関することなんですが、複数の攻撃を使って情報を収集しようとすることが言えます。データの設計自体やネットワークの設定ミスが無いよう適切に行って、プライバシーの問題になりうるものをきちんと保護することが重要になってきます。これはクローズドの部分でもそうなりますし、クローズドの部分できちんとやっていても複数の機械との連携によってプライバシーが関わってくるので、注意が必要です。

 クラウドインタフェースについては2つの切り口があります。まずは監視になる部分と、実際のユーザーのデータを管理する部分になります。この部分に関して、アクセスコントロールなどをきちんとしなくてはならない、ということになります。例えばナイキのウェアラブルデバイス『FuelBand』は、ユーザー側がジョギングしたときの情報がクラウド上に蓄積されるため、データが簡単に見られては困ります。実際にセンター側からサービスとしてデバイスを管理している場合、きちんと管理できるような通信や、インターフェースが脆弱ではないことが重要になってきます。

 モバイルのインタフェースでは、センサーからモバイルへ情報を収集するのですが、そのときも通信の暗号化を行うことが重要になってきます。この部分で重要なのが、推測可能な認証やユーザーリストによって晒されるということです。よって、モバイルインタフェースでセキュアでない場合、コネクションやパスワードリセット機能によって有効かどうかチェックされて、簡単にユーザーのアカウントを作られてしまいます。なので、ユーザーアカウントに対する耐性を作る必要があります。

 あとはセキュリティの設定です。アクセス権の設定に不備があった場合、そこに対して攻撃をかけられて情報が搾取されるということになります。ここでパスワードオプションの不備ということなんですが、パスワードオプションというのは、例えば8桁以上の文字列でパスワードを設定させることなんですが、これを指定しないと極端な話パスワードなしでもアカウントにアクセスできることになってしまいます。こうした細かなところもきちんと設定する必要があります。

 ファームウェアは、IoTではユニークなところです。実際に何らかのバグがあった場合、ファームウェアを更新することになるのですが、DNSを乗っ取られることによって本来のファームウェアを配布するところに接続できず、怪しいプログラムをダウンロードしてしまって、別のIoT機器が乗っ取られるということになります。ここの部分は実際には難しいのですが、IoT以外で実際に起きていることなんです。メディアプレーヤー系のソフトウェアのアップデートで実際に起こっているので、注意が必要です。

 あとは物理セキュリティです。IoT機器がモニターもないボックス上のものだったとして、物理的にUSBに接続してプログラムが実行されるような場合を考えなくてはなりません。USBに接続されることでプログラムが実行されて、逆アセンブルされるとそのIoT機器はかなりの脅威になるといえます。

これからのIoT


 次に、IoTの将来予測としてどうなっていくのかを考えます。
 IoTを有効活用するには、まずパーソナルデータが必ず出てきます。パーソナルデータの利活用が必須になって、多くのデータがデータセンターに集約されます。そして家電が、ホームネットワークとして接続されて遠隔操作されるようになります。この部分は少しスマートホームに焦点を当てていますが、クルマなどにも当然出てきます。例えばクルマにもセンサーが積まれて自宅に500mまで近づくと家に電気が点くようなことも可能です。こうしたことを可能にする時代が来たときに、どのような脅威があるかを考える必要があります。
 また、先ほど個人メーカーのお話もしましたが、企業が試作・検証をして製造・量産していた状況や製品化スピードが変わってきていることも脅威になります。計測したデータやパーソナルデータの居場所を考えながら、対策をしていきたいと思っています。

シマンテック
CEATEC JAPAN 2014

コメントは受け付けていません。

PageTopへ