ドライバーに衝撃：走行中のジープの乗っ取りに成功

高速道路を時速120kmで走行中のジープのハッキングに成功―そんな驚きの調査結果が発表されました。

jeep-cherokee-hacked-featured

あのコンビがまたやりました。数年前にプリウス（トヨタ）とエスケープ（フォード）に搭載されたシステムのハッキングに成功したセキュリティリサーチャー、チャーリー・ミラー（Charlie Miller）氏とクリス・ヴァラセク（Chris Valasek）氏が、今度はジープのチェロキーをハッキングしました。


今回の両氏の発表は、これまで以上に衝撃的な内容でした。車をリモートからハッキングする方法を発見したというのです。この実験でエクスプロイトが利きはじめたとき、「被験者」となっていたその車は、セントルイスのダウンタウンの外れを時速約120㎞で走行中でした。

「2人のハッカーがリモートからエアコンやラジオやワイパーをもてあそんでいる間、プレッシャーに耐える自分の精神力に我ながら感心していた。そのとき、彼らはトランスミッションを切り離した」

これはWiredの記事の一文ですが、高機能なコネクテッドカーの異常な動きを体験したドライバーの反応が赤裸々に語られています。運転していたのは、ジャーナリストのアンディ・グリーンバーグ（Andy Greenberg）氏です。この記事では、車のブレーキとアクセルのほか、ラジオ、クラクション、ワイパーなどのやや重要性の低い部品も乗っ取られたことが記されています。ミラー氏とヴァラセク氏は、エンターテインメントシステムの「Uconnect」をセルラーネットワーク経由でハッキングすることで、こうした機能をコントロール下に置いたのです。

クリス・ヴァラセク氏の言葉を借りましょう。「インターネット経由でどこからでもハッキングできるとわかったときは、びびった。震えたね。だって、国のど真ん中の高速道路を走行中の車だよ。その瞬間から、車のハッキングが現実味を帯びた」

幸いなことに、こうした課題への対策がまったく進んでいないわけではありません。OSのメーカーも自動車メーカーも、重要かつ必要不可欠なサイバーセキュリティ手段を実装しはじめています。もちろん、そうあるべきです！

残念ながら、これらの「重要なセキュリティの手段」はどれも不十分です。ソフトウェア大手のMicrosoftやAppleは何年もかけて、自社製品に対して効率的にセキュリティパッチを適用する方法を開発してきました。ですが、自動車業界にはそうした時間の猶予はありません。それに、車がハッキングされたのはこれが初めてではありません。まだ誰も取り組んでいないセキュリティ問題は、いくらでもあります。

他の車にも、同じような欠陥があると考えられます。ミラー氏とヴァラセク氏は、フォードやゼネラルモーターズなど、他のメーカーの自動車については検証していません。さらにミラー氏は「技量のあるハッカーなら、複数のUconnectのヘッドユニットの制御をまとめて奪ってさらにスキャンをかけ、Sprintのネットワーク上で他のダッシュボードへと感染を広げることが可能だ。コンピューターの乗っ取りの場合と同じだよ。その結果、無線制御が可能な、何千台もの車で構成される自動車ボットネットが構築されることになるだろう」と述べています。そんなボットネットがあったなら、テロリストの破壊工作や国家主導のサイバー攻撃を実施するのにうってつけの基盤です。

Kaspersky Labのグローバル調査分析チーム（GReAT）シニアセキュリティリサーチャーであるセルゲイ・ロズキン（Sergey Lozhkin）は、次のように述べています。「Kaspersky Labでは、そうした事態を回避するために、自動車メーカーは2つの基本原理を考慮して車のスマートアーキテクチャを開発するべきだと考えています。「分離」と「通信制御」の2つです」

「分離とは、2つのシステムが互いに干渉できないようにすること。たとえば、ジープのチェロキーのような形でエンターテインメントシステムが制御システムに干渉してはなりません。通信制御とは、車で送受信される情報に対して暗号化と認証を完全に実施すべきということです。ジープでの実験結果を見ると、認証アルゴリズムが脆弱か、または暗号化が正しく行われていないことがわかります」

業界レベルで車のセキュリティ問題が解決されるまで、バイクや馬…または旧来の技術を搭載した車への乗り換えを考えるのも一案です。少なくとも、こうした乗り物ならハッキングされません。ミラー氏とヴァラセク氏は、今回の調査結果を2015年8月開催のBlack Hatで発表する予定です。どんな講演になるのか楽しみです。

ヒント
新着記事をメールでお知らせします