モノのインターネット
「The S in IoT stands for security（IoTの”S”はセキュリティの”S”）」。IoTにセキュリティ対策がほとんど講じられていないことを皮肉った言葉です。セキュリティエキスパートの間では、モノのインターネット（IoT）が長年にわたってジョークのネタになっています。有能なハッカーが集まるカンファレンスがあれば必ず、いわゆる「スマートデバイス」がどんな突拍子もない方法でハッキングされたかが話題になります。そんな状況なので、調査によってデバイスは実のところ安全であると結論づけられたりすると、皆驚いてしまいます。
リサーチャーは通常、IoTの脆弱性がどのように利用者を脅かすかに注目します。しかし一方で、スマートデバイスの脆弱性は、開発者にとっても脅威となり得るものです。データの漏洩や破損の原因となったり、インフラを故障させたりするかもしれません。また、デバイス自体が壊れたり、使い物にならなくなったりすることも考えられます。
Mobile World Congress 2019 (MWC19)で、Kaspersky LabのIndustrial Control Systems Cyber Emergency Response Team（ICS CERT）は、Motorica製のスマート義肢に関するレポートを発表しました（リンク先はいずれも英語）。
良い点から行きましょう。義肢自体のファームウェアからは、どのような脆弱性も見つかりませんでした。また、Motoricaのシステムデータは、義肢からクラウドへの一方向にしか移動しません。ということは、たとえば、装着されたスマート義肢をハッキングして、リモートからコントロールすることはできません。
しかし、詳しく調査してみると、義肢から取得したテレメトリデータを収集および保存するためのクラウドインフラでの設定に、いくつか重大な欠陥があることが明らかになりました。その欠陥を悪用すれば、ハッカーは以下のことができてしまいます。
- 全システムアカウント（ユーザーアカウントと管理者アカウントの双方）のデータへのアクセス。暗号化されていないログイン名とパスワードを含む。
- データベースに保存されているテレメトリデータの読み取り、削除、変更、新しいデータの追加。
- 新しいアカウント（管理者アカウントを含む）の作成。
- 既存のアカウントの削除または変更（管理者パスワードの変更など）。
- 管理者にDoS攻撃を仕掛けて、システムにログインできないようにする。
こうした脆弱性が原因となり、利用者データの漏洩や破損が発生する恐れがあります。それだけでなく、DoS攻撃が発生すると、ハッキングへの対応に要する時間が非常に長くなります。
当社のリサーチャーは検知した脆弱性をすべてMotoricaに報告し、発見された問題はこれまでにすべて修正されています。しかしながら、この勝利は、IoTの安全を保つための果てしない戦いのごく一部分に過ぎません。私たちには、以下の変化が求められています。
- 開発者は、よくある脅威を理解し、安全なコードを作るにあたってのベストプラクティスを知っておく必要があります。これは開発のあらゆる段階で欠かせません。システムの一部分を作成するときのエラーが波及して悲惨な結果をもたらしかねないことは、当社の調査でも明白です。
- スマートガジェットの開発元は、バグ報奨金プログラムを導入するべきです。脆弱性を発見し、修正するのに非常に効果的です。
- 開発中の製品は、情報セキュリティのエキスパートによるセキュリティ評価を受けるのが理想的です。
ヒント