多数のスマートホームにハッキングの恐れ

多くのスマートホームシステムに深刻な脆弱性があることがAV-Testの研究によって明らかになりました。ホームネットワーク内の情報の窃盗はおろか、ドアの鍵を開けられてしまう恐れもあるとされています。

smart

インターネットやコンピューターのセキュリティ関連ニュースを読んでいる人にしてみれば、特に驚くような話ではありませんが、スマートホームシステムの多くは構想や設計が不十分で、導入した家は深刻な脆弱性を大量に抱えることになります。

スマートホームとは皆さんがお考えになっているとおりのものであり、改めて説明する必要はないかもしれません（スマートフォン、スマートテレビ、スマートカーなどについて考えてみるとわかります）。コンピューター、スマートフォン、タブレットなど、比較的以前からあるネット接続型デバイスとともに、電化製品、冷暖房設備、照明、煙探知機、ドアロックなどがすべてホームネットワークに、さらにはインターネットに接続される家です。こうしたシステムによって、家の中の設備の監視や操作が外出先から可能になります。

少なくとも私が注目するようになってから、リサーチャーはスマートセキュリティシステムや、ネット接続機能を持ったドアロックや煙探知機（その他インターネットに接続するものすべて）のセキュリティホールを探し続けています。最近では、AV-Test.orgのリサーチャーが7種類のスマートホームキットのセキュリティ機能をテストし、そのうち4種が安全でないことが判明しました。

もちろん、7種類というのはかなり少なく、統計をとるのに十分なサンプル数ではないかもしれません。それでも、今回の研究で脆弱性が指摘されたシステムは、内部からの攻撃、場合よっては外部からの攻撃にさらされる恐れがあり、ホームネットワークやそこに接続されている機器、または家自体や家の中のものが標的になる可能性があります。

AV-Testが調べたスマートホームシステムは、eSaverのiConnect、EUROiSTYLEのtapHome、GigasetのElements、REV RitterのiComfort、RWEのSmartHome、Deutsche TelekomのQIVICON、HamaのXAVAX MAX!です。この中でハッキングや不正アクセスからの防御が十分であると判定されたのは、Gigaset、RWE、QIVICONのシステムだけでした。iComfortとtapHomeには内部からの攻撃に対する脆弱性があり、攻撃者に家の中に侵入されるとこのバグを悪用される恐れがあります。さらに深刻なのがiConnectとXAVAX MAX!で、遠隔地からの（家の中からでも）攻撃を受ける可能性があります。

機能セットは製品によって異なりますが、全体的に見ると、電気、冷暖房、セキュリティの制御システム、窓、ドア、部屋の監視システム、スイッチ付きコンセントの制御システム、照明、冷暖房、電気の切り替えシステムなどがあります。

大まかに言うと、攻撃者は接続されたシステムを操作して損傷させる可能性があるのです（冬に暖房を切って水道管を破裂させる、など）。

発生する可能性が一番高い攻撃は、スマートホームシステムの脆弱性を侵入口として利用し、ホームネットワーク内に保存された価値あるデータを手に入れようとする攻撃です

しかし、ほとんどのハッカー犯罪者はお金で動きます。そのため、発生する可能性が一番高い攻撃は、こうしたシステムの脆弱性を侵入口として利用し、ホームネットワーク内に保存された価値あるデータを手に入れようとする攻撃です。また、安全でないデバイスを乗っ取って、強盗に入ろうとしている家を監視するという目的も考えられます。知識が豊富な攻撃者なら、このような強盗をさらに簡単に実行できるように、ドアの鍵を開けてしまうかもしれません。AV-Testは、さまざまな接続型デバイスにランサムウェアを拡散できるという可能性もあり、これは攻撃者にとって魅力であると指摘しています。家全体の機能が停止してしまったら、身代金を払わないわけにはいかなくなるでしょう。

AV-Testが重点的にテストしたのは、デバイス間での通信が暗号化されているか、有効な認証が規定で要求されるか（Webアクセスや物理アクセスのパスワード）、遠隔地からの攻撃を受けやすいかどうか、でした。

Gigaset、RWE、QIVICONでの通信は常に暗号化されており、AV-Testは安全としています。iConnectの通信も暗号化されていますが、AV-Testによれば、その暗号化は簡単に迂回できる可能性があります。今回の研究で調査対象となった他の製品（iComfort、tapHome、XAVAX MAX!）には暗号化がまったく使用されていませんでした。

このように暗号化に対応していないということは、スマートホームでの通信を簡単にすべて傍受されてしまう恐れがあるということです。したがって、攻撃者はこうしたデバイスで送受信される情報を監視してコードを偽造し、デバイスの動作を操作したり、居住者が家にいるか外出しているかを推測したりできる可能性があります。

iComfortでは認証情報の入力が必要ないため、遠隔地からWebベースの攻撃をしかけられる恐れがあります。iConnectとXAVAX MAX!では、Webアクセス時には認証を求められますが、家の中からの物理的なアクセスには求められません。tapHomeでは、屋内での認証が必要となるものの、今回の研究で指摘されているように、暗号化機能がないことを考えると、この方法はあまり意味がありません。Gigaset Elements、RWE SmartHome、QIVICONでは物理アクセスにもWebアクセスにも認証が必要です（加えて、通信も安全に行われます）。

明るい話題も紹介しましょう。AV-Testは、こうした製品のメーカーが市場投入を急がず、時間をかけて確固としたセキュリティコンセプトを開発すれば、安全なスマートホームシステムを構築できる可能性は十分にあるとしています。またAV-Testは、こうしたシステムの購入を検討している人に、見るべき点をアドバイスしており、必ず認証を要求し、通信が常に暗号化されるシステムを選ぶように提案しています。

ヒント
新着記事をメールでお知らせします