IoTデバイスを狙う脅威が進化する中、セキュリティは追いつけるか?

• IoT関連の侵害の報告は一般的になっており、そうしたリスクを管理するための取り組みも進んでいるが、これらの進展の中には、セキュリティ研究者の間で複雑な感情を引き起こしているものもある。

• データを収集するデバイスは、特にクラウド対応技術の普及に伴い、ますます一般的になっている。

• 継続的なセキュリティ上の問題に対処するために開発された新しいソリューションは、多くの場合、新たな、あるいは異なる問題を伴う。

モノのインターネット(IoT)デバイスは、最もセキュリティが脆弱な接続機器の一部であるが、私たちの生活の中で至る所に普及しつつもある。マッキンゼー・グローバル・インスティテュートは、推計していることによると、1秒ごとに127台の新しいIoT機器がオンラインになっている。CUJO AIによる調査データは、西洋の家庭におけるこれらの機器の大きな普及を示しており、一般的な消費者の家庭には、オンラインに接続可能なデバイスが最大20台ある。

接続機器が増え、5Gに対応したスマートシティ・ソリューションによって接続ポイントがさらに増えていく中、私たちはつながった生活を危険にさらしているのだろうか? この問いに答えるためには、まず、IoTの脅威の状況が静止したものではないと認識する必要がある。

永続的で変化しない脅威という神話

IoT機器が新たな種類のものとしてハッキングされたという記事が、ほぼ毎週のように出ている。新たな種類：インターネットプロトコル(IP)カメラ、ベビーモニター、電球、さらにはライフルまで対象になっている。

それでも、IoTに対する一般の認識はおおむね変わっていないものの、IoTセキュリティの状況は2010年以降大きく進展している。確かに、今も人々はVNCルーレット(無作為にデバイスへリモートアクセスを試みること)や、車のハイジャックを試みるなどしている。しかし大半の場合、IoT脅威に対する一般的なイメージは、メディアや注目を求めるセキュリティ研究者によって助長されている。衝撃的な見出しはクリックを集めるのだ。

実際には、10年にわたる脅威と意識の高まりによって、IoTセキュリティは方向転換を余儀なくされてきた。こうした変化の中には歓迎すべきものもある一方で、セキュリティ研究者の間で複雑な感情を引き起こしているものもある。

成長、データ収集、そして変化するセキュリティ上の課題

15年ほど前には、スマートな家庭用機器を見つけるのは難しかったが、今ではスマートでないものを見つける方が難しい。今日販売されているテレビの70%以上がスマート対応であり、「ダム」なテレビであっても、Rokuなどのスマートデバイスを通じてオンラインコンテンツを視聴できる。アナリストは予測している。インターネット接続機器の年平均成長率は、2023年までに11%になるという。

これらの機器の中には有用な機能を備えたものもあるが、スマートデバイスを開発する上での主要な推進力はデータ収集である。データ収集機能を備えたデバイスを、より低価格で販売するベンダーさえある。顧客のプライバシーは全く別の話題であるが、データ収集のための接続点が追加されることで、追加のリスク経路が生まれることに留意すべきである。簡単に言えば、接続されるデバイスの数に比例して、家庭内ネットワークがハッキングされるリスクが高まる。特にIoTデバイスの長い耐用年数を考慮すれば、なおさらである。

それでも、IoT業界では前向きな変化も起きている。IPカメラはかつて、開いたtelnetポートのような明白な脆弱性のために、悪名高いハッキングの標的となっていた。今日では、このような機器の多くはクラウド経由でのみ動作するため、攻撃はより困難になっている。通常、オープンポートや初期設定の固定認証情報を持たないため、より安全なのである。

クラウド接続は、解決策よりも多くの脅威を生む可能性がある

クラウド接続は全般的にセキュリティに有益であったが、IoT分野におけるデータ収集の重要な推進要因でもあることに留意する必要がある。また、クラウドサービスへの移行によって明白なセキュリティ上の問題が解決されたかもしれないが、新たな問題がほぼ即座に現れている。

デバイスがクラウドサーバーへのインターネット接続によってのみ動作できる場合、運用上のリスクが懸念となる。サーバーがダウンした場合はどうなるのか。近年、クラウドへの依存によって、多くのデバイスが機能しなくなっている。その対象はスマートペットフィーダーから、家庭用 温度制御や防犯機器にまで及び、玄関のドアベルや掃除機にも及んでいる。

クラウド接続を通じて、デバイスが大量に一斉にハッキングされることもある。ある研究者は有効なカメラIDを生成し、そのIDを使ってデバイスのログイン画面に接続し、所有者のパスワードを推測したり、認証を完全に回避したりすることに成功した。

IoTセキュリティは良好な慣行に依存しているが、多くの開発者は今でもこれを守っていない。標準的なユーザー名とパスワードの組み合わせは依然として一般的であり、パスワードの使い回しも同様である。悪意ある攻撃者はその情報を使ってIoTシステムを標的にできるため、システムやアカウントが脆弱なままになっている。このRingのドアベルで起きたことは、提供事業者が2要素認証を提供する前に発生した。CUJO AIの経験によれば、2要素認証は攻撃成功の可能性を大幅に下げる。残念ながら、すべてのIoTサービス事業者が多要素認証を提供しているわけではない。

集中化されたクラウドサービスへのハッキングは、犯罪者にとってより利益が大きい。クラウドカメラサービス事業者が侵害されると、ハッカーは事業者が運用するすべてのカメラにアクセスし、そのアクセス権を販売できる可能性がある。最近の15万台のハッキングされたVerkadaカメラの事例は、この種の侵害の好例である。

IoT脅威の状況におけるもう一つの動向は、ネットワーク接続ストレージ(NAS)のような、より価値の高いクラウド対応デバイスを標的とする方向へのシフトである。犯罪者はこれらのデバイスの脆弱性に重点を置き、それらを利用して、被害者の家族写真や動画などのバックアップを暗号化するランサムウェアをインストールしている。CUJO AI Labsのデータによれば、NASの普及率は全オンラインデバイスの約0.2～0.3%で安定しており、一般的ではあるが、広範に見られる標的ではない。

IoTの脅威とセキュリティの近い将来

接続機器の増加により、長らく先送りされてきたインターネットプロトコルバージョン6(IPv6)アドレスへの移行が迫られている。より多くのインターネットサービスプロバイダー(ISP)がIPv6をデフォルトで対応するようになると、IoTデバイスは私的ネットワーク上で動作するのではなく、インターネットに直接接続できるようになる。残念ながら、これらのデバイスの多くは、アンチウイルスやアンチマルウェアのソフトウェアを実行するには能力が不十分である。そのため、攻撃者がインターネットから直接これらのデバイスに接続する事例が増えると予想される。

ISPは、ゲートウェイ(ルーター)でこうした接続をブロックしたり、より優れたネットワーク監視ソリューションを導入したりすることができるが、どれだけのISPがそうする意思と能力を持つかは不透明である。こうした新たなIoT脅威がISPレベルで現れるかは、ごく近い将来に明らかになるだろう。ただし、インザワイルドのIPv6ボットネットに関する新たな研究記事の一部としてではないことを願う。