一般消費者向けのモノのインターネット（IoT）機器は、必ずしもセキュリティ対策が万全とは言えません。購入者が痛い目に遭う前に注意を促すため、研究者らは代表的な機器のセキュリティ評価を行い、28点（Fランク）から100点までの点数を付けました。
同研究者らのサイト「yourthings.info」では、評価済み74機器のうち45機器のランキングを掲載しています。世の中に数万種類もある機器のうち、これは決して網羅的なものではありませんが、このプロジェクトの根底にある大きな狙いは、新しいIoT機器を自宅のネットワークに接続する前に、消費者が重要な問題を理解できるようにすることです。
「これらの機器を購入する多くの人は、リスクや、自宅に設置することに伴うについて十分に理解していません」と、ジョージア工科大学の大学院研究助手であるオマール・アルラウィ氏は述べています。「私たちは、試験した機器のセキュリティ格付けを提供することで、知見を提供したいと考えています。」
インターネット接続機器の脆弱性
音声で操作するパーソナルデジタルアシスタントは、家庭で使われる最も一般的なIoT機器の一つですが、適切に設置されていない場合、接続先の家庭内ネットワークへの望ましくないアクセスを許してしまう恐れがあると、ジョージア工科大学電気・コンピュータ工学部の准教授でサイバーセキュリティ研究者のマノス・アントナカキス氏は警告しています。
「脆弱なIoTアプリがあれば、そのアプリにアクセスできる者は、個人情報にアクセスできるだけでなく、家の中に侵入して会話を盗み聞きすることさえ可能になります」と同氏は述べています。「家庭内で、パーソナルアシスタントの近くに接続された機器があれば、それもアシスタントと相互作用し得ます。機器上で脆弱なソフトウェアが動作していれば、家庭内ネットワーク内で悪用される恐れがあります。」
問題の一つは、ほとんどの家庭内ネットワークがプリンターの共有のような単純な用途のために構築されているため、企業のエンタープライズシステムに見られるようなセキュリティ制御機能を備えていないことだと、電気・コンピュータ工学部の研究エンジニアであるチャズ・レバー氏は指摘しています。
「家庭内ネットワークは、保護が必要な多くのサービスを抱え、企業ネットワークに非常に近いものになりつつあります」とレバー氏は述べています。「しかし、一般の消費者がそれに対応できる状態にはありません。機器の監査やセキュリティ確保を行うITスタッフがいるわけではありません。これらの機器が出荷時点で安全でなく、簡単に安全性を確保する方法もなければ、家庭が新たな攻撃経路にさらされる恐れがあります。」
リスク評価
消費者に役立つ助言を提供するため、研究者らは機器のセキュリティ構成要素を分析するための枠組みを開発しました。IoT機器のリスクを客観的に評価する初めての取り組みとされるこの研究では、機器自体、機器とクラウドサーバーとの通信方法、機器上で動作するアプリケーション、およびクラウドベースのエンドポイントを検証しました。
「機器上で動作するサービスが多いほど、その一部が攻撃に対して脆弱である確率は高くなります」とアントナカキス氏は述べています。「多くのサービスを提供することはマーケティングの観点からは魅力的かもしれませんが、複数のサービスがあれば、リスクは高まります。」
IoT機器に関する研究では、メーカーによってセキュリティに大きなばらつきがあることが分かりました。中には、小規模で知名度の低い企業が製造した機器の方が、大手企業の機器よりも高い性能を示したケースもありました。
「非常にセキュリティ対策の優れた機器も存在するため、他のメーカーはそうした模範的な機器から学ぶべきです」とアルラウィ氏は述べています。「良い面も悪い面も含め、あらゆる水準を目にしました。評価結果に驚かされることもありました。」
メーカーは消費者が機器を設置できるように製品を設計するため、これらのIoT機器は使いやすくなければなりません。しかし、使いやすさはセキュリティの敵となることがあります。その一例が、設置時に機器をネットワークに認識させ、通信を確立できるようにするUPnPというサービスです。
しかし、ネットワーク上で自らを知らせる機器は攻撃者を引き寄せる恐れがあると、レバー氏は指摘しています。「機器が自らの機能を伝えることは有益ですが、それによって脆弱性が生まれます。プロトコルの選択は、機器そのものだけでなく、機器が動作するネットワーク全体のセキュリティにも影響します。」
冷蔵庫にもパッチを
インターネットに接続された電球が長寿命であることは考えにくいものの、インターネット接続型冷蔵庫のような高価な家電製品はそうではありません。アントナカキス氏は、定期的なアップデートがなければ、これらの機器がセキュリティリスクになりかねないと懸念しています。
「理想的には、消費者が冷蔵庫にダウンロードして適用する必要のあるアップデートがあることを意識しなくても済むべきです」と同氏は述べています。「そうした更新は自動的かつ安全に行われるべきです。なぜ誰もが冷蔵庫へのパッチ適用方法を知っていなければならないのでしょうか？」
スロークッカーのハッキングという発想は一見滑稽に思えるかもしれませんが、これらの機器には発熱体があり、悪意ある者が温度を上げれば火災を引き起こす恐れがあります。攻撃は住宅所有者だけに影響するとは限りません。2016年には、Mirai（ミライ）ボットネットが、保護されていないインターネット接続型カメラ（その多くはベビーモニター）を悪用し、大規模な分散型サービス拒否（DDoS）攻撃を仕掛けたことで、インターネットの多くの部分が利用できなくなりました。
研究者らは、消費者への啓発に加え、時間の経過とともにセキュリティ動向を追跡することで、機器メーカーによるセキュリティの向上を促したいと考えています。
「技術面と政策面の両方での次のステップを促したいと考えています」とアントナカキス氏は述べています。「政策と標準を確立する必要があります。こうした機器すべてのセキュリティ水準を引き上げたいと考えています。まだまだ取り組むべきことは多くあります。」
ノースカロライナ大学チャペルヒル校のファブリアン・モンローズ氏も、研究チームの一員でした。
