JAPAN SYSTEMS Driving for NEXT NEW with Comfort and Convenience

IoT時代のセキュリティ② マルウェア"Mirai"の衝撃~後編

今回は第一象限のトピックです。

図3.png

第2回は、前回の続きとして、マルウェア“Mirai”がもたらした惨劇から、IoT時代のセキュリティの難しさについて、より深く考察して見ます。

なぜデフォルトパスワードを放置したのか?

第1回の最後で述べたように、そもそもなぜ、ネットワークカメラやNVRのパスワードをデフォルトのまま放置してしまったのでしょうか少なくともITに関わるベンダやユーザの常識では、「インターネットに接続される、何の防御もされていない機器のデフォルトパスワードを変更しない」というのは、もはやありえないどころか狂気の沙汰です。

実はこの問題を考えるヒントとなる事件が、2014年頃からネットで話題になっています。それは、「街角の監視カメラ映像を勝手に配信しているサイトがある」という事件です。(※1)
この事件ですが、以下の点においてMiraiの問題と本質的に同一です。

• ネットワークカメラのパスワードが製品出荷時のデフォルトのまま。
• そのカメラをインターネットから見えるネットワークに接続している。

なぜこんなことになってしまったのでしょうか?
筆者がこの一年、様々なベンダやメーカのエンジニアと話して導いた結論は、「業界が違うから、常識が違う」です。

例として、コンビニや街頭の防犯カメラについて考えて見ます。
防犯カメラはいつごろからメジャーになったでしょうか?かれこれ20年ぐらいは経つのではないかと思います。その頃のカメラと現在のカメラが根本的に異なる点が一つあります。それは、当時のカメラが、ネットワークカメラではなく、アナログカメラだったことです。

では、アナログカメラとネットワークカメラの違いは何でしょうか?画質とか解像度とか録画媒体などがよく取り上げられますが、より本質的な違いは次の点です。

アナログカメラ
• ケーブルを引き回しても遠くのデバイスや数多くのデバイスとは繋がらない

ネットワークカメラ
• イーサネットケーブル一本で、どことでも何とでも繋がる

アナログカメラは、一言で言えば「繋がらない」デバイスだった訳です。
この根本的な変化について、「JEITA監視カメラシステム専門委員会」の方も、「ネットワークカメラの『簡単に繋がる』という長所は、裏を返せば、『セキュリティ面ではアナログカメラより脆弱』という短所にもなる」ということを述べています。

では、実際にそれらを取扱い、現場に設置したベンダやエンジニアは、こういった機器側の根源的な変化になぜ気が付かなかったのでしょうか?
それを考えるためには、これまでカメラを設置してきたのはどの業界だったのかを振り返る必要があります。

これまで防犯カメラを設置してきたのは、ITベンダではなく、電気工事系や設備工事系のベンダでした。これら電気・設備系業界の視点で見れば、アナログカメラからネットワークカメラへの変化というのは、「工事がしやすくなった」「PoE(※2)で配線が楽になった」という変化です。

「デフォルトパスワードの変更が必要になる」変化だとは捉えられなかったでしょう。なぜなら、それまでのアナログカメラには、「パスワード」という概念がなかったか、繋がる範囲が限定的なので、「デフォルトパスワードの変更は、考えなくてもいい」ことだったからです。

つまり、『それまでとは異なるデバイスの本質的変化』と、『これまでの業界常識』という、「2つの歴史的背景」こそが、デフォルトパスワードを変更しなかった、根源的な原因だったのではないでしょうか。

ブラックボックス化するIoT機器への対処

さて、もう一つの感染条件であったBusyBoxについて、何か根源的な対策は可能でしょうか?例えば、「BusyBoxを使っている機器は一切使わない」という対策は有効でしょうか?

BusyBoxは、既に社会のあらゆるところで使われています。自宅警備用ホームセキュリティの端末、意外なところではドローンのOSにも使われています。一般ユーザには、そのデバイスのOSがBusyBoxかどうかを調べることさえ困難です。

ましてや、「それだけ使われている=それだけ利便性が高い」OSを、セキュリティだけを理由に排除することは大変難しいでしょう。逆説的に言えば、「互換性のない独自OSが乱立する世界、即ち、繋がりづらい世界に戻れるのか?」ということです。そう言った艱難辛苦を乗り越え、BusyBox以外のOSに代替できたとしても、そもそも今回の様に特権ユーザでログインされてしまったら、費やした膨大なコストと時間は元の木阿弥になってしまいます。

使わざるを得ない、という前提に立てば、「サービスビリティやメンテナビリティをどうやって確保するか」ということを考えるしかありません。そういった点で、「パスワードをファームウェアにハードコードする」というのは、気持ちはわからないでもないですが、やはりITと繋がる世界を知らない・想像できなかった結果と言わざるを得ません。

そのようなメーカに対して、ユーザ側に出来ることと言えば、「そういうメーカの製品は避ける」しか手がありません。そういった意味で、US-CERTのMiraiに対する予防策(Preventive Steps)にも、以下のような一文があります。

Purchase IoT devices from companies with a reputation for providing secure devices.
訳:「安全なデバイスを提供しているという評判の高い会社のIoTデバイスを購入する。」

新たに複合的な常識が形成されていく、ディジタル・トランスフォーメーション時代

ディジタル・トランスフォーメーション時代においても、テクノロジー自体は今までの延長線上の進化であり、漸進的な変化に過ぎません。しかし、その本質的な変化に着目すると、いわゆる「破壊的イノベーション」による、異なる価値観の混入がひっそりと起こっていたりします。

こういった「常識の異なる世界・業界」と一緒になって、セキュリティを維持・管理していくというのは、今後益々大変になるのは間違いないでしょう。そして、このような時代に求められるのは、技術の本質を見極めた上で、業界の垣根を越え、異なる常識を謙虚に注意深く学ぶ姿勢なのだと思います。

筆者プロフィール
鈴木 盛正(すずき もりまさ)
1987年日本ディジタル・イクイップメント(日本DEC)からITキャリアをスタート。
一貫してITインフラストラクチャの設計・構築・運用のプロジェクトマネージャ、コンサルタントを務める。
現在、当社にて近未来新規ソリューションの開発を担当。


※1:ITmedia 2016年1月21日
「世界中の監視カメラの映像をネット配信しているサイトが人気 無防備なカメラ設定に要注意

※2:PoE Power over Ethernetの略。1本のイーサネットケーブルで通信と給電を実現する規格とその対応デバイスを表す一般名詞。エッジデバイスへの電源ケーブル引き回しが不要になるので特に配線が楽。今のネットワークカメラの殆ど全てはPoE対応です。

Adobe® Reader®

PDFファイルの閲覧には、Adobe® Reader®が必要です。

Adobe® Reader®のダウンロード

お問い合わせ