組込機器の通信セキュリティ対策はもはや検討段階ではなく待ったなしの時代となりました。「通信セキュリティ」と言っても話題の分野が非常に広いのでどこから始めるか迷うところですが、組込機器を使うユーザの立場から見ると一番近い話題となりそうな「認証」から始めたいと思います。そして、その中でも今回は「とにかく安全なユーザ名/パスワードの設定が大事」という話です。
■ユーザ名/パスワードってそんなに危ないものなの？
組込機器を設定したり制御するために、普通はユーザ名/パスワードを組込機器に設定しておき、それを知らない第三者はアクセスできない状態にして運用すると思います。そんなこと当たり前と思っているユーザなら何の心配もないのですが、世の中セキュリティリテラシーの高い方ばかりではありません。実際、ユーザ名/パスワードを設定していない、出荷時のデフォルトから変えていない、比較的予測可能な内容にしている、といった組込機器がインターネットに置かれていることで、これまでこんな危険なことが起きています。・監視カメラ映像が世界中の誰でも見られる状態に！
Insecam(http://www.insecam.org/ ) というWebサイトをご存じでしょうか。インターネットにつながっている全世界の監視カメラで、ユーザ名/パスワードが設定されていなかったりデフォルトだったりするもののライブ映像を見ることができる恐ろしいサイトです。日本では執筆時点で570台以上のカメラが登録されています（米国の約1110台についで世界第二位の数です！）。だいたいは道路状況や河川状況など比較的公共的なものなのですが、ときどき家庭、オフィス、店舗内部のライブ映像もあります。「第三者への情報の流出」という点で危ない例です。
・IoT機器がDDoS攻撃の片棒を担がされる！
2016年にはインターネット上のIoT機器をターゲットにしたマルウエアMiraiが大きな問題になりました。Miraiが侵入してしまった大量のIoT機器が、被害者となるサーバに一斉にアクセスする形でDDoS攻撃の片棒を担がされるわけです。IoT機器の設定ページにデフォルトやありがちなユーザ名/パスワードを使ってアクセスし、成功するとMiraiが仕込まれます。Miraiが侵入したIoT機器は、今度は自分が侵入者となってIPアドレスを変えながら次の侵入先を探す、というもので、「サイバー攻撃に加担させられる」という点で危ない例です。・家庭内LANがインターネットから丸見えに！
普通、家庭で使われているようなブロードバンドルータはインターネット側からは設定ページにはアクセスできない状態がデフォルトだと思います。家庭内LANに悪人はいないからと言って油断してはいけません。別の方法で家庭内LANのPCにマルウエアが仕込まれて、そこからルータの設定ページにデフォルトやありがちなユーザ名/パスワードを使ってアクセス、設定を書き換えてインターネットからのアクセスを許可するような攻撃パターンもあります。利用者から見ると普通にインターネットアクセスできる状態なので気づきにくく、「リソースへの不正アクセス」という点でも最も危ない例かもしれません。■組込機器メーカ側にもパスワード設定に関する責務がある！
この問題を視点を変えて組込機器メーカ側から見てみると、従来のように「ユーザが任意にユーザ名/パスワードを設定できる仕組みがある」だけでは済まなくなりました。従来電気的な基準が主に規定されていた技術基準適合認定に、新たにセキュリティ要項が追加されています。以下はその中でもパスワードに関する項目ですが、乱暴に言ってしまうと「安全なパスワードを設定しないとそもそも運用が開始できないようにしなさい」ということだと思います。
総務省「電気通信事業法に基づく端末機器の基準認証 に関するガイドライン(第２版)」（https://www.soumu.go.jp/main_content/000705080.pdf ）
■結論と次回予告
このように、組込機器といえども安易なユーザ名/パスワード運用は非常に危険であり、今は組込機器メーカ側にも安全な運用ができる機能の実装が求められています。ただ、どんなに安全なパスワードを設定したとしても、正しいユーザが組込機器にアクセスする際にパスワードを平文で送信してしまっては経路上で第三者が盗み見ていたら一発で流出です。次回は、認証の中でも秘密情報が第三者に流出しない公開鍵暗号を使った仕組みについて解説します。こんな感じで我々が組込機器の通信セキュリティで重要と考える要素を解説していきますので、「この点はどうなんだ？」のようなリクエストがありましたらコメントいただければと思います。
Cente：
https://www.cente.jp/
Centeに関するお問合せはこちら：
https://www.cente.jp/otoiawase/