2014年8月に開催されたセキュリティカンファレンス「Black Hat USA 2014」ではさまざまな分野の研究者が、IoTにまつわる新たなセキュリティ問題に言及し、自動車やスマートサーモスタット、衛星通信機器などがハッキングされる危険性を指摘した。

　セキュリティ分野の権威で、米In-Q-Telの最高情報セキュリティ責任者を務めるダン・ギア氏は「インターネットに接続するデバイスが次々と増えるのに伴い、インターネットの脆弱な部分が拡大しつつある」と警告した。ギア氏は自身の取り組みを紹介する中で「IoTデバイスを市場に投入する企業は、組み込みシステムに定期的にパッチを当てる必要がある」と強調した。それを実行できないのであれば、デバイスが機能を停止する“寿命”を組み込んでおくべきだという。

　さらにギア氏は「商業的に成功を収めたソフトウェアの現実をよく理解し、成功した製品に攻撃者が狙いを定めるとどうなるかという問題を深刻に捉えて賢く対処できるセキュリティ専門家が必要だ」と語った。しかしながら、セキュリティ分野で経験豊富な同氏でさえも、IoTを脅威に感じるという。

　「このカンファレンスで議論しているような規模で失敗した経験がある人はいない」とギア氏は語った。「あらゆるものを相互接続したら何が起きるかという問題に対して、それを深刻に捉え、賢く対処できる人がいないのが現状だ」

あらゆるものがハッキング対象に

　ギア氏の基調講演に続いて、Black Hatに参加した研究者たちは、ありとあらゆるものをハッキングするデモンストレーションを披露した。

　まず米Twitterのチャーリー・ミラー氏と米IOActiveのクリス・バラセック氏は、今日では自動車の操作に必要なほぼあらゆる機能（ブレーキ、ハンドル、エンジンなど）をコンピュータシステムで制御できることを示した。バラセック氏は米CNNのインタビューで、「自動車の車載装置はネットワーク化されており、外部から攻撃を受けると任意の装置を自由に操られる恐れがある」と語った。

　両氏のデモでは、低速で走行中の自動車に対して、ブレーキを利かなくさせたり、急ハンドルを切らせたりすることが可能であることが示された。両氏はさらに、本田技研工業をはじめ、米Dodge（米Chryslerの一部門）、独BMWなどの大手メーカーの自動車にも脆弱な部分が存在することを示した調査結果を公表した。その中でも、2014年型の「Jeep Cherokee」は“最もハッキングしやすい”と指摘している。

　ミラー氏とバラセック氏に自動車をハッキングされたメーカーの1社であるトヨタ自動車はこの調査について、「ハッキングするためには、両氏が物理的に車内に入り、車のメーターパネルの一部を分解して、直接的に配線を組み込む必要があったと聞いている」と批判する声明を発表した。プレゼンテーションで名指しされたもう1社のメーカーである米Ford Motor Companyの広報担当者によると、同社はハッカー対策を真剣に考えているという。

　ミラー氏とバラセック氏は「われわれの調査の目的はコンピュータシステムおよびその機能を自動車から取り払うことではなく、この問題にスポットライトを当ててメーカーの対策を促すことだ」と強調する。

　「面白い実験だったが、これらは深刻な問題であり、それが現実になる前に解決してもらいたい」とミラー氏はCNNの取材で語った。

　ミラー氏とバラセック氏は自動車が攻撃を受ける可能性を示したが、飛行機に関連する危険性の存在を示した研究者もいた。

　米Qualysで脅威情報担当ディレクターを務めるビリー・リオス氏は、米運輸保安局（TSA）が全米の空港に配備したセキュリティ装置に攻撃者がいとも簡単に不正侵入できることを示した。さらにリオス氏は、「米Rapiscan（X線検査装置メーカー）や仏Morpho（生体認証システムメーカー）などの企業は、技術者アカウントと関連パスワードを製品に埋め込む場合が多いことが分かった」と指摘した。

　リオス氏によると、Morphoの「Itemiser」（爆発物や麻薬を検知するスキャナ）の場合、技術者のパスワードが製品内でハードコードされており、このパスワードが変更されると装置が機能しなくなる可能性があるという。「インターネットに接続された社内の給与管理システムを利用するなど、この装置に侵入する手段は幾つかある」と同氏は指摘した。

　同氏と、同じくQualysのテリー・マコークル氏の調査の結果を受けて、米国の国土安全保障省（DHS）は2014年7月に「MorphoのItemiser 3 v 8.17には認証情報がハードコードされており、同装置がリモートから侵入される恐れがある」と警告を出した。カンファレンスに出席したMorphoの担当者によると、問題のItemiserは古いバージョンで、2014年末までに脆弱性を修正する予定であり、同社は製品のセキュリティを重視しているという。だがリオス氏は、新バージョンの「Itemiser DX」について（同氏はこの製品を購入できなかったが）、同じ欠陥が含まれているのではないかと疑っている。

　「今後、TSAはベンダーの製品に対して一層厳しいセキュリティ基準を適用する必要がある」とリオス氏は強調した。

　「TSAには現状を是正する力があり、またそうする責任もある」とリオス氏はBlack Hatのセッションで語った。「私は予算もなしに、ただ1人でノートPCを使って侵入できた。つまり、誰でも同じことができるということだ」と同氏は付け加えた。

　ハードコードされた認証情報は地上設備のセキュリティに影響するだけではない。米IOActiveの主席セキュリティコンサルタントであるルーベン・サンタマータ氏は、航空機や軍、航空宇宙業界などが軌道上の衛星と通信するのに利用する衛星通信（SATCOM）端末にも同じような問題があることを明らかにした。

　以前、この問題に関するホワイトペーパーを発表したサンタマータ氏は、調査した5社のメーカー全ての装置に認証情報がハードコードされていたことを発見したという。これらのメーカーは、英Cobham、米Harris、米EchoStar、米Hughes Network Systems、米Iridium Communicationsおよび日本無線である。

　このため、飛行機の通信や機内のWi-Fiサービス用に使われている「Cobham AVIATOR」などのSATCOM端末は攻撃者から不正操作される恐れがある。サンタマータ氏によると、Cobhamの担当者から聞いた話では、同社の装置がそうした攻撃を受ける可能性があるとすれば、それは誰かが装置に物理的にアクセスできる場合か、ネットワークの導入時の設定が間違っている場合に限られるという。

　サンタマータ氏は「私が試したハッキングが現実のシナリオで成功するかどうか分からない」としながらも、メーカーがこれらの問題を修正することを望んでいるという。

　「これらの脆弱性が存在するのは事実だ。ハッキングが可能かもしれないし、そうでないかもしれない。だが修正しなければならないことは確かだ」と同氏は述べた。

求められる対策

　一般に、Black Hatで紹介されるハッキング例は、実際よりも派手に見える場合もある。米Hewlett-Packard（HP）が最近公表した調査結果には、IoTのセキュリティ問題に関するデータが示されている。同社の調査によると、IoTデバイスの7割が何らかの攻撃に対する脆弱性を抱えている。ユーザーインタフェースを備えたIoTデバイスの6割は、クロスサイトスクリプティング（XSS）に対する脆弱性や認証が不十分といった問題を抱えていた。暗号化されたネットワークサービスを利用しているのはIoTデバイスの7割だった。

　こうした数字を背景としてセキュリティ業界も攻勢に出ているようだ。中でも意欲的なのが米Sonatypeである。同社のジョッシュ・コーマン最高技術責任者（CTO）は、公衆安全と人々の健康に影響を及ぼす可能性のある機器やシステムのセキュリティ向上を図る団体、I Am The Cavalryの共同創業者だ。

　I Am The Cavalryは2014年8月初旬、ミラー氏とバラセック氏の調査の対象となった企業を含む自動車メーカー各社に対し、業界とセキュリティ研究者との間のコラボレーションを求める公開書簡を送った。この書簡には、セキュリティのベストプラクティスを示した5項目のチェックリスト「Five Star Automotive Cyber Safety Program」をメーカーが採用するよう求めた提案も含まれる。同書簡は請願書として署名サイト、Change.orgに掲載され、300件以上の署名が集まっている。

　コーマン氏によると、セキュリティ業界がメーカー各社および政府と共同でIoTのセキュリティ確保に取り組むことが望まれるという。

　コーマン氏はAl-Jazeera America（アルジャジーラの米国向けニュース専門チャンネル）の取材に対して「デジタルインフラを設計、開発、配備する人々は、それが人間生活に与える影響についてもっと真剣に考えるべきであり、われわれはそのような状況を目指している」と語った。