深刻な脆弱性まみれの大手メーカー自動車、Wi-Fi経由で乗っ取られる恐れ：明らかになった脆弱性の50％が「致命的」

コンピュータ化が進む現代の自動車。これを調査した結果、深刻な脆弱性が多数発見された。Wi-FiやBluetooth経由で車載ネットワークやECUが乗っ取られる可能性もあるという。

[Warwick Ashford，Computer Weekly]

　大手メーカーの自動車で見つかったサイバー脆弱（ぜいじゃく）性の半数は、標的にした自動車を攻撃者が完全にコントロールまたは一部コントロールできるほどのものであることが調査によって明らかになった。

Computer Weekly日本語版　10月5日号無料ダウンロード

本記事は、プレミアムコンテンツ「Computer Weekly日本語版　10月5日号」（PDF）掲載記事の抄訳版です。本記事の全文は、同プレミアムコンテンツで読むことができます。

• Computer Weekly日本語版　10月5日号：ビッグデータでよみがえるレンブラント

なお、同コンテンツのEPUB版およびKindle（MOBI）版も提供しています。

　サイバーセキュリティを扱う企業IOActiveが実施した調査によると、見つかった脆弱性のおよそ4分の3は簡単に悪用できるか、ほぼ確実に悪用できるものだという。

　この調査は、実際のセキュリティ評価と3年分のデータ、今も存在する脆弱性に基づいている。調査の詳細は、同社の「Commonalities in Vehicle Vulnerabilities」というホワイトペーパーにまとめられている。

　このホワイトペーパーには、一般的な問題についての分析やコネクテッドカーが直面するサイバーセキュリティの問題について考え得る解決策などが記載されている。また、2013年以降、IOActiveの自動車サイバーセキュリティ部門が実施し、実際の自家用車のセキュリティを評価したメタデータ分析も記載されている。

　IOActiveによれば、このホワイトペーパーは1万6000人/時分の共同研究とサービスから得た洞察と、公的に利用可能な研究から集めた洞察を組み合わせたものだという。

　このホワイトペーパーの重要な発見の1つは、明らかになった脆弱性の50％が「致命的」と考えられる点にある。また、自動車に及ぼす影響や規制違反の可能性から、「衝撃が大きい」ともいえる。この「衝撃が大きい」発見によって、部品、通信、データへの侵害が引き起こされ、自動車のコントロールが完全に、または一部失われる恐れもある。

　脆弱性の71％は、その脆弱性が現れる可能性が「中」以上に分類されている。

　運がよければ、攻撃者があまり苦労しないで悪用できるという程度で済むかもしれないが、最悪の場合はほぼ確実に悪用され、その脆弱性と悪用方法についての知識が周知のものになってしまうことを意味する。

　ホワイトペーパーでは、脆弱性の影響と確率を合わせて、「脆弱性の22％は致命的な状態にある。つまり、その脆弱性は特定や悪用が容易で、自動車に大きな被害を与える恐れがある」と述べられている。

　また、調査では脆弱性の27％がCAN（Controller Area Network）のアクセス権を得るために利用でき、攻撃者が攻撃に成功すれば自動車自体もコントロールできることが明らかになった。

　さらに、脆弱性の8％はエンジンコントロールユニット（ECU）を支配でき、1％はECUを停止させることもできる。こうなると、攻撃者は通常機能の全てを含むあらゆる要素をコントロールできるだけでなく、ECUに機能を追加できる可能性もある。

　脆弱性の55％はネットワークに関係する。これにはイーサネット、Web、モバイル、セルラー方式など、全てのネットワークトラフィックが含まれる。

　この調査によれば、攻撃者が標的にする可能性が最も高いのは、セルラー方式の無線機、Bluetooth、車両間（V2V：Vehicle to Vehicle）無線、車載診断装置、Wi-Fi、インフォテインメントメディア、ZigBee無線、コンパニオンアプリなど、データが自動車に入り込む部分だという。

問題のエンジニアリングと設計フロー

続きはComputer Weekly日本語版　10月5日号にて

本記事は抄訳版です。全文は、以下でダウンロード（無料）できます。

• Computer Weekly日本語版　10月5日号：ビッグデータでよみがえるレンブラント

■Computer Weekly日本語版 最近のバックナンバー

Computer Weekly日本語版　9月20日号　本気を出したGoogleはAWSに勝てるのか？

Computer Weekly日本語版　9月7日号　Microsoft対米国政府──判決は？

Computer Weekly日本語版　8月24日号　それでもAzureを選ぶべき理由