ネット家電に潜むセキュリティホール（2/2 ページ）

パスワードは設定されないものである

　ネット家電ユーザーがネットdeナビの利用する時、（自らセキュリティに配慮して）パスワードを要求する設定にするとの前提で設計すべきではなかった。家電を利用するときに、パスワード入力なんて面倒なことをしたいとは誰も思わないからだ。ユーザーはハイブリッドレコーダを「家電」として見ており、その実態が“インターネットにつながったコンピュータ”だとは意識していない。

　例えば、番組表情報サイトへのプロキシ経由でのアクセスが必要ならば、プロキシが中継するサイトを限定すべきだろう。情報提供サイトはあらかじめ判明しているのだから。もしくはRD内で動作しているWebサーバが送信するパケットを「TTL=1」にしたり、ローカルサブネット以外からの要求を拒否する設定にしておいてもいい。LANの外にパケットが出ないため、インターネットからRDにWebブラウザでアクセスできなくなるが、メールベースの予約は実行できる。

便利な裏技はあっという間に広がる

　東芝としては、RDシリーズをWebサーバとしてインターネットに公開し、インターネットから直接ネットdeナビを使うことを推奨していない。基本的に外部からは電子メールを使って予約したり、その確認を行うことという“安全な”方法を提供している。だから、わざわざ危険を冒すような使い方をするユーザーが悪いという見方もできる。

　しかし、ネットdeナビの便利な使い方として、インターネットから“も”利用可能なように、意図的に設計していたのではないだろうか。裏技的にインターネットからのアクセスも可能にしておくことで、“分かる人にはとっても便利”な使い方にしたかったのだろう（*3）。

　だがインターネットがなかった時代ならばともかく、便利な裏技はあっという間に広がっていく。当然、自分ではそうした使い方を思いつかないような初心者も、そこには含まれるだろう。“便利な使い方”としか考えていない初心者が、その危険性について意識しているとは考えにくい。

メーカー、ユーザー双方の意識改革が必要

　メーカー側も、今後はネット家電がインターネット経由で何らかの攻撃を受ける、あるいは攻撃に利用されることを意識していかなければならない。今回の例は、もしかするとそのための良い警告になったと言えるかもしれない。なにしろ、偶然とはいえ、初めて（？）ネット家電がサイバーアタックに利用されたのだ。各ネット家電ベンダーは、セキュリティホールのチェックを一層厳重に行うようになるだろう。

　もっとも、インターネットにさらされ続ける限り、十分に配慮した設計にしていても、何らかのセキュリティホールは生まれてしまうものだ。100％の保証を提供することは難しい。メーカー側に変化を求めるだけでなく、使う側もネット家電がコンピュータの一種であることを理解し、PCと同様にセキュリティに対する一定の配慮が必要であることを認識すべきだ。

　ネット家電の脆弱性に関しては、これまで声を上げる者はいても、具体的にどのような形で脅威が生まれるかというところまでは示されてこなかった。今回のような具体例が出たことで、ユーザーの側にもセキュリティ意識が高まることを期待する他ないだろう。

　その一方で、個人的には必要以上にネット家電に対するセキュリティ問題がクローズアップされることも危惧される。セキュリティに対するリテラシーが高くない人たちの間で、いたずらに“ネット家電は危ない”といった風評だけが広がっていく危険性は十分にある。例えば、新聞に小さく「ネット家電、ウィルス感染の中継地点に」などと書かれたら、一般の人はどう考えるだろうか？

　よく分からないものは危険に感じるものだ。そしてこうした“ネタ”は一般メディアから見れば、格好の話題になるものだ。

　大事に至る前の十分な対策、ネット家電とセキュリティ脅威の関係などの認知が進まないケースを想像すると、少々背筋が寒くなる。

*3　繰り返しになるが、東芝では「ネットdeナビ」を利用するに当たって外部（インターネット）からアクセス可能にすること自体を推奨していない。開発者の片岡氏自身、PCから「ネットdeナビ」でRD-Styleを操作するのは、あくまでも“閉じたネットワーク内”に限っているという。

この記事の著者