IoT時代のセキュリティ絶対防衛ライン

狙われた大量のIoTデバイス　なぜ攻撃される？　有効な対応策は（1/2 ページ）

公開 2019年07月16日 07時00分

更新 2019年07月16日 11時09分

著者

エリザベス・バイアー（DigiCert）

[ITmedia]

印刷する連載新着通知を受け取る

この記事はデジサートのWebサイトに掲載された「Scaling Identity for the Internet of Things」をデジサート・ジャパンが日本語訳、ITmedia NEWS編集部で一部編集し、転載したものです。

　近年、IoTデバイスへの攻撃が増え続けています。理由は台数が増えているだけではなく、IoTデバイスが攻撃に対して無防備で悪用されやすいためです。PCやスマートフォンはセキュリティを意識して使われるようになりましたが、それ以外の機器ではそうした意識が希薄になりがちです。

　ペットや子どもの見守りカメラ、テレビのレコーダー、ネットワークプリンタなどのネットワーク設定やパスワードをデフォルトのまま使っていませんか。これらは「早く使いたいから面倒なことは後で」と思いがちです。多くの人が「こんな身近な機器で、悪いことは起きないだろう」と油断していたのです。

　しかし、そうした認識は「間違いだった」と多くの人が思い知らされた事件がありました。2016年9月から10月にかけて、マルウェア「Mirai」がネットワークにつながった監視カメラなど、大量のIoTデバイスに侵入し、史上最大規模のDDoS攻撃を発生させました。Webサイトを閲覧するために必要なDNSサービスを提供する米Dynも攻撃されたため、海外ではNetflixやTwitterなどのWebサービスが使えない事態に陥りました。

　Miraiが大量のIoTデバイスに侵入できたのは、IoTデバイスの多くがセキュリティ設定をデフォルトのままにしていたからです。IoTデバイスは1台あたりの処理能力はそう高くなくとも、「ちりも積もれば山となる」で、大量の台数を使えば相当な攻撃力となります。

IoTデバイスへの攻撃が増加しているのはなぜか

　なぜIoTデバイスは攻撃されやすいのでしょうか。それはIoT機器のメーカーが製品のセキュリティを追求するよりも、製品の使い勝手や、いち早く製品を市場に出すことを優先していたからです。

　さらに、他人の機器を乗っ取るボットネットは感染対象を探すために絶えずネットをスキャンしています。研究者のロブ・グレアム氏は、わざと脆弱なデバイスをネットに接続し、攻撃を受けるまでどのくらいの時間がかかるかを試しました。すると、驚くべきことに、わずか98秒でMiraiのようなボットネットに感染しました。

　このように、IoTデバイスのセキュリティ対策は急務となっています。脆弱なIoTデバイスをネットに接続すると、たちまち攻撃を受けてしまいます。

　日本政府も事態を深刻に受けとめて、対策に乗り出しました。総務省と国立研究開発法人の情報通信研究機構（NICT）は、インターネットプロバイダーと連携し、IoT機器の調査や利用者へ注意喚起を行う取り組み「NOTICE」（National Operation Towards IoT Clean Environment）を19年2月から行っています。

　さらに総務省は電気通信事業法にもとづく省令を改正し、20年4月からIoTデバイスに不正アクセスを防止する機能を設けることを義務付けます。

IoTデバイスの急速な普及に、IDは拡張していけるのか

　IoTデバイスのセキュリティで具体的にどのような対策が必要でしょうか。ここでは認証とIDに焦点を当てます。認証とIDは、PCやスマートフォンで日常的に使われているように、通信の信頼性を守るための重要な要素です。

　しかしIoTデバイスは何十億から数千億の規模で急速に増加しています。インターネットのユーザー数増加とは桁違いの速さです。この速さで個体を識別するIDの暗号化技術を拡張し続けられる方法を見いだすことが課題となっています。

　米DigiCertのDan Timpson CTOは、セキュリティサイト「Security Ledger」への寄稿記事で「IoTはIDの課題を抱えている。それはIoT展開時に拡張可能な認証と暗号化ソリューションが欠如していることだ」と指摘しています。

　該当記事「Identity at Scale: how the Internet of Things will Revolutionize Online Identity（IDの拡張：IoTはどのようにオンラインのIDを革新するか）」で、彼は公開鍵暗号方式という暗号技術を使った基盤（PKI）が提供する強力なIDが「オンラインのIDとセキュリティの核心である」と断言しています。

　PKIを使って発行されたIDはユーザーアクセス、保存データ、デバイスの通信や起動、ソフトウェア更新などあらゆるものを保護するために使えるからです。

次ページへ「IoTデバイスは暗号化の計算能力が不足している」は間違い

印刷する

SpecialPR

IoT時代のセキュリティ絶対防衛ライン

住宅、クルマ、ウェアラブルデバイス、医療、工場のオートメーションなど、あらゆるモノがインターネットにつながる「IoT：Internet of Things」時代が到来しました。生活にインターネットが密着し始めた今だからこそ、これまで以上にセキュリティに気を配る必要があります。この連載では、SSL／TLS証明書の電子認証局であるデジサートの専門家が、各業界が提供するIoT関連のサービスがどのような課題を抱えていて、どのような手法が対抗策として有効なのかをフラットな視点で伝えます。

連載新着通知を受け取る

この連載の記事をもっと見る