IoTデバイスと化したテレビもロボット掃除機もコーヒーメーカーも、ハッキングの脅威にさらされている。そうした状況にあるからこそ、製品やサービスの提供者側にIoTセキュリティの実装が急務となる──。セキュアIoTプラットフォーム（SIOTP）協議会の年次の社員総会（2019年5月31日開催）に合わせて開催されたシンポジウムの特別講演と活動報告は、そうした課題をまさに感じさせるものだった。

ハッキングされたときのセキュリティリスクを考える必要性

特別講演では、IoTセキュリティのコミュニティであるIoTSecJPの村島正浩氏が「最新IoTサイバー攻撃の動向」と題して講演を行った。村島氏らは、自らIoTデバイスに対するハッキングの実験を通じて、脆弱性の発見からセキュリティ対策までの知見を得ている。村島氏の講演からは、様々なデバイスが脆弱性を含有しており、潜在的に外部からのハッキングの脅威にされられているというような状況が見えてくる。

「Bluetoothでスマートフォンと交信するコーヒーメーカーは、Bluetoothの脆弱性をつくことでパソコンからでも任意にコーヒーを抽出させられた。テレビをポートスキャンしてみたところ、テレビが“落ちる”ことがわかった。そのテレビからは、その後OSコマンドを実行できるバックドアも見つかった。ロボット掃除機をハッキングして、スマートフォンと掃除機の間の通信をパソコンで再現する試みをしていたときは、起動したロボット掃除機がパソコンに衝突して、パソコンがクラッシュする被害が発生した」

村島氏が自らのハッキング体験を語っているとき、パソコンがクラッシュした「事故」の話題で会場が笑いに包まれることはあっても、そこには悲壮感はないように感じる。しかし、「ロボット掃除機がストーブを倒せば火事になるし、電子錠をハッキングすれば自由に他人の家に侵入できてしまう。機器の内蔵カメラから私生活を漏洩させたり、電源電圧の設定変更で火事を引き起こしたり、ドローンを不正に制御して墜落させて危害を及ぼしたりすることも可能だ。そのドローンが爆弾を積んでいたらどうなるだろう。さらにマルウエアがDNS経路を改ざんしてフィッシングサイトに接続させるといったリスクもある。IoTでは、デバイスがネットワークと接続されたときのセキュリティリスクを考えることが必要なのだ」（村島氏）。

IoTセキュリティで、何が今求められているのかということに対して、村島氏は「品質」と言い切る。「提供した製品が多様な観点で指摘される時代だけに、最後には品質を要求される。IoTセキュリティの観点では、出荷する前に製品のセキュリティを確保できる品質を担保してほしい」と語る。

そのためにはどのような方法があるのか。製品の脆弱性を発見する流れとして、村島氏はIoTデバイスのペネトレーション（侵入）テストの1つの手法を解説した。トップダウンの手法として、「第1にハードウエアの分析フェーズがあり、物理的なハードウエア制御を評価する。第2にファームウェアを取得して、認証鍵などの安全性を評価する。第3に無線プロトコルを分析、暗号化方式の確認などを行う。第4にモバイルアプリケーションのデータ保護や認証などを確認。第5にWebアプリケーションの側から、基盤となるプラットフォームが安全に構成されていることを確認する。そして第6にクラウドサービスを診断する」（村島氏）。こうして侵入テストの対象を要件ごとに明確にすることで、製品に潜む脆弱性を見つけ、セキュリティ対策を施した「品質」の確保された製品やサービスを提供することにつなげる。

さらに村島氏は、「IoT電球1つでも様々な方法でハッキングされる恐れがある。アプリケーション、ネットワーク、ハードウエア、さらにはサービスを提供するサーバーもハッキングの対象になる。単純なIoTデバイスのハッキングの例を学ぶことからも、IoTデバイスの脆弱性を発見する際に見るべきポイントがつかめるだろう」と指摘する。

IoTデバイスのライフサイクルを通じたセキュリティガイドラインを作成

次いでセキュアIoTプラットフォーム協議会 仕様検討部会 座長を務める豊島大朗氏が、「IoTデバイスに求められるセキュリティ」と題して仕様検討部会を中心とした活動報告を行った。まず、セキュアIoTプラットフォーム協議会の現況として、年次総会時点で正会員42社、賛助会員20団体が参加し、国の施策と連携しながらIoTセキュリティの具体的な基盤づくりの方策を検討していることを説明した。

豊島氏は、「IoTデバイスは2021年に全世界で350億個といった予想があるように数が多く、すべてを認証しようと思うと認証側のサーバーが持たない。ライフサイクルが長く、再利用やリユースも考えた対策が必要という特性もある。またハードウエア側のリソースが限られていて高度なプログラムを実装できない課題もある。その上で、デバイスを利用している人にネットワーク接続していることやセキュリティに対する意識が不足している」と事故の機会が増加する理由を挙げる。そのうえで、「IoTデバイスが1億台もあると社会インフラへの影響や生命に関わる事故の怖れもあり、セキュリティリスクが重大なレベルにあることを認識してほしい」ことや「IoTデバイスはリモートに設置されることが多く、事故や踏み台にされていることに気づかないリスクが高い」ことを訴える。

そうした中で、注目すべき点として「電気通信事業法に基づく技術基準適合認定、いわゆる技適の変更が審議中であり、セキュリティ対策へも影響がある」ことを指摘する。変更案では、端末設備の接続に対するセキュリティ対策の要件として「アクセス制限機能の設定」「デフォルトパスワードの修正機能を持たせること」「ファームウェアの更新機能を持たせること」があると説明。これらの変更に対して、SIOTP協議会としても協議を進めているという。

仕様検討部会では、IoT機器のライフサイクルを通じたセキュリティ対策を施せるような、ライフサイクルマネジメントを前提にしたセキュリティガイドラインを作成している。「企画・設計」「開発」「製造」「量産」「運用」「廃棄」と、製品の長いライフサイクルを見据えた対策がIoTデバイスのセキュリティ対策には求められるとの知見である。それぞれのフェーズでの脅威をリストアップし、対策の基準を検討している段階だという。

さらにSIOTP協議会の2018年度のもう1つの活動として、会員企業や団体から収集したガイドラインの素案から、キーワードを抽出して「キーワードリスト」を作成する取り組みも進めている。「IoTセキュリティでは、登場する言葉が難しいので、平易な言葉で説明するキーワードリストを作成し、現在校正を行っている（総会開催時点）」（豊島氏）。

2019年度には、「収集したガイドライン要素から最終的にガイドラインを出すことが目標」（豊島氏）という。そこでは、網羅性、汎用性を高めるために、産業制御システムのセキュリティ国際標準規格である国際電気標準会議（IEC）の「IEC62443」を基準として、IoTセキュリティの補足をまとめる方針を定めた。

豊島氏は、「IEC62443には、IoT機器に特化した項目や廃棄に対する基準はないなど、IoTセキュリティとは必ずしも一致しない。そこで、IEC62443の附則としてガイドラインをまとめようという考えが出ている。現在はIEC62443の勉強会を開催しているが、これだけでも興味深いことは多く見つかる。引き続き検討を進めて、今期末までにIEC62443をベースにした補足資料をまとめたい」と活動の抱負を語った。