人の振り見て我が振り直す　ルーターの管理者パスワードは大丈夫？

　連日、ニュースで話題となっている情報漏えいの問題。対応のずさんさが課題となっているものの、果たして自分は大丈夫なのか？　と考えると、結構、見落としている点があるかもしれない。中でも、最近、標的となりつつあるルーターの管理者パスワードは要チェックだ。

ルーターが新たなターゲットに

　ここ数カ月の間に、家庭用のルーターが標的となった攻撃のニュースがすでに何度か話題となった。

・家庭用ルーターにログインを試みる不正プログラムに注意、初期パスワードは変更を（http://internet.watch.impress.co.jp/docs/news/20150330_695355.html）
・家庭用ルーターを狙って偽の警告文を表示する攻撃、ルーターの初期パスワードは変更を（http://internet.watch.impress.co.jp/docs/news/20150526_703860.html）

　幸いなことに、大きな実害には発展していないようだが、明らかに新しいターゲットを探すような動きは、PCやスマートフォンから、その周辺へと攻撃のターゲットが拡大していることの現れであり、IoT時代に向けた攻撃者の準備のようにも感じられる。

　ここ数年で、確かにPCやスマートフォンのセキュリティ対策については、それなりに意識が高まってきたが、今や身の回りにはルーターや無線LANアクセスポイント、NAS、ネットワークカメラ、ウェアラブル端末など、PCやスマートフォン以外の機器もあふれかえっている。

　これらの対策について、あまり考える機会がなかったというのは、実はとても恐ろしいことだ。

　もちろん、「卵かニワトリか」ではないが、具体的な攻撃の被害がなければ対策のしようもない、というのも事実だ。このため、ルーターなどの機器のセキュリティ対策を、と言っても、まだほとんど手つかずとなっていることも無理はない。

　しかし、大きな被害というのは、得てして「なぜそんな……」と思えるようなずさんな管理や意識の低さが、そもそもの原因であることが多い。

　ルーターのパスワードが「admin/admin」、「admin/password」などというのは、実際には山のようにある話であり、ウイルスやワームなどとしてPCやスマートフォンに潜り込んだプログラムが、これらを悪用しないと考える方が不自然だ。

　インターネットへの出入り口を統括し、LAN上の機器のIPアドレスやMACアドレスをすべて把握している、いわば門番が、いつでも敵の言いなりであるというのは、よくよく考えると、非常に危険なことと言えるだろう。

管理者パスワードが標準設定のままになっているルーターが、攻撃のターゲットになりつつある

パスワードは知られているものと思うべき

　それでは、実際にどれくらいのルーターが無防備な状態になっているのだろうか？　残念ながら、筆者は、それを調べることができないが、かなりの数が存在すると考えられる。

　と言うのも、回線事業者からレンタルで提供されるルーターや市販のルーターの多くは、出荷時設定で「admin/admin」、もしくは「admin/password」というユーザーIDとパスワードの組み合わせが使用されており、身近な例を見ても、これらを変更せずに使っているユーザーが少なくないからだ。

　以下は、主要な回線事業者のルーター、および市販のルーターの標準設定をリストアップしたものだ。

　NTT東西やauひかり、NECプラットフォームズのルーターに関しては、初期設定時にパスワードの設定をユーザーに強要するが、そのほかはadminやpasswordなど、よく知られた文字列で、中には認証すら必要ない製品すらある。

　デフォルトゲートウェイに対して、ユーザー名4通り×パスワード3通りでアクセスを試みればいいのだから、攻撃者にしてみれば総当たりなどというほど大げさなことすらする必要がないわけだ。自宅のルーターのパスワードは、秘密などでもなんでもなく、誰もが知っていると考えるべきだ。

　もちろん、前述したように初期設定時にパスワードを強制的に設定する機種も存在する。しかし、そこで同様に「admin」や「password」という文字列を設定すれば同じことだ。

　中でも注意が必要なのが、設定を代行してもらった場合だ。回線事業者や無線LANルーターの設定代行サービスなどを利用した場合、もしくは知り合いに設定してもらった場合、一時的に設定する意味で、これらの文字列が設定されることは珍しくない。

　「後で変更しておいてね」と言って、本当に変更してくれる人はなかなかいないものだ。友人、知人宅の設定を代行した経験がある人は、今後、相手が被害にあって文句を言われることを避けるためにも、自ら再設定のために足を運ぶべきだ。

ユーザー名も変更しておくとさらに安心

　管理者パスワードの具体的な設定方法については、各製品の取扱説明書を参考してほしいが、前掲の主な製品については、以下の設定項目から変更可能になっている（2015年6月時点）

無線LANルーターの管理者パスワード設定画面。簡単な設定なので、ぜひこの機会に変更しておくことをおすすめする

　注目は、パスワードだけでなく、ユーザー名も変更できる場合があることだ。ASUSやPLANEX、エレコム、アイ・オー・データ機器と、まだ数は多くないが、これらの製品では標準の「admin」を別のアカウントに変更できる。

　adminやrootなどのままでは、せいぜい数十通りの組み合わせにしかならないが、ユーザー名を変更しておけば、この組み合わせを飛躍的に増やすことができる。名前にする場合でも、フルネームにして文字数を増やすなど、ちょっとした工夫で強度を高めることができるので、可能な場合は必ず変更しておこう。

一部のルーターでは、ユーザー名も変更できる（画面はASUS RT-AC68U）

　肝心のパスワードだが、以下のサイトなどで安全なパスワード作成するためのヒントが提供されている。

・安全性の高いパスワードの生成（Microsoft Security）
https://www.microsoft.com/ja-jp/security/online-privacy/passwords-create.aspx
・より安全なパスワードを選ぶには（mozilla support）
https://support.mozilla.org/ja/kb/create-secure-passwords-keep-your-identity-safe
・安全なパスワードの作り方（McAfee Blog）
http://blogs.mcafee.jp/mcafeeblog/2010/05/1009.html

　海外からの攻撃なども考慮すると、日本語をうまく活用するといいだろう。例えば、「急がば回れ」などの覚えやすいことわざを「isogabamware」とローマ字にし、そのうち前半の「isogaba」の「i」を「1」に「s」を「$」に置き換える。後半の「maware」は最初の「m」を大文字の「M」にして、「a」を「@」に置き換えて、「1$ogabaM@w@re」とするといった要領だ。

　ただし、大切なのは、パスワードを使い回ししないこと。恐らくルーターへの攻撃は、直接ではなく、PCやスマートフォンを経由してLAN内部から行われることが想定される。このため、PC側などでパスワードが漏えいすると、そこからルーターも芋づる式に解読される可能性が高くなる。

　前掲の「より安全なパスワードを選ぶには（mozilla support）」に、サイトごとの使い分けの例が挙げられている。あまり単純だと、推測されてしまう恐れもあるので、一概におすすめしにくいが、ルーター用のパスワードには先頭や末尾に、記号と一緒にRouterを表す「rt!」やデフォルトゲートウェイを表す「:dgw」を付け加えておくというのも1つの方法だ。

セキュリティ機能を持ったルーターも

　より安全な環境で使いたいというのでれば、ASUSのRTシリーズのように、ルーター自身にセキュリティ機能が搭載された製品を使うのも1つの方法だ。

　トレンドマイクロの「Trend Micro Smart Home Network」という技術をベースにしたセキュリティ機能が搭載されており、ルーターの自己診断によって前述したパスワードの脆弱性などを自動的に診断することができる。

　この機能では、LAN上のPCやスマートフォンに対する攻撃をブロックすることなども可能となっている（詳細はこちらを参照）。

　ただし、このような市販のルーターを利用する場合に注意が必要なのが接続機器の構成だ。光ファイバーやADSL、CATVなどのサービスを利用している場合、回線事業者から提供されたルーターと市販のルーターを併用する場合がある。

　せっかく高度なセキュリティ機能を搭載した製品を用意しても、その先に接続されている回線事業者のルーターのユーザー名とパスワードが標準設定のままであれば、こちらが悪用されることも考えられるので注意しよう。

本体にセキュリティチェック機能を搭載したルーターも存在する。ただし、上位にルーターがある場合は、そちらに抜けがないかも要確認

すぐに確認と設定を

　というわけで、できれば自宅に帰ったら、すぐにでもルーターの管理者アカウントの設定を見直しておくことをおすすめする。友人や親類宅の設定を代行した人は、設定ついでに遊びに行く約束を取り付けておくといいだろう。

　もしも、ルーターが乗っ取られ、冒頭で掲載したニュースの例と同様に、DNSの設定が書き換えられたとしたら？　と考えると、その対応はかなり難しそうだ。今まで通り、PCやスマートフォンなどの端末側のチェックと対策を何度やっても、ルーターを見落としていれば、原因を解決することはできない。

　ある日、突然、お宅のIPアドレスから攻撃があったと、第三者からメールが届くなんてのもイヤだ。

　もちろん、管理者パスワードの設定だけが、セキュリティ対策ではないが、見逃しがちなこの設定をチェックしておくことは、無駄ではないだろう。