イベントレポート
IoT推進委員会 第7回シンポジウム
スマートホームが隣人に操作される可能性も、市販IoT機器にセキュリティ問題
マストトップ・松本潤氏、IoT機器におけるセキュリティ検証の重要性を強調
2017年11月24日 06:00
IoTのさらなる普及が確実視される中、サイバーセキュリティ面でどんな取り組みが求められるのか？ 一般財団法人インターネット協会（IAjapan）のIoT推進委員会と一般社団法人重要生活機器連携セキュリティ協議会（CCDS）が8月下旬に開催したシンポジウム「『知らないうちにあなたの製品が危ない！ IoTでつながるリスク！』え!? ここまでやらないといけないの!? IoT時代のセキュリティ対策」の中から、2つの講演の概要をお伝えする。
- “野良IoT”が“サイバーデブリ”と化し、ネット空間の環境汚染問題を引き起こす恐れ（11月2日付記事）
- スマートホームが隣人に操作される可能性も、市販IoT機器にセキュリティ問題（この記事）
機能・セキュリティ評価の専門企業である株式会社マストトップの代表取締役・松本潤氏は、沖縄でのスマートホーム実地試験の結果から問題点を例示しつつ、セキュリティ検証の重要性を強調した。
「HEMSだけ」だったスマートホームが、「IoT」でさらに進化
松本氏が代表を務めるマストトップは2015年11月の設立以来、機能・ユーザビリティ・セキュリティなどを第三者の視点から「評価」するサービスを手がけている。IoT分野については、総務省が予算編成・公募を行った「身近なIoTプロジェクト（IoTサービス創出支援事業）」に参画。沖縄にあるマンションの1室に、ネットワーク対応赤外線リモンなどの機器を実際に配備して、スマートホーム関連の評価を行った。今回の講演では、その評価結果の中身が解説された。
スマートホームの概念はここ数十年に渡って長らくIT業界で語られてきたが、IoTの台頭によって変化が出てきたという。「つい最近までスマート-ホームというと、『HEMS』が想像されがちだった。ただ、HEMSのメイン領域は、基本的に『省エネ』が目的。機器の電源をいかに止めるかが重要で、生活者から見た場合、必ずしも快適なものではなかった」。
これに対し、現在市販されるIoT機器は、ロボット掃除機・防犯カメラなどに代表されるように、快適さ・利便性を追求したものが大半。省エネとは直接無関係である。つまり2017年の現段階では、HEMSとIoTが融合した新たなスマートホーム像が確立されつつあるとした。
検証して分かった「IoT機器乗っ取り」の真実味
スマートホームの定義がより拡張していく中で、機器同士の連携はますます複雑になっていく。「IFTTT（イフト）」のような機器連携の仕組みを使えば、センサーで室内湿度を常時監視しておき、80％を超えたら自動でエアコンの除湿機能をオンにするといったことも可能だ。
ただし、こういった自動連携のルール（IFTTTにおけるレシピ）の設定数が増えていくと、個人で管理しきれなくなり、それこそ「設定したことを忘れた」という事態に繋がりかねず、それを悪意ある攻撃者に狙われる可能性も出てくる。また、機器連携のアフターサポートを誰が受け持つかも課題だ。
そこでマストトップでは、「近隣の住人が無線LANをハックし、宅内ネットワークへの侵入する」という想定のもとで、実際にどんな脅威が発生するかを検証した。
まず使ったのは「Aircrack-ng」という無線LANの解析・検査ツール。これでWEP/WPA2どちらのプロトコルでもパスフレーズ解析に成功し、侵入が行えた。
ネットワーク侵入後は「Zenmap」によって接続済み機器をスキャン。空きポートや接続機器のOSを判別できる。見つかった機器には「Hydra」でID・パスワードの総当たり攻撃（ブルートフォース）で不正ログインを試み、もし失敗した場合も「LOIC」「ostinato」「Gatling」でDoS攻撃を行う。
そして、脆弱性スキャンツール「OWASP ZAP」「OpenVAS」を使ったところ、今回のスマートホーム検証環境でも、設置していたIoT機器に脆弱性が実際に発見されたという。
マストトップでは約1週間の期間をかけて、これらの検証を繰り返し、最終的にはCVSSの基準で23の問題を発見。このうち3つが「重要レベル」であった。
「1週間で23件もの問題が発見されるとは、正直、想定外だった。検証で使ったIoT機器は一般に市販されているもので、使ったツールもよく知られているもの。それほど特別なことをしたわけでもないのに、それでも重要レベルの問題が3件も見つかった」。
スマートホームを安心して利用できるようにするために
今回の実証実験はあくまでも、脆弱な設定の無線LANに対してツールを用いて解析を行い、解析に成功・侵入できたという想定で検証を行ったものだ。無線LANのパスフレーズを強固なものにするなど、しっかりとしたセキュリティ対策を取ることで容易には宅内ネットワークへ侵入できなくなる。
だからといって、市販されるIoT機器に脆弱性があったままでいいわけはない。今後、スマートホームを安心して利用できるようにするためには、こうしたIoT機器の脆弱性をいかに出さないか、あるいは早期に発見・修正していくかという意味で、製品の開発段階および発売後、スマートホームシステムへの導入前などのセキュリティ検証が重要になる。
松本氏は、スマートホーム内ネットワークの評価試験においては、接続機器数の増加などを背景に、わずか1つのツールだけで網羅的に検証するのはすでに難しいと指摘。脆弱性スキャンツール以外にも、さまざまな手段・ツールを組み合わせることが問題発見に重要だと説明する。
また、攻撃者の多くは、ポートスキャンツールで容易に発見できる機器を優先して狙うのが自明だ。つまり、何らかの手段で攻撃者からの注意をそらせることが、セキュリティを考える上で重要という。
「今回使った検証用ツールはどれもオープンソースのもの。こういった（ポピュラーな）ツールで脆弱性を見つけられないようにすることが、まず重要では。」
もちろん、複数の検証用ツールを使い分けるには、操作者の熟練の問題もある。こういった問題に対処するために、マストトップのような専門家の力の活用も検討してほしいと松本氏は呼び掛けた。
