Google、Mozilla、Microsoft、Cisco などのテクノロジー企業や、AT&T、Comcast などの ISP によって結成された非営利連合であるブロードバンド インターネット技術諮問グループ (BITAG) は、モノのインターネット (IoT) デバイスのセキュリティ保護方法に関する独自の推奨事項を発表しました。
BITAG は、インターネットがこれらの攻撃に対してより安全になるために、IoT メーカーが採用すべきいくつかの提案を提示しました。
安全でないIoTエコシステムからの観察
非営利団体 BITAG は、既存の IoT デバイスを悩ませているすべての問題に関して、次のような観察を行いました。
古いソフトウェア
BITAGによると、一部のIoTデバイスは、すでに古いソフトウェアを搭載した状態で市場に出荷されています。つまり、デバイスはデフォルトでセキュリティ上の脆弱性を抱えたまま出荷され、初日からハッキングされる可能性があります。
これは明らかに最初に解決すべき問題ですが、より複雑な問題として、デバイスが販売後長期間パッチ適用されずに放置されたり、サポートが早期に終了したりすることが挙げられます。サポートには費用がかかるため、多くのOEMはデバイスのアップデートをほとんど行わず、サポートも可能な限り早期に終了させています。
Tom's Hardware の最高のニュースと詳細なレビューをあなたの受信箱に直接お届けします。
これはAndroidスマートフォンが既に抱えている問題と本質的に同じです。しかし、IoTの世界では顧客が製品の価格に敏感になる傾向があり、メーカーはセキュリティとサポートのコストを削減せざるを得なくなるため、この問題はさらに深刻化します。
安全でない通信
ほんの数年前までは、自動車メーカーの一部が暗号化されていない HTTP 接続を介して「コネクテッドカー」にアップデートを送信していたため、多くの IoT メーカーが同じ接続を介してアップデートを送信していることはそれほど驚くことではありません。
暗号化が使用されている場合でも、認証が使用されていない場合があり、その場合も IoT デバイスがハッキングされやすくなり、ボットネットに乗っ取られる恐れがあります。
データ漏洩
同グループは、IoT データを保存して分析する企業の安全でないサーバーから、または IoT デバイスが同じネットワーク内または近隣のネットワーク内の他のデバイスにデータを漏らすなど、多くのデバイスでデータが漏洩していることを観察しました。
マルウェア感染に対する脆弱性
多くのIoTデバイスは、マルウェアによる乗っ取りから保護するために必要なセキュリティ機能を備えていません。そのため、ボットネットによる乗っ取りも容易になり、アップデート不足の状況はさらに悪化します。少なくとも、優れたエクスプロイト対策を備えたデバイスは、アップデート頻度が低くても、あるいはアップデート自体がなくても、将来の攻撃に対してより強い耐性を持つ可能性があります。
サービス中断の可能性
住宅用警報装置やセキュリティシステムなど、特定のIoTデバイスにとって、サービスの中断は非常に危険な場合があります。サービスの中断は、住宅の安全が確保されなくなることを意味します。窃盗犯は、こうした脆弱性を利用して住宅に侵入する可能性があります。
BITAGセキュリティ推奨事項
非営利団体 BITAG は、現在の IoT セキュリティ エコシステムに関する観察結果を発表した後、IoT デバイスのセキュリティを向上させる方法に関する一連の推奨事項も発表しました。
最新のソフトウェアベストプラクティスを使用する
ソフトウェアアップデートに関しては、この非営利団体は、重大な既知の脆弱性を抱えたままデバイスを出荷すべきではないと勧告しました。つまり、メーカーがソフトウェアの重大なセキュリティ問題を既に認識しているにもかかわらず、デバイスの発売日までに修正する時間がない場合は、ソフトウェアが修正されるまでリリースを延期すべきです。
同グループはまた、IoTデバイスはユーザーの介入なしに自動的にアップデートされ、安全に行われるべきであると提言した。メーカーは、バグが発見され、パッチ適用が必要になることを前提にデバイスを設計すべきだ。
IoTデバイスの最大の問題の一つは、「admin/admin」といったデフォルトの認証情報を使用していることです。そのため、IoTボットネットが容易にハッキングして乗っ取ってしまう可能性があります。Dyn DDoS攻撃に関与した多くの監視カメラも同様の問題を抱えていました。
BITAG によると、IoT ソフトウェアのさまざまな構成について、出荷前にさらにテストを行う必要があるとのことです。
セキュリティと暗号化のベストプラクティスに従う
BITAGは、IoTメーカーはTLS暗号化と、重大な脆弱性や鍵長の短さが知られていないプロトコルを使用すべきだと述べています。その他の暗号化のベストプラクティスとしては、以下が挙げられます。
構成通信をデフォルトで暗号化するIoTコントローラとの通信を保護する機密データのローカルストレージを暗号化する通信、ソフトウェアの変更、データ要求を認証するデバイスごとに固有の資格情報を使用する更新可能な資格情報を使用する不要なポートを閉じ、不要なサービスを無効化する積極的に保守およびサポートされているライブラリを使用する
IoT通信は制限的であるべき
デフォルトでは、IoTデバイスへのほとんどの受信通信は制限されるはずです。デバイスはファイアウォールのみに頼って通信を制限すべきではありません。そうすると、ファイアウォールを通過できない他の家庭用デバイスにも問題が発生する可能性があります。
デバイスはサービス中断に対して耐性を持つ必要がある
IoTデバイスは、インターネット接続が途絶えた場合でも完全に動作を停止すべきではありません。例えば、「スマート電球」がインターネットに接続できない状態で動作を停止するのは望ましくありません。同様に、正常に動作するためにクラウドアクセスを必要とする可能性のあるセキュリティシステムや監視カメラにも当てはまります。BITAGは、インターネット接続やサーバーバックエンドに障害が発生した場合でも、デバイスは少なくとも基本的な機能を継続して実行できる必要があると推奨しています。
これは、少なくとも 1 つのケースで既に発生しているように、製造元またはベンダーが閉鎖し、すでに販売されたデバイスが動作しなくなる状況にも当てはまる可能性があります。
IPv6とDNSSECのサポート
この非営利団体は、すべてのIoTデバイスが最新バージョンのIPプロトコルをサポートし、ドメイン名を使用する場合はDNSSECプロトコルもサポートすることを推奨しています。今後10年間で市場に投入されるIoTデバイスの数を考えると、IPv4アドレスはすでに枯渇しつつあるため、IPv6をサポートすることは理にかなっています。
IoTサプライチェーンはセキュリティも考慮する必要がある
セキュリティを軽視するサプライチェーンから供給されるコンポーネントには、脆弱性が組み込まれる可能性があります。そのため、IoTメーカーはパートナー企業と連携し、サプライチェーン全体にわたってすべてのコンポーネントにバックドアや脆弱性が存在しないことを確認する必要があります。
プライバシーとその他の権利
IoTデバイスには、分かりやすく見つけやすいプライバシーポリシーが付属している必要があります。IoTデバイスは、周囲の環境に関するデータを収集する傾向がますます強まっており、場合によっては音声録音も含まれる可能性があります。そのため、顧客が購入するデバイスを理解し、必要に応じてプライバシーが保護されるようにデバイスを設定することが重要です。
BITAG はまた、メーカーは自社または第三者がさまざまな理由で販売したデバイスの機能をリモートで低下させる可能性があるかどうかを開示する必要があるとも考えています。
業界サイバーセキュリティグループとセキュリティ認定
BITAGは、IoTメーカーが協力して業界団体を設立し、IoTデバイスに実装すべきセキュリティのベストプラクティスをすべて定義することを推奨しました。この団体は、小売パッケージに「セキュアIoTデバイス」のロゴなどを表示することで、デバイスの認証を行うことが可能です。
これは、差し迫った政府規制を先取りすることを目的とした提案のように思えます。EUはすでに同様のラベル表示・評価システムを検討しており、他の政府もIoT企業にどのような規制を課すか検討している可能性があります。しかし、業界が自主規制に真剣に取り組み、より安全なIoTデバイスをデフォルトで開発すれば、こうした規制の多くは回避できるかもしれません。
BITAGの提案は、デバイスのセキュリティ確保を目指すIoTメーカーにとって良いスタートとなるでしょう。しかし、IoT業界の誰もが耳を傾けるとは限りません。セキュリティのベストプラクティスへの準拠を促進するためには、認証プログラムも必要となるでしょう。
これらすべての決定にはさらに数年かかる可能性があり、その間に何百万台もの安全でないデバイスが市場に投入される可能性があるため、IoT ボットネット問題は少なくとももうしばらくは続くと思われます。
