つながるIoT製品が生み出すシンプルな生活とセキュリティ面の課題
ネット接続できるスロークッカー、Crock-Potのハッキングに対する脆弱性を確認していたインディアナ大学のデータ セキュリティ研究者たちは、このデバイスや同じWiFiルーターを共有している他のデバイスのコントロールを、いとも簡単に握ることが可能だった。ただし良いニュースは、攻撃者が遠隔操作で攻撃を加えるリスクは確認されなかったということだ。
そして、ここからは悪いニュース。待機モードを持つ調理用具や、ホーム エンターテインメント システム、子供用玩具など、消費者が認識しているよりずっと多くのデバイスにネット接続機能が搭載されるようになっている。消費者はエネルギー消費を最適化し、生活をシンプルにするべく、IoT経由でデータの生成や収集、共有を行う“ロボットの大群”を導入するようになっているのだ。
いまや購入者は、自身がデータを生成しているという事実や、そのデータに誰がアクセスできるのか、さらにはプライバシーやセキュリティ、身体の安全に関する懸念について、満足に知ることのできないレベルにまで到達しようとしている。しかも、オプトアウト (こうしたサービスの回避) は、より困難になっている。
インディアナ大学情報工学コンピューター処理エンジニアリング センター (SPICE: Informatics, Computing, and Engineering center) のセキュリティやプライバシー研究者たちも、この状況に警鐘を鳴らし始めている。
IoT 研究センターは、アメリカ国立科学財団から5年間に及ぶ助成資金を得て、リビング ラボ (ユーザーを中心に据えたオープン イノベーションのエコシステム) プロジェクトを実施。この IoT Houseは、煙探知機やサーモスタット、照明システム、玩具、電化製品、さらには他のガジェットなど 、コネクトされたIoTデバイスで溢れた実際の住宅になっている。
IoT Houseのプロジェクト マネージャーを務めるジョシュア・ストライフ氏は「一般家庭の状況を再現するため、大学にはセキュリティを大幅に弱めたネットワーク環境の構築を依頼しました」と述べる。この一般的な郊外の住宅で行き交う無防備なインターネット トラフィックに大学関係者が影響を受けることのないよう、このネットワーク環境は大学のネットワークからは細心の注意を払って隔離されている。製品にセキュリティ上の欠陥が見つかった場合、その研究結果を研究者たちが業界や学界に提出する。
ストライフ氏が例に挙げたのは、CloudPetと呼ばれる、カラフルなユニコーンの姿をした人形だ。このおもちゃを使用すると、ビロードで覆われた体に埋め込まれたBluetooth LE (BLE) モジュールとペアリングされたモバイルアプリ (データをクラウド サーバーにつなぐ) で、ボイス メッセージを送受信できる。見た目はとても愛らしいのだが、実は極めて悪質な製品でもある。
“研究者たちは、以前からCloudPetユニコーンについて警告を発してきました。ほぼセキュリティ無しで設計されています。” — ジョシュア・シェリフ氏 (IoT Houseプロジェクト マネージャー)
「研究者たちは、以前からCloudPetユニコーンについて警告を発してきました」と、ストライフ氏。「ほぼセキュリティ無しで設計されています。MozillaがAmazonとeBayに製品を差し止めさせ、その後で製造中止になりましたが、製品そのものはまだ存在しています。メーカーが、こうしたIoTデバイスの販売を停止することはあっても、回収することはまずありません」。
問題は、この玩具を使って子供の居場所を追跡でき、ハッカーが偽メッセージを送信できることにある。「悪意のある者が近隣を車で走り回り、子供たちの居場所を正確に把握できてしまいます」と、ストライフ氏。「このユニコーンのBLEモジュールを検出してボイスメッセージを送信し、親になりすまして、外出するよう言葉巧みに子供たちを丸め込むことができるのです」。
昨年12月には「ワシントン・ポスト」紙が、ベビーモニターに使われるNest Cam経由で卑猥な言葉や脅し文句を叫んでいるハッカーが、親によって発見されたとレポート (英文記事) した。IoT Houseで働く博士号取得候補者のベノード・モメンザデー氏は「Nestがハッキングされたわけではありませんでした」と述べる。「メールアカウントのハッキングにより、人々の Nestアカウントにハッカーがアクセスして、権限を変更できたのです。この家族は、複数のテクノロジーによって危険にさらされました」。
フィッシャープライスのスマートトイBearも、別の教訓を提供する。この玩具は「話し、聴き、学ぶ」ようデザインされており、鼻の部分にビデオカメラが搭載されている。録画はされないが、常時オンの状態だ。「このテディベアはリスクをもたらしています。この玩具が解体され内部が露わになることを、設計者が想定していないからです」と、ストライフ氏は話す。
このテディベアは、本質的にはAndroidタブレットだ。「ビデオやメールを含めた、タブレットの機能すべてを備えています」と、ストライフ氏。「ハードウェア データ ポートを搭載しており、リモート キーボードを使って、このポートと通信できます。テディベアを解体すれば、このデバイスを攻撃でき、わずか3分で世界のどこからでもテディベアをコントロールできるようになります」。
こうしたバックドア (一度サイバー攻撃で侵入した後に、攻撃者が設置する入りやすい入り口) からの侵入は、表向きは安全なサイトでも生じる。昨年、セキュリティ責任者が突き止めたデータ窃盗に、サイバー犯罪者がカジノのハイローラー (大金を躊躇なく賭けるプレイヤー) リストをネットワークから盗むものがあった。その侵入経路はカジノのロビーにある水槽の内部に設置された、IoTコネクトされたサーモスタットのセキュリティホールからだった。こうしたカジノと同レベルの、プロ級のデータ セキュリティを備えている住宅など、事実上存在しない。
ここで、もう一度Crock-Potについて考えてみよう。このスロークッカーにはBelkinのワイヤレスIoTコネクティビティ テクノロジー、Wemoが組み込まれている。ストライフ氏は、Crock-Pot の使用者が同じネットワーク上にあるスロークッカー以外のすべてのものの所有者でもあるという、システム設計上の仮定に問題があると話す。このソフトウェアは、互換性を持つ他のワイヤレス デバイスを検出して接続し、そのインストールを行った人に完全なコントロールと各デバイスへのアクセスを提供する。その上、リモート アクセスを設定すれば、世界のどこからでもコントロール可能となる。
「Crock-Potを携帯電話からコントロールできる機能はクールかもしれませんが、それと同時に、固有のパスワードを持たない、すべてのものをコントロール可能となります。つまり Crock-Potに入り込める者なら、だれでもすべてをコントロールできてしまうのです」と、ストライフ氏。「サーモスタットと冷蔵庫が互いに交信できれば、住宅内の電力使用を大幅に向上できるかもしれません。でも課題となるのは、ハッカーがCrock-Potのような製品を通じて、一度も住居に足を踏み入れることなく、住居の電気代を意図的に、しかも大幅に上げることもできるということです」。
デザイナーはは妥協が要求される。エンジニアはカスタマーの安全と、そのプライバシーを守りたいと考えている。その一方で、マーケティング担当者が目指すのは、単に人々がデバイスの使用を楽しむことだ。彼らは、安全性と使いやすさの間で妥協している。3台のリモコンを使い分けるより1台ですべてをコントロールできる方が便利なのと同様、本来であれば、全メーカーのデバイスが他メーカーのデバイスに接続できるようにしたいところだ。「ユーザーは、すべてをコントロールできる統合アプリを望んでいます」と、ストライフ氏。
特に研究者を心配させているのがビデオカメラを搭載するデバイスだが、オーディオ録音デバイスにも同様の懸念がある。このところ、Amazon Echoやその競合製品など、ボイス コントロール機能を搭載したインタラクティブ スピーカーの人気が高まってきている。こうした「スマートスピーカー」がプライベートな会話を録音し、第三者に送信するといったケースは、多数のメディアで報告されている。 (オンラインの掲示板でもスマートスピーカーの怖い話は定番だ)。
IoT家電から、こうした脆弱性を排除できるだろうか？ こうした問題を回避するため、消費者は差し当たり何をしたら良いのだろうか？
SPICE研究チームは幾つかの提案を行っている。まずは、パスワードを初期設定から変更することだ。多くのデバイスのセキュリティ上の突破口は、悪名高いMiraiなどのマルウェアから始まっている。こうしたソフトウェアは、インターネットをクロールして特定のデバイスを探し出し、ポーリング (問い合わせ処理) をかけて、所有者がデフォルトのパスワードを変更済みかどうかを確認する。ボットのオーナー (ハッカー) はデフォルト パスワードを把握しており、それが変更されていなければ、このデバイスを瞬時に乗っ取ることができる。
IoT Houseチームは、MUDS (Manufacturer Usage Description Specification: 製造メーカーによる使用説明仕様書) を使用してIoTデバイスの適切な通信の骨子をまとめた、より高度なシステムを開発、検証中だ。IoTデバイスが予期される範囲の外で通信を始めると、このシステムは通信を停止し、デバイス所有者に警告を発する。これによって、例えば既知のクラウド サーバーと通信すべきテディベアが東欧の不明なサーバーと通信している場合、その住宅と所有者をシステムが守ることができる。このシステムは、予測範囲を設定する責任を製造者に負わせている。
業界はリスク緩和のための新標準を構築しつつあるが、その一方でユーザーも自ら学ぶべきだろう。まずは購入、設置の前に、そのIoTデバイスについて調べるべきだ。既知の問題は、簡単なGoogle検索ですぐに判明する。デバイスに既知の問題がなくても、メーカーが過去にセキュリティ関連の問題を起こしている場合もある。安全で暗号化された通信を使用する企業もあれば、そうした手段を講じていない企業もあるのだ。
いずれにせよ、ユーザーはデバイスの使用緩和について慎重に考える必要がある。カメラ付き玩具は、決められた部屋でのみ使用するべきだろうか？ 使用しない場合、このカメラに不透明なテープを張って覆うべきなのか？ この玩具の電源は、通常は切っておくべきだろうか？
結局のところ、消費者自身が生活に持ち込むデバイスに、より強い懸念を持つようにならない限り、メーカー側からの本当の意味での変化は生じそうにない。大抵の人にとって、自身がサイバー攻撃の対象になることは想像できない。そして、その先入観が、批判的な思考を行う際のハンディとなる。本来問うべきなのは、「金を払ってまであなたについて知ろうとしているのは誰なのか？」ということだ。「多数の企業が、それに相当します」と、ストライフ氏。「まだ、それがどう役立つのか、どう使用するのかが分かってもいないのにかかわらず、企業は個人に関する情報を貪っているのです」。