車のエンジンが遠隔で切られる？「マネージドPKI for IoT」がもたらす安全なIoT時代のセキュリティ

2021.7.13

ドライバーが何も操作していないのに、車のエンジンが勝手に切られてしまう——2015年にセキュリティ研究者が米国で行われたカンファレンスで、ジープ・チェロキーに深刻な脆弱性があり、悪意ある攻撃者がリモートから勝手に操作できる事実を示すと、世界的に大きな反響が巻き起こった。製造元のクライスラーでは約140万台のリコールを発表するなど、対応に追われる事態となった。

この件を機に、それまで小説や映画の中の話と思われていたことが現実の脅威になっていると明らかになった。さまざまなメディアで不正侵入や情報漏洩が話題になっているが、実はパソコンやサーバーだけでなく、ネットワークにつながるさまざまな「モノ」、いわゆるIoTデバイスもサイバー攻撃の対象になっており、事態は年々深刻になっている。

20年前のインターネットと同じ？模索の続くIoTセキュリティ

ITシステムの世界では、ウイルス対策ソフトの導入やアップデートファイルの適用、適切なパスワード設定といったセキュリティ対策の必要性が示され、対応が進んでいる。一方、IoTの世界はどうだろうか。

総務省と経済産業省が「IoTセキュリティガイドライン」を示すなど対策の必要性を示してはいるものの、ちょうど、インターネットが一般に普及し始めた20年ほど前の世界と同じように、何をどのようにすべきか、模索が続く状況だ。

その上、IoTにはPCとは異なるいくつか固有の事情がある。まず、販売台数が桁違いに多く、2021年には世界中で約448億個ものIoTデバイスが稼働すると見込まれている。今後もその数は増加を続けるばかりで、管理はますます困難になるだろう。

また、IoTのハードウェア性能は年々向上しているとはいえ、PCなどに比べると価格差からも分かる通りやはり貧弱で、アンチウイルスのような対策製品をインストールするのは困難だ。その上、分かりやすいインターフェイスを備えているとは限らず、ディスプレイすら持たないことも珍しくないため、設置後のアップデートや設定変更作業をエンドユーザー自身が行うことは難しい。

さらに、「IoTデバイスはライフサイクルが非常に長いことも特徴です。いったん世に出ると、10年、15年、モノによっては20年と稼働し続けます。こうした長いライフサイクルの中で、ネットワークにつながったIoT機器がさまざまなサイバー脅威にさらされ、別の攻撃の踏み台になったり、脆弱性を突かれてセンターシステムへの侵入経路になってしまうという懸念が高まっています」と、GMOグローバルサイン株式会社営業本部中嶋康章氏は指摘する。

GMOグローバルサイン営業本部中嶋康章氏

一方、こうしたさまざまな制約の中でも、安全・安心なものづくりの柱の1つとして“セキュリティ”を捉え、設計・製造段階からセキュリティを組み込むアプローチに取り組むメーカーもある。この取り組みにおいて重要な役割を果たすのが「クライアント証明書」だ。

そもそも、車やその部品をはじめとするIoT機器がこれまで、なぜサイバー攻撃に弱かったかというと、認証を行うことなく、つまり「相手は誰か」を確かめることなく通信を行う仕組みが多かったからだ。

このため、正規のユーザーになりすました攻撃者がコマンドを不正に送りこむことで、乗っ取りなどが行えてしまった。また、通信経路の暗号化もなされていないため、第三者がデータを傍受して情報を読み取ったり、改ざんすることも不可能ではない。

「クライアント証明書」で実現、認証と暗号化で、安心な通信

こうしたさまざまなリスクへの対策となるのが、PKI（Public Key Infrastructure）という技術に基づいて発行されるクライアント証明書だ。

普段のネット利用の中で、IDとパスワードなどの手法で身元を確認（＝認証）する方法は広く用いられているが、容易に推測可能なパスワードが使われているとあっという間に乗っ取られてしまう。IoT機器の場合も同様で、過去にはルーターなどのネットワーク機器で、初期設定時のパスワードを悪用して乗っ取りが行われ、他者への攻撃に悪用された事件が発生している。

これに対しクライアント証明書を出荷時にインストールしておけば、通信を行うたびにこの証明書を元にアクセス先に対し自分の身元を示すことになる。こうして自身が正しいユーザーや機器であることを確認できてはじめて通信が許可される仕組みだ。
「IoT機器に関しても、『あなたは誰ですか』ということを確認した上で通信を始めることが大切になります。こうして認証した相手とやり取りするデータについても、内容に改ざんが加えられていないことを機器間で確認できる仕組みが必要になってきます」（GMOグローバルサイン事業企画部鈴木雅之氏）