IoT の制御を失う - 教訓

2025/1/20 - 読み終える時間: 2 分

Losing Control of Your IoT - A Cautionary Tale の翻訳版です。

IoT の制御を失う - 教訓

2025年1月14日

著者: HCLSoftware - a division of HCL Technologies, fuels the Digital+ economy and fulfills clients transformative needs with AI and Automation, Data and Analytics, Digital Transformation, and Enterprise Security.

テクノロジーに詳しい人は、できるからという理由だけで、特定の課題に取り組みたくなります。HCLTech の支社である Aleph Research のセキュリティ専門家 Lev Aronsky 氏と Idan Strovinsky 氏もその 1 人です。2 人は Electra Smart エアコン コントローラーのハッキングから始め、最終的には IoT セキュリティの混乱を暴露することになりました。

誰もが学ばなければならなかったように、モノのインターネット (IoT) は、その名の通り多様で混沌としています。エアコンを含むあらゆる種類のデバイスがネットワーク化され、アプリを使用して制御できますが、各メーカーの個別のアプリを使用して、家中の個別のデバイスを管理するのは、かなり非効率的であると言えます。そのため、Aronsky 氏と Strovinsky 氏は、「スマート A/C コントローラーのあるアパートに引っ越してきたとき、それをハッキングして、オープンソースのホーム オートメーション ソフトウェアである Home Assistant と連携させることが最優先事項でした」と説明しています。

彼らがハッキングしようとしたコントローラーは、Wi-Fi ネットワークに接続してエアコンユニットを制御するために専用のアプリを使用します。彼らの探求の最初のステップは、コントローラーとインターフェイスできる統合とライブラリを探すことでした。その目的は、代わりにローカルネットワーク経由でアクセスすることです。しかし、調査が進むにつれて、コントローラーがリモートサーバーとどのように通信し、その動作を自分たちの望み通りに変えることができるかを段階的につなぎ合わせ、彼らは本当に不穏なものを発見したことに気づきました。それは、「コントローラーのユーザーがインターネットからの完全な乗っ取りにさらされるなど、他の問題を引き起こす明白なセキュリティ脆弱性」の集まりでした。

たとえば、IP アドレスと詳細な状態を含む、自分のエアコンユニットに加えて「何百台ものエアコンユニットを見ることができる」という状況になりました。「これは大きなプライバシーの問題でしたが、最悪の事態はまだこれからでした。」さらに調査を進めた結果、アプリなしでエアコンを制御することに成功しましたが、他のエアコンも制御できること、そして間違ったパスワード、またはパスワードなしで制御できることもわかりました。彼らの要約は、「インターネット経由で誰でもアクセスできる MQTT サーバーがあり、匿名ログインを許可して、ネットワークに接続されたすべての Electra Smart エアコンを制御できる」というものでした。

彼らが発見したさらなる恐怖 (はい、他にもたくさんありました) と、その後それを修正しようとして直面した抵抗のどちらがひどいのかはわかりません。しかし、彼らの研究は明らかにより大きな疑問を提起しています。彼らが発見した種類の脆弱性に悩まされている IoT デバイスは、大小、重要でないか重要でないかにかかわらず、どれくらいあるのでしょうか。そして、それらを見つけ出すには何が必要でしょうか。

IoT に関してこれらの疑問が最優先事項になることはめったにありませんが、これらの疑問は些細なものではありません。IoT デバイスのセキュリティ脆弱性は、個人、組織、さらにはインフラストラクチャに重大なリスクをもたらす可能性があります。これらの脆弱性は、IoT に固有の要因の組み合わせから生じ、サイバー攻撃の主な標的となります。

• IoT デバイスの処理能力とメモリが限られているため、暗号化が弱くなり、認証が不十分になり、セキュリティ更新が不十分になる可能性があります。

• 認証メカニズムとパスワードが弱いと、権限のないユーザーがデバイスやシステムを自由に操作できるようになります。

• 急いで市場に投入されたデバイスに搭載された、設計が不十分でテストが不十分なファームウェアがあると、セキュリティ リスクが増大する可能性があります。一方、古いソフトウェアは、既知の悪用可能な脆弱性の影響を受けやすくなります。

• IoT デバイスは機密データを収集することがよくあります。適切に保護されていない場合、この情報は傍受または盗難される可能性があり、関係者全員に深刻な結果をもたらす可能性があります。

• デバイスとエコシステムの極端な多様性が主な原因で、IoT では標準化されたセキュリティ プラクティスがないため、一貫したセキュリティ対策を実装することが困難です。

• IoT デバイスへの物理的なアクセスもセキュリティを侵害する可能性があります。たとえば、センサーや接続を改ざんすると、データの操作が可能になったり、デバイスの誤動作を引き起こしたりする可能性があります。

• 暗号化されていない通信、脆弱なファイアウォール、中間者攻撃のリスクなど、ネットワーク セキュリティが不十分な場合、IoT デバイスがさまざまな脅威にさらされる可能性があります。

• 最後に、IoT デバイスの製造に特有の複雑なサプライ チェーンにより、ハードウェア コンポーネントからソフトウェア統合まで、さまざまな段階で脆弱性が生じる可能性があります。

IoT 環境が拡大し続ける中、セキュリティ上の懸念は重要な考慮事項であり、IoT の脆弱性に関連するリスクを軽減し、より安全で回復力のある IoT エコシステムを構築するには、メーカー、規制当局、サイバーセキュリティの専門家による共同作業が不可欠です。Aleph Research チームのようなグループの作業は、その取り組みへの重要な貢献であり、HCLSoftware はそれをサポートできることを誇りに思っています。