【電子版】IoT時代のセキュリティ（２）セキュリティ対策の難しさ（上）

前回述べたように、セキュリティは悪意ある攻撃者によって脅かされる。守るべきものが攻撃者にとって価値の高いものであればあるほど、巧妙な手段を使ってそれを奪おうとする。守るべきものの価値が大きくなればなるほどセキュリティ対策も十分なものにしていく必要がある。IoT（モノのインターネット）セキュリティの場合、これまでの情報セキュリティよりも価値が大きなものを守る可能性もあり、そうなればより厳重なセキュリティ対策が必要になる。これが対策を難しくする原因の一つである。

次々と出現する脆弱性

攻撃者が攻撃に使う手口である脆弱性（セキュリティホール）が次から次へと現れることにも対策の難しさの原因がある。脆弱性はシステムや運用方法の欠陥や考慮不足である。過去に使われたり公表されたりして、既に知られている脆弱性への対策と将来新たに現れる脆弱性に備えた対策の両方が必要になる。

• 

  【図】既知の脆弱性と未知の脆弱性

脆弱性が既知のものと未知のものとで対策が異なる。既知のものとは、過去の攻撃で使われたり、攻撃には使われていないがPoC（Proof of Concept: 概念実証）が公開されていたりして、脆弱性を使った攻撃の手口が一般に知られているものである。既知の脆弱性も相当な件数があるため、開発対象が攻撃の対象となり得るかを判断し、必要な場合には間違えずに網羅的に対策するだけでもたいへんな作業になる。既知の脆弱性は開発元や公益を目的とする機関がインターネットで公表している。

たとえば、コンピュータセキュリティに関する侵入やサービス妨害の情報を扱う国内向けの機関であるJPCERT（Japan Computer Emergency Response Team）コーディネーションセンターでは、既知の脆弱性情報を公表している。JPCERTコーディネーションセンターは脆弱性情報を海外の機関と連携しながら収集し、国内からの届け出を受け付け、関係する製品開発者への周知期間をとった上で既知の脆弱性として公表している。届け出数は対象製品や対象ウェブサイトごとに計上される（同一の脆弱性による重複がある）ので、届け出数と脆弱性の数は一致しないが、2004年の届け出受付開始から17年6月30日までで、届け出数は1万3000件を超える。

これに加えて未知の脆弱性への対応が必要になる。セキュリティ要件を満たせるかどうかを確認し、典型的な脆弱性のパターンをチェックしたり、検出ツールを使ったりして問題がないか調べる。【図】にあるように開発時点（現在）で完成してリリース（出荷や運用開始）した後に、既知の脆弱性となった場合には対策の検討が必要になる。パソコンやスマートフォンのソフトウエアのバージョンアップやアップデートが頻繁にあるが、こうした既知になった脆弱性への対策も含まれる。通常、ソフトウエアのサポート終了はこうした脆弱性への対策の終了でもある。

振り込め詐欺対策と同様の難しさ

脆弱性に既知のものと未知のものがあり、新たなものが次々と発見される点は「振り込め詐欺」にも共通するので、なぞらえて説明することで対策の難しさをおわかりいただけると思う。振り込め詐欺は攻撃者が電話や郵便を使い、被攻撃者に信頼できる相手と勘違いさせ、被攻撃者の金銭を攻撃者に送金させる。信頼できる相手と勘違いさせて送金させる手口を、脆弱性を使った攻撃と考えるとわかりやすい。

振り込め詐欺という名称も存在せず、詐欺の手口の一つとして現れた当時は、簡単な方法で被攻撃者をだましていた。お年寄りをターゲットとし、孫を装って銀行口座に振り込ませるというものである。手口が公表され対策が講じられるたびに巧妙になり、還付金を得るための準備金を振り込むように指示したり、警察官や弁護士等を装って複数人で連携したりするなど、現在も新たな手口が現れている。これと同様に脆弱性が公表され対策が講じられると、より巧妙な脆弱性により攻撃してくる。

既に知られている電話での送金依頼や銀行振り込みに気をつけることで、攻撃者が電話をかけてきても金銭をだまし取られずに済む。これが既知の脆弱性への対策ができていることに対応する。既知の手口が公表されているにもかかわらず、被攻撃者が手口を知らなかったことによりだまし取られることもある。これが既知の脆弱性への対策ができていなかった場合に対応する。

未知の手口に対応するため、電話での送金指示や銀行振り込みによる送金に気をつけていたが、郵便による送金指示や第三者への手渡しによる送金といった未知の手口に気づけなかったということも起こる。これが、未知の脆弱性への対策が十分でなかった場合に対応する。

振り込め詐欺で既知の手口への網羅的な対策を怠らず、未知の手口に備えることが難しいようにIoTセキュリティも既知の脆弱性と未知の脆弱性への対策は難しい。

（毎週火曜日掲載）

【著者プロフィール】

• 

森崎 修司（もりさき・しゅうじ）名大院情報学研究科准教授。01年奈良先端大情報科学研究科博士後期課程修了後、情報通信企業においてソフトウエア開発、通信サービスの研究開発に従事し、無線ICタグに関わるソフトウエアの国際標準化に携わる。13年より現職。実証的ソフトウエア工学の研究に従事する。情報処理推進機構（IPA） IoT高信頼化検討ワーキンググループ、つながる世界の品質指針ワーキングループ主査。博士（工学）。

• 

高田 広章（たかだ・ひろあき）名大未来社会創造機構教授。同大院情報学研究科教授・附属組込みシステム研究センター長を兼務。88年東大院理学系研究科情報科学専攻修士課程修了。同大助手、豊橋技科大助教授等を経て、03年より名大教授。 リアルタイムOS、リアルタイム性保証技術、車載組込みシステム／ネットワーク技術、組込みシステムのディペンダビリティ、ダイナミックマップ等の研究に従事。オープンソースのリアルタイムOS等を開発するTOPPERSプロジェクトを主宰。名大発ベンチャー企業APTJを設立し、その代表取締役会長・CTOを務める。情報処理推進機構（IPA） つながる世界の開発指針ワーキンググループ主査。博士（理学）。