IoT機器のセキュリティ対策

IoT機器のセキュリティ対策とは、家電、監視カメラ、産業機器などネットワークに接続される機器を、初期設定の不備や脆弱性を突いた攻撃から守り、出荷後も安全な状態を保つための取組である。機器は利用者が常時管理しにくく、更新も行き届きにくいため、設計、出荷、運用の各段階での対策が求められる。以下では、出荷前の検証、初期設定の不備、出荷後の更新、設計段階の対策、国の取組の順に整理する。

出荷前の検証と脆弱性の確認

IoT機器の安全性を確かめる手段として、ペネトレーションテストがある。これは仕様どおりに動作するかを確認するテストとは異なり、攻撃者の視点で、ネットワーク、バス、デバッグインタフェースなどの脆弱性を利用して機器への侵入を試みるものである。

ペネトレーションテストは、内部構造を参照して行うホワイトボックステストや、温湿度条件や耐久性を確認する環境試験・信頼性試験とは目的が異なる。出荷前の検証では、仕様の確認と攻撃への耐性の確認を分けて計画することが求められる。

初期設定の不備と既定パスワードの危険

IoT機器では、初期パスワードが変更されないまま運用されると、そこを突かれて不正ログインされ、遠隔から機器を操作されるおそれがある。TCP 23番ポートは、IoT機器の操作に使われるTelnetのプロトコルで用いられるため、初期パスワードによる不正ログインが成功しやすく、攻撃が集中しやすい。

この問題は、製造者が出荷時の設定を適切に定めることと、利用者が初期設定を見直すことの双方が関わる。製造者側では、推測されにくいパスワードを個体ごとに設定するなどの設計が有効であり、利用者側では初期値のまま運用しない意識が必要となる。

出荷後の更新と運用の維持

IoT機器は出荷後に脆弱性が見つかることがあるため、出荷後も安全な状態を維持する仕組みが不可欠である。具体的には、アップデートの方法をあらかじめ検討し、アップデートを行う機能を機器に搭載し、必要な更新を実際に実施するという一連の対策が挙げられる。IoTセキュリティガイドラインの要点17でも、この考え方が対策例として示されている。