IoTセキュリティについての動向 Part 2

ながらく更新が遅れてました。(^_-)-☆

 

まず身近な例では「カメラ」ですが、ここでは街路、道路、コンビニ、河川、ダム、観光地等にどちらかというと外部に設置されており

今となっては防犯や洪水、津波の事前把握、観光地では、今日の富士山、湖等でよく使われますね。

インターネットでも見ることが可能で便利です。

ただインターネットにつながっているこれらの「カメラ」は実は半数以上にパスワードなし、あるいは簡易なパスワードで

管理画面へログインできてしまう。ということが実態ということです。

例えば

IDにadmin、root、userなど安易なものが、さらにはパスワードも同じもの使われている。というのがかなり多いのが実態です。

管理画面にログインされてしまうとなにが問題になるかというとわかりやすい例では以下です。

・コントロールできないので、見ることができない。

・誤った「洪水、決壊情報」になり危険レベルが改変されてしまう（危険状態なのに察知できない）

・ハッキングの踏み台になってしまう。つまりシステムを悪用され他のコンピュータ機器へのサイバー攻撃に安易に利用される（プロキシ）

違った例では（経済損失も）

・観光地は晴れているのに、画像は大雨画像で、足止めをしてしまう。

これらは「遠隔ハッキング」という問題が潜めてます。IoT機器はコスト面から汎用なソフトウェアで動いていることが殆どです。

背景には特に安価IoT（監視カメラなど）無料OSで代表されるLinux（リナックス）系を多く使ってます。

であれば世界の多くの人がメリット、デメリットがネットには多く出回っていますので一度システムに入りこめたのなら（管理者IDへ）すぐに、管理者IDとならなくても危険です。そればどこかにバグ（コンピュータの不具合プログラム）が存在しているからです。

ただバグといっても不具合のパッチ（修正プログラム）適用している場合は問題はかなり少ないです。

ただIoT機器は細かく管理（アップデート）※１、※２できていないため、

なぜこれらが存在しているかといいますと、最初の出荷時の製品は「完成品（１００％）」ではありません。（業界では当たり前なのですが）時間、コスト面もあり大概あとから修正されます。

最近のスマホなどを見ればいい例ですが、自動アップデート機能があります。残念ながらIoT機器（監視カメラなど）は殆どが手動です。自動にしてしまうと、更新さればプログラムに問題があれば動作しないという問題回避が難しいからです。

 →いつぜも現地に行かないとリセットできず、できたとしても再設定になり復旧に相当な時間等かかることになります。

ハッカーたちは動作しているプログラム情報を把握しているのでそれに見合った改変プログラムを仕込んでしまいます。

また問題なのはどのようなipカメラ検索サイトが調べられる「検索エンジン」があるという。（Googleやヤフーなどの

サービス）ここで簡単に知ることができてしまうというのが存在してしまってます。

有名なのは「zoomeye」しかしこれは実態が不明なカメラ検索サイトで総務省でも注意喚起している。（おそらく「中国サイト」）

その他は「Shodan」です。

しかし「zoomeye」は現在なぜがアクセス不可になってました（9月に入り）おそらく、中国、香港デモ「逃亡犯条例改正案」とも絡んでいると思われます。あれだけ毎日のように香港デモ映像が届いているわけなのでなにかをトリガーに国外には出したくないのでしょう。

いずれにしても日本ではまだまだ知られてない実態です。次は日本国内での取り組みについてもとり上げていきたいと思います。

参考までに

管理されたIoT機器などはこまめにパッチ適用していますが、例えば、街角や私邸などの個人的なかたが設置しているIoT機器いわゆる「防犯カメラ」はいちいちパッチ適用してません。またID管理もあいまいです。

「防犯カメラ」は安いものでは１万くらいで設置できるようになりました。それらがインターネット接続されている場合は同じ土俵（土台）にあるという視点が必要なのですが、セキュリティーが後手後手になってます。

★まず対策tしては、パスワードを強固なものにすること。

例えば、大文字、小文字、数字の組み合わせの８ケタ以上＝Xba09***

★IDも変更可能であればやっておくとよい。そうすることで２重のロックがかかる。

 

続く・・・・

 

 ※１：「バージョン」または「リビジョン」ともいいます。

※２：不具合を取り除いたり、新たな機能を追加したり、既にある機能を改良させること。