ネットワークに接続できる組み込み機器が急増している。

例えば音楽を聴く場合、ネットワーク経由で音楽データをダウンロードし、通勤途中に携帯電話で、電車に揺られながらiPodで、自動車ではカーナビ、自宅ではデジタルテレビやパソコンで音楽データを再生し、楽しめる。機器によっては、ほかの機器と有線や無線で繋げてデータをやり取りできるものもある。そして、こうしたネットワーク機能は製品の差別化を図るための重要なポイントでもある。

一方、さまざまな組み込み機器が繋がることにより、記録されている個人情報が流出したり、コンピュータウィルスに感染するといった恐れも出てきている。機器どうしが連携して動作する場合、セキュリティの面から具体的にどのような脅威があり、どうした対策を取るべきなのだろうか。

情報処理推進機構(IPA)は、「複数の組込み機器の組み合わせに関するセキュリティ調査報告書」を同社のWebサイトで公開した。この報告書では、「情報家電」「カーナビ」「携帯電話」の3種類の組み込み機器を取り上げ、これらが連携した場合に起こり得る脅威について述べている。そして、こうした脅威を回避するために注意すべき5つのポイントを挙げている。

機器の連携に潜む脅威

調査報告書では、「経済的に被害を受けること」「利用者が身体的被害を受けること」「利用者のプライバシが侵害されること」の3つを『脅威』の定義としている。そして、複数の組み込み機器が連携して動作することにより、次のような脅威が発生するとしている。

  • 流通する情報の増大や拡散
  • 情報漏洩の危険性の増大
  • 予期しない情報の利用や削除
  • 被害の発見の遅れや拡大
  • より深刻なセキュリティ被害の発生
  • 安易な利用による危険性の増大
  • 改ざんの危険性の増大
  • 自由な利用や接続による危険性の増大

例えば、機器どうしを自動的に接続できる「プラグアンドプレイ機能」。この便利で付加価値の高い機能にも脅威は潜んでいる。

そもそもプラグアンドプレイ機能は、手持ちの機器どうしを簡単に接続するための機能である。利用者はコンピュータの扱いに慣れていないかもしれないし、あれこれ設定が必要なようでは、その機器は利用者にとって不便なものとなるだろう。また、あれこれ制約を設けては、他社製品とは繋がらない製品になってしまうかもしれない。

だからと言って利便性だけを追求し、繋げられるものはすべて繋げ、すべてのデータにアクセスできるようにしたらどのような事態が起きるだろうか。利用者を脅威にさらすこととなるのは明白である。

接続にUSBケーブルなどの"線"を使う場合は、どの機器がどの機器に繋がっているのか、目に見えて分かりやすい。しかし、Bluetoothなどの無線の場合には目に見えないので分かりにくいし、いつの間にかその機器が周囲の機器や近所の無線LANと勝手に(自動的に)繋がってしまうといったこともあり得る。そこから重大な個人情報やデジカメで撮った秘密の写真が流出したり、大事なデータが改ざんされたりするかもしれない。また、機器間でコンピュータウィルスがやり取りされるといった事態も起こり得る。

つまり、機能や利便性を追及するだけでなく、セキュリティの面で何らかの対策を講じなければならない。

注意すべき5つのポイント

調査報告書では、こうした脅威への対策は開発者側で行うだけでは不十分であり、利用者に適切な利用を促すことも必要としている。その上で注意すべき5つのポイントを挙げている。

(1) 保護すべき情報種別の拡大

  • 開発者が行う対処 : 組み込み機器が蓄積、通信する情報を必要最小限の範囲に絞り込む
  • 利用者へ促す事項 : 組み込み機器に入力する情報がネットワークなどを介して漏えいする危険性があることを操作説明書や画面表示などで注意を与える

(2) 中間に位置する機器の脆弱性

  • 開発者が行う対処 : 通信時に一定のセキュリティを保てる仕組みを検討する
  • 利用者へ促す事項 : 組み込み機器に、設計・開発時に想定していない機器やメディアの接続を行うことの危険性を利用者に注意喚起する

(3) 意図していない情報の拡散

  • 開発者が行う対処 : 組み込み機器に格納された情報への外部からのアクセス管理を厳密に行う
  • 利用者へ促す事項 : 情報を読み出すパスワードなどに、想定されやすい文字を設定しないよう、利用者に注意喚起する

(4) 利用者や連携する組み込み機器の多様化・不特定化

  • 開発者が行う対処 : ほかの組み込み機器との接続状況や通信状況を利用者に分かりやすい形で画面表示する
  • 利用者へ促す事項 : 画面に表示される用語や略語などについて解説を行う

(5) 社会・生活への影響の深刻度

  • 開発者が行う対処 : 生活インフラを設置する施工業者にも、セキュリティに関して認識してもらえるようにする
  • 利用者へ促す事項 : メーカからのアナウンス等に注意するよう、利用者に促す

高度化する組み込み機器だが、開発にあたってはセキュリティへの対処も重要事項となってきている。また、利用者に安全な利用方法を分かりやすく伝えることも必要である。