IoTはセキュリティなしに成功せず - Nokiaのセキュリティトップが語る"守り方"

自動車、家電などさまざまなモノがつながるモノのインターネット(IoT)の時代が現実になりつつある。だが、「セキュリティなしには成功しない」と警告するのは、フィンランドNokiaのノキアネットワークスでセキュリティ事業部門バイスプレジデントを務めるGuiseppe Targia氏だ。

沖縄で開催された「Cyber3 Conference 2015」に参加するために来日したTargia氏が11月9日、都内でNokiaの考えるIoT時代のセキュリティについて話をした。

10年後の2025年、インターネットを利用する人は50億人まで増えると予測されているが、インターネットに対応する"モノ(Things)"は、その10倍となる500億台にまで拡大するという。モバイルデータのトラフィックは今後、年率40%のスピードで増加し、コンテンツの80%は動画が占めるようになる。さらに、50%の"モノ"が、人間が介在することなく、ネットに接続される。

これらネット対応のモノは、Nokiaがいうところの「プログラマブルな世界」の素地を作る。そこでは「インテリジェンスを持ち、モノが通信しあう世界になる」とTargia氏は展望を語る。ネットワーク側では需要に応じてリアルタイムでコアネットワークや無線を適応させられるようになるのだが、その下支えとなる技術が、2020年に商用化されるとみられる次世代の無線通信規格「5G」だ。

5Gはこの世界を見越し、下り最大10Gbps以上という高速性と、1ミリ秒以下という低レイテンシー、1万倍のトラフィックを支えるキャパシティーなどの要件を満たすように標準化が進められている。クラウドを利用することでアプリケーション環境がユーザーの移動に合わせて移動できるようになり、拡張現実(AR)や、自動運転カー、遠隔医療など、われわれに多大な利便性を及ぼすことが予想される。また、「インダストリー4.0」に代表されるように、製造現場においても大きなメリットが期待されている。

「しかし、これらはセキュリティなしにはうまくいかない」とTargia氏は警告する。

実際、サイバー空間の脅威は急速に変化/拡大している。かつては個人が趣味ベースで腕試し的に行われていたハッキングだが、いつしか組織化され、高度なプロによるオペレーションが増えている。モバイルのマルウェアはボットネット化するケースも出てきており、9月には初とされるiOSのマルウェア「XcodeGhost」が報告された。アンダーグラウンド市場では簡単に攻撃を開始できるエクスプロイトキットが販売され、サイバー攻撃の敷居をさらに下げた。このように、Targia氏はトレンドをまとめる。

IoTの脅威に絞ってみると、「サービスの中断」「システムの破壊・妨害」「システムののっとり」「情報の不正収集」「システムの操作」の5つに大きく分類される。たとえばサービスの中断では、ネットに対応した監視カメラ、信号が動かなくなるなどの攻撃がすでに起こっているとのこと。街頭の看板が書き換えられた例も報告されている。この日Nokiaは、監視カメラをのっとり、クリック広告の仕組みを悪用して、不正に収入を得ると同時にスパムメールを送りつけるというデモを行った。

ネットワーク機器ベンダーのNokiaがセキュリティを重視する理由は、単にセキュリティが重要になっているからだけではない。PCとは異なり、末端にある端末側はアンチマルウェアソフトを搭載しないものがほとんどだ。このような状況では「ネットワークレベルで脅威保護が重要になる」とTargia氏は主張する。そして、ネットワーク事業者とNokiaなどのネットワーク技術ベンダーの役割として、「ユーザーとIoTデバイス、IoTサービス事業者、インフラの4つの点から保護する必要がある」と説明した。

IoTのセキュリティ、具体的な課題は?

IoT特有の課題はいくつかある。例えば製品ライフサイクルでいえば、スマートメーターなどのIoTデバイスは、これまでの携帯電話と比較すると長く使われる傾向にある。これは、「どのようにしてデバイスを最新の状態にアップデートするか」という課題をもたらす。また、デバイスが発するシグナル(信号)を、マルウェアから操作することでシグナルをたくさん送りつける「シグナルストーム」の可能性もあるという。

ネットワーク側のセキュリティ対策としては、SIMやソフトSIM(UICC、eUICC)などを利用した確認と認証、ネットワークアクセス制御、データ保護、ネットワークのアベイラビリティ、そしてIoTデバイスの管理サービスなどがある。またTargia氏は、具体的な対策として、「望ましいIoTトラフィックのみを許可するなど攻撃のベクトルを減らす」ほか、「異常なトラフィックとシグナルの検出」「ファームウェアと設定のアップデートなどのセキュリティ管理」「最新のセキュリティプロトコルの利用」などのアプローチを紹介した。

NokiaはTargia氏のもとで2014年にセキュリティ事業を立ち上げ、ソリューションの開発と提供を進めている。Targia氏は同日、Nokiaのセキュリティソリューションの中から「Mobile Guard」を紹介した。日本では営業活動を始めたところの製品だが、モバイルネットワーク上のデバイスのモニタリングが可能になるもので、検知機能と、マルウェアデータベース、アクションエンジン、ダッシュボードで構成されている。

スマートフォンなどの既存の携帯端末に加えてIoTもカバーしており、携帯端末がすべきではない行動に基づく"ブラックリスト"のアプローチであるのに対し、IoTでは端末がすべきことのみを許可する"ホワイトリスト"のアプローチをとる。これにより、異常を検出して管理者に知らせたり、端末を隔離するなどの緩和策をとることができるという。