私たちはいま、組み込み機器のセキュリティにおいて、 きわめて重要な分岐点に立っている。いわゆる「モノのインターネット (IoT)」に 代表されるように、コンピュータが機器自体の中に組み込まれるようになっている。 これらの組み込み機器はセキュリティ上の脆弱性であふれかえっており、 それらにパッチを当てる有効は方法は存在しない。
この状況は、1990年代中盤に起きていたこととさほど違ってはいない。 このころ、パソコンのセキュリティ問題は危機的なレベルに達していた。 OSやソフトウェアはセキュリティ上の脆弱性であふれかえっており、 これらにパッチを当てる有効は方法はなかった。企業はこれらの脆弱性を ひた隠しにしようとし、セキュリティ上のパッチも迅速にはリリースされなかった。 たとえリリースされたとしても、ユーザがそれをインストールするのは 不可能か、そうでなくとも非常に困難だった。だがこの状況は過去20年間で 大きく変化している。脆弱性を公開して企業にパッチの公開を強要する フル・ディスクロージャ (full disclosure) の活動のおかげだ。 いまでは自動アップデートもある。これはユーザのパソコンに アップデートを自動的にインストールするものだ。 結果はまだ完璧とはいえないが、それでも以前と くらべると状況はずいぶんよくなった。
しかし今回、問題はもっとずっと深刻だ。あれから世の中は変わったのである。 いまやこれらの装置はインターネットに接続されている。ルータやモデムに内蔵されている コンピュータは 1990年代のパソコンよりもずっと強力になっており、 さらに「モノのインターネット」によってあらゆる家電製品にコンピュータが 入るようになった。そしてこれらの機器を製造しているメーカーは、 パソコンメーカーやソフトウェアメーカーよりも こうした問題を解決することに対してさらに無力である。
この問題を解決しなければ、私たちはやがてセキュリティ上の大惨事にみまわれるだろう。 ハッカーにとって、ルータを乗っ取るのはパソコンを乗っ取るよりも簡単なのである。 近ごろ開かれた Def Con では、ある研究者が 30種類の家庭用ルータを調査し、そのうちの半分を乗っ取ることに成功した - そのうちのいくつかは非常に普及しているブランドのものだ。
この問題の深刻さを知るためには、 まず組み込み機器の市場というものを理解しておく必要がある。
普通、これらのシステムは Broadcom、Qualcomm や Marvell といったメーカーが 製造した特別なコンピュータ・チップを使っている。こうしたチップはたいてい安価であり、 したがって利益も少ない。価格を除けば、各メーカーがお互いに差別化できるのは、 多機能化とネットワークの帯域だけだ。彼らは通常こうしたチップに Linux オペレーティングシステムの一種と、その他のオープンソースまたは商用の コンポーネントやドライバを載せている。 彼らは製品を出荷するために最小限の開発作業しかしておらず、 絶対に必要にならないかぎり、これらの「基盤サポートパッケージ (Board Support Package)」をアップデートする理由はない。
システム開発メーカー (通常 ODM、Original Device Manufacturers と呼ばれる) は、 多くの場合自分たちの社名を最終的な製品に使うことはないので、 使用するチップを機能と価格で選ぶ。そしてルータやらサーバやらを製造する。 彼らもまた多くの手間を開発に費やすことはしない。その後、箱にブランドをつける 会社がユーザ・インターフェイスをつけたり何か新しい機能を足したりすることは あるかもしれないが、全部ちゃんと動くようにしたら、それで終わりだ。
このプロセスにおける問題は、どの段階における会社も、ソフトウェアを いったん出荷してしまったら、それにパッチをあてる動機も、技術も、 手段さえも持っていないということだ。チップメーカーは次期バージョンの チップを開発するのに忙しく、ODM はそのチップを使って製品を グレードアップするのに忙しい。古いチップやそれを使った製品を保守するという 作業はまったく重要とはみなされない。
しかもこれらのソフトウェアは古くなっている、たとえ機器そのものが新しいとしても、である。 ある調査によれば、標準的な家庭用ルータで使われているソフトウェアは その機器よりも通常4年から 5年ほど古いものだ。使われている Linux システムは もっとも新しいもので 4年前のバージョンである。Samba ファイルシステムの サーバソフトウェアは 6年前のものが使われている。これらには、 セキュリティ・パッチが当たっているかもしれないが、おそらくほとんどは 放置されているだろう。誰もそんな仕事をする人はいないのである。 一部のソフトウェア部品はあまりに古く、もはやパッチが当てられない。 これらのパッチは非常に重要だ、なぜならセキュリティ上の脆弱性というものは システムがより古くなるにつれて「より容易に見つかる」ものだからだ。
さらに悪いことに、こうしたソフトウェア部品にパッチをあてたり アップグレードしたりするのは時に不可能ですらある。完全なソースコードが 入手できないということが、しばしばあるからだ。Linux やその他のオープンソース ソフトウェアのコードは入手できるだろうが、多くのデバイスドライバやその他の部分は ソースコードがまったく存在しない、ただの「バイナリブロッブ」である。 これこそが問題のもっとも悪質な部分である。 ただのバイナリには誰もパッチを当てることができないのだ。
たとえパッチが可能だとしても、それが実際に当てられることはほとんどない。 ユーザは適切なパッチを手動でダウンロードしてインストールする必要があるが、 そもそもユーザは最初からセキュリティ・アップデートに対する通知を 受けとったりしないし、これらのデバイスをいじる知識も持ち合わせていない。 したがって、やりようがないのである。ISP によっては、プロバイダが 遠隔操作でルータやモデムにパッチを当てるということもありうるが、 これは非常にまれな例でしかない。
その結果起きているのは、何億台という機器がインターネットにつながって、 過去5年から10年の間、パッチも当てられないまま危険な状態になっている、 という現状である。
ハッカーたちはすでにこのことに気づき始めている。 Malware DNS Changer は パソコンもルータも攻撃する。ブラジルでは、 450万台の DSLルータが侵入された。 目的は金をまき上げる詐欺に使うことである。 先月のシマンテックの報告によれば、 家庭用ルータやカメラなどを標的にしたLinuxワームが出回っている。
これらはほんの始まりにすぎない。「スクリプト厨房」たちにとって、 このゲームに参入するには簡単に使えるツールを手に入れればいいだけなのだから。
そして「モノのインターネット」がさらに状況を悪化させる。 インターネットは - 私たちの家や装備品も含めて - 新しい 組み込み機器であふれかえっており、それらはどれも等しく いい加減に管理されており、パッチ不可能である。しかし、 ルータとモデムはとりわけ問題だ。なぜならこれらは (1) ユーザとインターネットをつねに中継しているので、 電源を切ることはますます困難になっているし、(2) その他の組み込み機器と比べて よりパワフルであり使い回しがきく。そして (3) 24時間電源が入っており、 新しい機能を増やすのに自然な場所だ。
パソコンでもこういうことがあったが、そのときは問題は回避された。 しかし、同じようにメーカーに問題を解決させようとして脆弱性を公開する手法は、 組み込み機器に対してはうまくいかない。前回のときは、問題は パソコン自身であり、それらの多くはまだインターネットに接続されていなかったし、 ウイルスの拡散速度も遅かった。いまではこのスケールは違っている。 より多くの機器、より多くの脆弱性、インターネット経由で以前よりもずっと 速く拡散するウイルス、そしてユーザ・業者のどちらも、 より専門知識の少ない一般人になっている。 加えて、これらの脆弱性はパッチ不可能だ。
これらすべての機能とアップデートの欠如、それに 誰もアップデートできない・させないという有害な市場原理があいまって、 大災害はいま私たちの目前にせまっている。それが起こるのは時間の問題だ。
私たちはとにかくこの問題をなんとかしなければならない。 組み込みシステムメーカーにはもっといいシステムを作るように ハッパをかけなければいけないし、オープンソースのドライバソフトウェアが必要だ -- バイナリブロッブはもうごめんだ! -- それからサードパーティの業者や プロバイダには、その機器が使われている間はきちんとしたセキュリティツールや アップデートを提供させなければいけない。パッチが必ずインストールされるような 自動的なメカニズムも必要だ。
経済的な動機づけとしては、大手プロバイダーはこの変化の原動力となるのに向いている。 そもそもの責任が彼らにあるのかどうかは別として、ISP はパソコンの クラッシュなどでよく電話サポートを提供する立場にある。ときに彼らはユーザに 新しいハードウェアを送らなければならない。なぜならそれがルータやモデムをアップデートする 唯一の方法だからだ。そのためのコストはその客からとれる一年分の利益を すぐに越えてしまう。この問題は悪くなる一方で、またより高くつくようになるだろう。 よりよい組み込み機器のためのコストを前もって払ってしまうほうが、 最終的なセキュリティ大惨事のコストを払うよりもずっと安いはずだ。