コラム門林教授による、サイバーレジリエンスコラムのご紹介(10)アクセリア株式会社(www.accelia.net)の[お役立ちコラム]で公開中の、門林雄基教授による「サイバーレジリエンス」に関する記事の第8話を紹介します。前回の記事からずいぶん時間が経ってしまいましたが、今回も前回に引き続き、ネットワークの通信プロトコルに潜む脆弱性について見ていきましょう。前回は「モバイルで脆弱」「自動設定で脆弱」という話をしました。このように、ひろく使われている状況で懸念されるプロトコル脆弱性ですが、他にはどんな状況で気をつけるべきでしょうか。プロトコルというと、せいぜいパソコンやスマホでインターネットを使う時のものだと思っている人もおおいと思います。ところが実際には、私たちの身の回りのさまざまなインフラで、数多くのプロトコルが使われています。自動車がじつはコンピュータの塊だというのは最近よく聞く話です。自動車のブレーキやパワーウインドウなどにくっついた小さいコンピュータが、独自のプロトコルで「状況報告」や「指令」を送っているわけです。この、独自プロトコルというのがじつは曲者です。最近、高級車がハッキングされて海外では億単位の窃盗被害が出ていますが、これが実は独自プロトコルの脆弱性を突いたものだと言われています。自動車のキーレスエントリーを作っているエンジニアは「独自プロトコルだから大丈夫」とたかをくくったのかもしれませんが、独自プロトコルの解析は、実はさほど難しくありません。解析できないほど複雑なプロトコルを作ったら、それはそれで脆弱性の発生源になってしまいます。安全なプロトコルを設計するのは、実はとても難しく、欧米のITトップ企業はこのために、情報科学でドクターをとった研究者を何人も抱えています。脆弱性を発見できる研究者は貴重です。そのものが電子商取引の礎であり、その安全性が数百万人の顧客のプライバシや財産の安全に直結するのはもちろんのことですが、それ以上に、自社で設計するプロトコルに脆弱性がないか徹底的に検査してくれる、というメリットがあります。プロトコルの安全性検証というのは、ソフトウェアの安全性検証とならんで30年以上のノウハウの蓄積をもつ世界です。ITトップ企業は、そういう博士号を持った人材を囲い込むことがコア・コンピタンスですから、こういう人材を一定数雇うことが競争優位につながる、なんてことは殆ど言いません。覚えた程度の専門学校生や、情報科学で修士をとったぐらいのアマチュアには絶対に務まらない、難しい設計業務があるのだということを、企業トップも知るべきです。搭載していることから、ひとたび悪用された場合の効果は絶大で、このためバックドア(抜け穴)がないか執拗に探しているグループが世界中にいます。会話にたとえると、こんな感じです。「ようこそ、管理者さま」この場合、「ひらけごま」がバックドア(抜け穴)に通じる合言葉となります。製品で問題なのは、おなじ合言葉を使えてしまう製品が数万台、時には数十万台出荷されている、ということです。ボットネットは、世界中の監視カメラにバックドアから侵入して制御を乗っ取り、非常に大規模なサイバー攻撃で世界を騒がせました。製品のバックドアを悪用したボットネットがさらに大規模な問題を引き起こすことでしょう。けしからん、バックドアは禁止しろ、と呻く声が聞こえてきそうですが、ここは現実を直視して、なぜバックドアを作り込んでしまうのか動機を探ってみましょう。挙げられるのがデバッグとトラブル対応です。製品はちょっとした電球やカメラ程度のモノに小さなパソコン相当の機能を組み込むわけですから、ディスプレイとキーボードがない。遠隔操作ができないと、うまく動作しなかった場合、お手上げです。「お手上げです」あなたがヘルプデスクだったとして、こんな対応しか記載されていない製品、サポートできるでしょうか。開発チームがセキュリティマニアで、個体ごとに違うパスワードを設定したとしたらどうでしょう。うちビル管理会社なんだけど?」。機器の導入先であるユーザ企業のリテラシや、ヘルプデスクの技術レベルなどを考えると、トラブル対応とセキュリティを両立するために複雑なことをやらせるのは考えものです。・・・ここから先は、アクセリア株式会社で公開中のコラム本編でご確認ください。今後ともcrash.academyをよろしくお願いいたします。ComputeEngine。