実は、前回紹介したIoT機器を狙うマルウェア「Mirai」は、そうしたエンジニアの心理も巧みに利用していました。機器の状態を把握したり、設定を変更したりするために用意された、「お客さまには知らせていない“裏口”」が利用されてしまうのです。このような仕組みのことを「バックドア（裏口）」といいます。

　「そんな裏口なんてわざわざ作らないだろう」と思うかもしれません。しかし、物理的な機器には、開発者が使う端子や調査用ポートが残っているケースが多くあります。このような感覚でソフトウェアにも、開発者だけが知っている“内部調査のための仕組み”が存在している場合が多いのです。もちろん、開発段階であればそれでもいいのですが、製品出荷段階でそうした“裏口”が残ったままになっているのはかなり危険です。

　まず、皆さんに知ってほしいのは、「仕組みをマニュアルに書かず、一般には知らせないこと」「仕組みを秘密にしていること」は“セキュリティ対策ではない”ということです。

　機器の内部を調査できるよう、マニュアルには載っていない“開発者だけが知るリモートアクセスの仕組み”があったとしたら、それは立派な「脆弱（ぜいじゃく）性」です。もし、そういうものが既知になってしまったら……。開発者だけでなく、悪意ある者がそれを利用して機器に侵入してくるかもしれません。また、そうした裏口は、開発者向けにひそかに用意したものなのでログも取得できず、アップデートもままならないなんていうことも十分にあり得ます。開発者にとって便利なものは、悪意ある者にとっても便利なものなのです！

　調査用に古い「telnet」が接続できるままになっていたり、お客さまがログインできるユーザー名／パスワードの他に、製造者がひそかに1つ、削除も変更もできない管理ユーザーを作っていたりすることは、現代においては危険極まりない行為です。製造・量産化前のタイミングまでに、こうした開発者向けの仕組みが全て消されていることを確認してください。

それでもデータを取りたければ、しっかり暗号化して、しっかり伝える！

　そうは言っても「お客さまのため」を考えたとき、機器の情報を取得する仕組みが必要なケースもあるでしょう。そのような場合は、バックドアと気付かれないように、しっかりと「暗号化」する必要があります。暗号化を適切に行えば、悪意ある者に盗聴されることもないでしょう。

　そして同時に、「プライバシー」についても考慮すべきです。設置された機器が持つ情報は、お客さまのものです。製造元だからといって、勝手にお客さまの情報をのぞき見してはなりません。

　それでも、サポートのために機器情報の中身を把握する必要があるかもしれません。その際は、サポート契約上どこまでが見えて、どこからは見えてはいけないのかを、設計時に把握して、それをしっかりと機器に反映させなくてはなりません。

　このようにIoT時代のエンジニアは、“見えていいもの”“見えてはいけないもの”を把握しながらモノづくりをする必要があります。機器を分解しなければ見えない、秘密のポートと同じ感覚でできていたことも、ネットにつないだ瞬間に「全て丸見えになってしまう（見えないもの、気付かないものなどない）」と考えた方がいいでしょう。IoT機器の開発は、暗号化、プライバシー、特権管理といった手法と無縁ではいられません。IoT機器の開発は、セキュリティ対策をはじめとするたくさんの知識が必要となりますが、そのような知識を習得するきっかけとして、本コラムが皆さんのお役に立てれば幸いです。

&raquo 連載バックナンバー

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追い掛けている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。現在、ITmediaエンタープライズにて、もはや誰もが人ごとではないITの課題や話題を紹介する「半径300メートルのIT」を連載中。また、それをまとめた書籍「デジタルの作法～1億総スマホ時代のセキュリティ講座」も発売中。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さまに覚えていただけるようなコラムにしたいと思います。お楽しみに！

併せて読みたいお薦めホワイトペーパー：

• 通信事業者58社に聞く、5G動向調査レポート「けん引役はIoT」
• 5Gは「IoTデバイスを制御する」ことだけが目標？
• モノのインターネットを支える技術とその可能性
• IoTの運用管理におけるネットワーク 7つの課題

IoT関連情報をまとめてチェック：

IoT（Internet of Things：モノのインターネット）にまつわる業界・企業動向、技術トレンド、IoT活用ソリューション、IoT構築支援サービスなどの情報をまとめてお届けします（特集ページはこちら）。