TCP/IP利用もしっかりアップデートを

　そしてもう一つ、IoTに関係して大きな事件が発生しています。

　「Ripple20」と名付けられた脆弱性が発見されています。これはTreckが開発したTCP/IPスタックにおける脆弱性で、任意のコード実行を含む影響が想定されています。問題はこのスタックを利用した機器が多岐にわたることで、影響するデバイス数は数百万とも、数億とも、数千億ともいわれています。要するに、全体像が見えないほど影響が発生する可能性があるわけです。

　そして大きな問題は、20年以上前から利用されているものであり、簡単にアップデートすることが難しいという現状です。カスペルスキーのブログでは、対処方法として

• 全デバイスのファームウェアをアップデートする（今回の脆弱性があろうとなかろうと、実行をお勧めします）
• 重要なIoTデバイスのインターネット接続を最小限にとどめる
• オフィスのネットワークを、このようなデバイスが使用されているネットワークから切り離す（こちらも、今回の脆弱性とは無関係に推奨します）
• IoTデバイスが接続するネットワークでDNSプロキシを構成する

と挙げています。これはよく読むとIoTデバイス利用における基本的な対処であり、今回の脆弱性の根本対策ではありません。もし皆さんが対象のデバイスを持っていたとしたら、「しっかり対策しろ！」と思うかもしれません。

　視点を変えてみましょう。もし皆さんが販売するIoTデバイスで、このような脆弱性が発見されてしまった場合、もはや「交換」しか取れる対策がありません。そうならないためには、やはりアップデートの仕組みをしっかり用意しておく必要があるのです。

　いまからリリースするIoT製品は、脆弱性がある前提で、安全にアップデートできる仕組みをしておくというのが、今回のRipple20の教訓として生かすことにつながります。しっかりと情報を追いかけておくことをお勧めします。