宮田健の「セキュリティの道も一歩から」（52）

自動車“が”脆弱性を突く？あっと驚く攻撃手法から学べること（1/2 ページ）

「モノづくりに携わる人」だからこそ、もう無関心ではいられない情報セキュリティ対策の話。でも堅苦しい内容はちょっと苦手……という方に向けて、今日から使えるセキュリティ雑学・ネタをお届け！今回は、身近なIoTとして「自動車のセキュリティ」についてお話しします。

公開 2020年08月21日 09時01分

更新 2024年01月24日 14時07分

著者

宮田健

[TechFactory]

印刷する連載新着通知を受け取る

　今回はTechFactoryらしく、身近なIoTのお話を。すぐそばにある“コンピューターの形をしていない”PCの代表格といえばやはり「自動車」なのではないでしょうか。自動車が誕生して以来、事故から人間を守るため、安全装置がたくさん考案されてきました。人の命を守るという意味のセキュリティは、自動車の性能の一つとして認識されているはずです。「このクルマはぶつかるとぺしゃんこになるけれど、すごく速い」。そんな自動車は選ばれるわけはありません。

　昨今、自動車はもはや走るコンピューターともいえるかもしれません。安全装置もインテリジェントになり、かつ便利に進化しています。そこには、もちろん脅威も含まれているのですが、その脅威も想像を超えた形でやってくるかもしれないということを意識しなくてはなりません。特に、そういったデバイスを作る側にとっては。

便利にする機械が、危険をもたらすかもしれない

　自動車のセキュリティにおいて昨今注目されているのは、新しく搭載された便利な仕組みに脆弱性が見つかることでしょう。例えばスマートキーにおける「リレーアタック」などが思い浮かぶでしょう。

　リレーアタックとは、自動車の電子キーが第三者により不正に利用されてしまうもので、電子キーの電波を専用の機械でリレーし、もともと微弱で短距離でしか届かない電子キーを、離れた場所でも届くようにして自動車を盗むというものです。トヨタの場合、電子キーを「節電モード」にすることで、常に発している微弱な電波を止めることができるとして、これを対策として提示しています。

　リレーアタックは実際に多数の被害が報道されています。その他にも、毎年夏に開催されているハッカーイベントなどでは、自動車を対象とした攻撃手法が発表されることが多く、夏になると一時的に自動車ハッキングは話題になるという印象です。そのほとんどはハッカー向けの研究レベルの内容で、実際に攻撃として利用するには条件が厳しく、そもそも影響範囲が限定的など、センセーショナルに報道される割にはその後の実例がないことが多いです。

　ただ、これを“作り手”が無視してはならないと思います。もう一つ、ぜひ皆さんに覚えてもらいたい脆弱性があります。

インターネットにつながらないスマートデバイスを攻撃する、こんなやり方もある

　その脆弱性とは、セキュリティベンダーのラックが報告した、トヨタ自動車のとあるソフトウェアに発見された「JVN#40400577」という番号の脆弱性です。

【注意喚起】自動車故障診断ソフトウェアにバッファオーバーフローの脆弱性（JVN#40400577） | セキュリティ対策のラック

　これは自動車そのものに存在する脆弱性ではなく、自動車のディーラーが使う診断用ソフトウェアに存在する脆弱性です。この脆弱性の興味深いところは、診断用ソフトウェアが自動車に専用のインタフェースでアクセスする際、自動車側のコンピューター側に不正な細工を行った場合、自動車に接続した診断用ソフトウェアを動かすPCに任意のコードが実行可能、つまり「乗っ取り」が可能になるというものです。インターネットにはつながっていなかったとしても、ディーラー側のデバイスにマルウェアを送り込むことが可能になってしまうのがこの事象のポイントといえるかもしれません。

次ページへ「そんなところから攻撃されるわけがない」