仏スーパーの冷蔵庫がハッキングされた事件、海外「IoTのsはセキュリティの意味」
姉妹サイトの新着
海外掲示板Lemmyのc/europeで、フランスの約100店舗のスーパーで使われている業務用冷蔵庫がネット経由でハッキングされた事件が話題になっていた。原因はファームウェアが更新されておらず、外部から遠隔接続できる状態だったことで、この件を受けてEUのサイバーレジリエンス法にも言及が及んだ。スレでは「そもそも冷蔵庫をネットに晒す設計自体が間違っている」という批判と、「温度などを監視するための遠隔接続には合理性がある」という意見が対立し、セキュリティとシステム運用の両立をどう図るべきかで議論が割れた。
笑えない話:フランスのスーパーの冷蔵庫をハッキングしたのは誰だ?
技術的に何が起きたのか、どんなソフトウェアの脆弱性が突かれたのか、ファームウェアを更新していなかった冷蔵庫が被害を受けたことなど、多くの側面をカバーしたいい記事だ。こうした事態を防ぐことを目的としたEUのサイバーレジリエンス法についても触れられている。
産業用システムを安全にするには何年もかかる作業になる。多くのシステムは数十年前のもので、ソフトウェアやプロトコルがそもそもセキュリティを考慮して設計されていないからだ。これは「スマートホーム」機器や「スマートTV」のような消費者向け製品にも当てはまる話で、こうした製品は必要な更新ができるようには作られていないことが多い。
出典: en.wikipedia.org / 元記事はこちら
セルフホスト界隈の仲間たちも毎日「安全な遠隔接続をどう構築すればいいか」と聞いてくるけど、答えはだいたい「できるならやめとけ」なんだよな。
それについて教えてほしい。自分も色々セルフホストしてるけど、どこからでも使えるのがその醍醐味の半分なんだ。適切な暗号化と、可能ならmTLSを使えば、そんなに難しくないし十分管理できると思うんだけど。
「温度上昇や故障の兆候に誰かが気づけるよう、モニタリングのためだ」と言いたかったんだけど、よく考えたら冷蔵庫側への遠隔接続なんて要らなくて、ローカルのセンサーがサーバーに報告するだけで済む話だよな…
@elvith @bedwyr 冷蔵庫自体にたくさんのセンサーが付いていて、そのデータを読み取って集計できれば故障前に対処できるようになるかもしれない。でも、それをインターネット上に公開状態にしておくのは、本当に、本当に、本当に馬鹿げたことだ。
これこそが「IoT」がみんなに届けるものだよ!!
そう、「IoT」の中の「s」は「セキュリティ」の略だからな(もちろん皮肉だ。IoTという単語にsの文字はない=セキュリティは存在しないという定番ジョーク)。
@001 @HaraldvonBlauzahn これは業務用の冷蔵庫だから、専用アプリみたいなものは無いと思うよ。
@HaraldvonBlauzahn パスワードは「今日の日付そのもの」じゃなくて、「日付をもとに生成されたもの」だったんだよ。
この話題の背景と論点
この事件は、EUが導入した「サイバーレジリエンス法」が想定する典型的なリスクの一つだ。同法はネットに接続する機器にセキュリティ更新や脆弱性対応を義務づけることを目的としているが、今回ハッキングされた冷蔵庫のように数十年前から使われている産業用システムは、そもそもセキュリティを前提に設計されていないものが多く、改修には長い時間がかかる。スレで意見が割れたのは遠隔接続そのものの必要性だ。温度などの監視目的なら遠隔からの「読み取り専用」で十分という意見と、故障時に遠隔から介入できる利点を重視する意見が対立した。また、これは家庭用スマート冷蔵庫ではなく店舗の業務用機器で、専用アプリは存在しないという訂正も入っており、消費者向けIoTの問題と業務用インフラの問題を混同しないよう注意が必要な点だ。パスワードが「日付そのもの」ではなく「日付を基にした生成規則」だったという指摘も、脆弱性の実態を正確に捉える上で重要な補足になっている。
※本記事は海外掲示板 Lemmy c/europe のスレッド「Not cool: who hacked France’s supermarket fridges?」から抜粋し、編集部で日本語に意訳したものです。訳文の責任は当サイトにあります。
まだコメントはありません。