IoTにおけるオープンソースソフトウェアの保護：ソフトウェアリスクの軽減

世界には現在70億台のIoTデバイスが存在します。CASTのLev Lesokhin氏は、2025年までにこれが3倍の215億台に達すると予測しています。急速な成長により、メーカーはこれまで以上に速く製品を投入するよう迫られ、しばしばソフトウェア品質を犠牲にしています。

市場投入までの時間を短縮するため、多くの企業がGitHubやApacheなどのオープンソースコミュニティから既製パッケージに依存しています。しかし、CASTの2018年ソフトウェアインテリジェンスレポートが示す通り、これらのプロジェクトの大部分がセキュリティコンプライアンスの面からは不十分です。

オープンソースコードには、堅牢な組み込みセキュリティが稀です。出荷の急ぎの中で、企業は徹底的なセキュリティレビューを省略しがちで、70億台すべてのデバイスが攻撃者に対して脆弱な状態に置かれています。

エンタープライズグレードのトランザクションシステムとは異なり、多くのIoTファームウェアは、主な焦点が機能性であってデータ保護ではない組み込みソフトウェアエンジニアから生まれます。このミスマッチにより、多くの開発者が機密データを守るために必要な専門スキルを欠いています。

誰でもオープンソースに貢献できるため、セキュリティと品質基準の維持は本質的に困難です。非効率、粗雑、さらには悪意のあるコードが気づかれずに紛れ込む可能性があります。

購入者はこれらの弱点をほとんど発見しません。IoTデバイスを業務効率化のツールと見なし、所有者に対して武器化されうる潜在的ベクトルとは見ていません。

世界の目はあなたのコードに注がれている

独自の社内コードにも欠陥はあり得ますが、通常は契約開発者だけが目にします。独自ソースは非公開で、外部の目から守られています。対照的に、オープンソースは公開されており、取り込み前に潜在的攻撃者を含む誰もが検証できます。

2013年、Targetは気候制御システムの欠陥を攻撃者に悪用され、2.2億ドル（約1,940万ユーロ）のクレジットカード情報漏洩被害を受けました。ベンダーの認証情報が盗まれ、導入時に未変更のまま放置されていたため、インストールされたすべてのユニットが晒されました。

自らを守る前に自らを知れ

脆弱性を完全に排除することはできませんが、以下の3つの重要なステップでその可能性を抑制できます：

1. ソフトウェアの系譜を理解する。 メーカーは自分たちが出荷するコードを正確に把握しなければなりません。責任を持って使用すればオープンソースは貴重ですが、その由来をソースまで遡り、既知の脆弱性と照合すべきです。

2. セキュリティに十分な時間を割く。 製造後の修正はコストが高く、しばしば無効です。Target事件は、デバイスがフィールドに出た後、残留欠陥がいかに容易に攻撃者に悪用されるかを示しています。

3. エンドツーエンド分析を実行する。 コードベース全体をスキャンし、指摘された弱点を迅速に対処し、技術的負債を解消します。目標は、エンドユーザーを長年にわたり保護するレジリエントなシステムです。

最終的に、Targetの気候制御ベンダーは現在も調査中で、継続コストは約1,850万ドル（約1,630万ユーロ）に上ります。こうした高コストな見落としは、避けられるだけでなく、避けなければなりません。

本ブログの著者は、CASTの戦略・分析担当EVP、Lev Lesokhin氏です。