IoTトラフィックの98%が暗号化されていない現実――即時対策が必要な理由

Palo Alto Networksの2020年Unit 42脅威レポートによると、驚くべきことにIoTトラフィックの98%が暗号化されずに流れています。DigiCertのIoTセキュリティ担当VP、マイク・ネルソン氏もこの数字に衝撃を受けたと述べています。

昨年のZscalerレポートでも、IoTトラフィックの91%が暗号化されていないと指摘されており、同様の傾向が確認されています。

暗号化されていないトラフィックは、攻撃者がMan-in-the-Middle（MiTM）攻撃を行い、デバイスとネットワーク間のデータを傍受・改ざんすることを容易にします。

メーカーは市場投入を急ぐあまり、設計段階で基本的なセキュリティを軽視しがちです。企業はこうした脆弱なデバイスを、本来安全なはずのネットワークに導入してしまいます。攻撃者はShodanのようなツールで露出したエンドポイントを発見し、足がかりを得ることができます。

IoTは急速に拡大しています。McKinseyは2023年までに430億台の接続デバイスが存在すると予測しています。現在の「98%暗号化なし」という傾向が続けば、サイバー犯罪者は膨大なデータの「食べ放題」状態を享受することになります。

人々はしばしば、人形やドアベルのような気まぐれなハッキングを想像しがちですが、真の危険は大規模なエンタープライズ導入にあります。たった1台の露出したデバイスが、機密ネットワークへの入り口になり得るのです。

2017年、ラスベガスのカジノが魚の水槽を経由した侵害被害を受けました。水槽に接続されたIoTセンサーがフィンランドのリモートサーバーにデータを送信していましたが、調査の結果、ハッカーがこの水槽を踏み台としてカジノのハイローラー・データベースから10GBのデータを窃取していたことが判明しました。

この事件は3つの重大な問題を浮き彫りにしました：(1) カジノが保存していたデータが暗号化されておらず、攻撃者が容易に取得できたこと、(2) 不十分なアクセス制御により、攻撃者がIoTデバイスから機密データへ横展開できたこと、(3) 魚の水槽センサーがカジノの基幹ネットワークに統合されており、重要情報への直接的な経路となっていたこと。

このような侵害は、金銭的損失や顧客データの流出にとどまらず、重要インフラへの攻撃、停電、インターネット遮断、全国規模の医療システム停止を引き起こす可能性があります。

100%暗号化の実現に向けて

機密データは、保存時も転送時もすべて暗号化されなければなりません。たった1つの暗号化されていないデータストリームでも、攻撃者が悪用できる脆弱性となります。

ハブ、ゲートウェイ、クラウドを経由して常に移動するモバイルデータを暗号化するのは複雑ですが、多数のエンドポイントがデータをやり取りするエンタープライズIoTネットワークを守る上で不可欠です。

デジタル証明書を用いた公開鍵基盤（PKI）は、大規模IoT導入における相互認証とエンドツーエンド暗号化を実現する拡張性の高いソリューションです。先進的な企業はすでにPKIを採用し、ネットワークを保護しています。

進展はありますが、業界はさらなる加速が必要です。メーカーは暗号化、認証、完全性を製品に最初から組み込むべきです。事後対応の漸進的な修正では不十分です。

エンタープライズ規模の暗号化こそが、IoTセキュリティの未来です。主要メーカーがPKIを実装し始めた今、業界全体が速やかに追随すべきです。

著者：マイク・ネルソン、DigiCert IoTセキュリティ担当VP。

著者について

マイク・ネルソン氏はDigiCertのIoTセキュリティ担当VPとして、医療、交通、産業オペレーション、スマートグリッド、スマートシティなど、極めて機密性の高いネットワークとIoTデバイスを守るための戦略的市場開発を統括しています。

組織へのコンサルティング、メディアへの寄稿、業界標準化団体への参加、カンファレンスでの講演などを通じ、テクノロジーがいかにクリティカルシステムとそれらに依存する人々のサイバーセキュリティを向上させるかを発信し続けています。

キャリアの大半をヘルスケアITに費やし、米国保健福祉省、GE Healthcare、Leavitt Partnersなどで経験を積んできました。1型糖尿病患者として自身がコネクテッド技術を治療に活用している経験が、この分野への情熱の源泉となっています。