RIPE89 における IoT デバイスセキュリティに関する Michael Richardson

Michael Richardson on IoT device security at RIPE89 は、公開された証拠がインターネットインフラ、ガバナンス、運用依存関係、または市場の可視性に結びついているため、BTW Media によってプロファイルされています。

• IoT デバイスのセキュリティアップデートはしばしば軽視され、脆弱性を生み出しています。
• SUIT などの標準規格や規制の取り組みは、IoT セキュリティの向上を目指しています。
• 消費者と規制当局の協力が効果的なセキュリティには不可欠です。

はじめに

Michael Richardsonは、ネットワークおよびシステムアーキテクチャのコンサルティングで 28 年以上の経験を持つ、Sandelman Software Works のチーフサイエンティストです。彼の仕事は、組み込みシステムのパフォーマンスエンジニアリングにおけるセキュリティアーキテクチャに焦点を当てています。また、IETF（Internet Engineering Task Force）のメンバーであり、低電力および損失性ネットワークルーティング（ROLL）ワーキンググループの共同議長を務めています。セキュリティ分野、特に IPsec、BTNS、およびさまざまな認証ワーキンググループで活動し、RFC4025 および RFC4322 を執筆しました。

最大の問題は、私の考えでは、私たちが自分のデバイスを本当に所有していないことです。

Michael Richardson、Sandelman Software Works チーフサイエンティスト

IoT デバイスのセキュリティアップデートは依然として弱点である

多くの IoT デバイスは、信頼できるセキュリティアップデートのメカニズムを欠いており、これが主要な脆弱性となっています。IoT セキュリティと標準規格の専門家である Michael Richardson は、ソフトウェアを最新の状態に保つ重要性にもかかわらず、メーカーはユーザー設定とデバイスの安定性に関する懸念から、自動アップデートの実装をためらうことが多いと指摘しました。このためらいは、ファームウェアの変更がデバイスの動作を妨害したりユーザーに迷惑をかけたりして、消費者の不満につながる恐れから生じています。その結果、多くのデバイスが古いまま放置され、サイバー攻撃に対して脆弱になっています。

あわせて読みたい：Sateliot、5G NB-IoT 衛星コンステレーションを拡大

Richardson は、IETF の SUIT（Software Updates for Internet of Things）などの新たな標準規格に言及し、これらがアップデートプロセスをより信頼性の高いものにし、古いファームウェアに伴うリスクを軽減することを目指していると強調しました。SUIT は、ソフトウェアアップデートを安全に提供するためのフレームワークを提供し、デバイスが既知の脆弱性から保護されることを保証します。このような標準規格を採用することで、メーカーは IoT デバイスがその寿命を通じて機能的で安全であり続けることを確実にすることに貢献できます。

あわせて読みたい：RIPE 89、プラハで開幕：1 日目から 3 日目のハイライト

しかしながら、消費者の意識の低さが問題をさらに悪化させています。多くのユーザーはデバイスを最新の状態に保つ必要性を知らないか、それを行うための技術的知識を欠いています。これにより、サイバー犯罪者が悪用できる隙間が生まれ、メーカーが使いやすいアップデートメカニズムを作り、消費者にセキュリティの重要性を啓蒙する必要性が浮き彫りになっています。標準化団体、メーカー、ユーザーの協力が、より堅牢な IoT セキュリティエコシステムを構築するために不可欠です。

規制の取り組みとその影響

いくつかの地域では、政府が IoT のセキュリティ課題に取り組むために介入しています。例えば、英国では、指定された期間中にアップデートを利用可能にすることを義務付け、メーカーに基本的なセキュリティ標準に準拠するよう求めています。この規制は今年 4 月に施行され、すべての IoT デバイスにアップデートの可用性を確保することを義務付けています。デバイスが初回購入後何年にもわたって使用されることを考えると、継続的なサポートを確保することが重要です。

同様に、カリフォルニア州も同様の指令の実施を検討していますが、その施行時期は不透明です。規制環境はまだ進化していますが、Richardson はこれらの措置が正しい方向への一歩であると考えています。彼は、こうした義務化が電子廃棄物の増加につながる可能性があるものの、メーカーにセキュリティ標準を維持させるためには必要であると強調しました。この欠点にもかかわらず、消費者の安全とデータ保護を優先する価値はあります。

これらの規制は、業界に先例を確立することを目的としています。こうした措置を実施することで、政府は IoT 開発においてセキュリティが後付けであってはならないという明確なメッセージを送っています。これにより、メーカーが製品設計にセキュリティを中核から組み込むことに注力するようになる可能性があります。Richardson はまた、これらの取り組みは厳格な施行と違反に対する制裁によって裏付けられて初めて効果的になるとも述べました。

消費者のプライバシーとセキュリティのバランス

Richardson が取り上げた大きな問題の一つは、IoT メーカーによるユーザーデータの収益化です。企業はしばしば監視ベースのビジネスモデルを用いて継続的な収益を生み出しており、これがプライバシーとセキュリティにさらなるリスクをもたらします。接続されたデバイスを使って個人データを収集し収益化することで、企業はデバイスのコストを補助したり、販売後の継続的な収入を得たりできます。しかし、このビジネスモデルはしばしばユーザーのプライバシー権と衝突します。

あわせて読みたい：IoT プロジェクトの探求：革新的なアプリケーションと利点

消費者は、デバイスのセキュリティを維持するためにサブスクリプションを支払う用意があるか、それともメーカーにデータの収益化を許可するのかを決断しなければなりません。Richardson は、透明性の欠如が状況を複雑にしていると指摘し、多くの消費者は自分のデータがどのように使用されているかを知らないと述べました。セキュリティアップデートのためのサブスクリプションモデルの導入は解決策を提供するかもしれませんが、消費者に追加の経済的負担を課し、安全な IoT デバイスの手頃な価格について疑問を投げかけます。

あわせて読みたい：IoT ソリューション：産業を変革し、生活を向上させる

Richardson は、真のデバイス所有権と修理する権利の重要性を強調しました。消費者が自分のデバイスを修理する権利を持てば、メーカーに完全に依存することなくデバイスを使い続けることができます。このアプローチは消費者に力を与え、彼らの利益をメーカーの利益と一致させ、最終的にはIoT セキュリティを向上させます。真の所有権はまた、消費者がデバイスのプライバシー設定に関する決定を下せるようにし、アップデートのためのメーカー依存を減らし、データ収益化の機会を制限します。

最終的な考察

インタビューは、IoT セキュリティの将来に関する議論で締めくくられました。Richardson は、規制措置、標準規格の改善、ユーザー教育のすべてが、IoT セキュリティの脆弱性に効果的に対処するために必要な要素であると指摘しました。彼は、政府、メーカー、消費者を含む利害関係者の協力的な取り組みが、より安全な IoT 環境を構築するために必要であると繰り返し述べました。規制措置はメーカーの責任を課し、標準規格はセキュアなアップデートとデバイス管理の基盤を提供します。

Richardson はまた、セキュリティ意識の高い消費者基盤を育成する上での教育の役割についても議論しました。多くのユーザーは、自分の IoT デバイスの未修正の脆弱性がもたらす潜在的な脅威に気づいていません。認識を高め、明確なガイダンスを提供することで、メーカーと規制当局はこの知識不足を埋めるのに貢献できます。ユーザー教育はセキュリティリスクを軽減するために不可欠であり、情報を得た消費者はデバイスを保護するために積極的な措置をとる傾向があります。