平成29年度 秋期 情報処理安全確保支援士試験 午後Ⅱ 問1｜出荷時のパスワードが残ったネットワークカメラ——情報処理安全確保支援士で学ぶIoTマルウェア感染の実例

この記事で扱うセキュリティ事例

• 試験区分: 情報処理安全確保支援士

• 出典: 平成29年度 秋期 情報処理安全確保支援士試験 午後Ⅱ 問1

• 主なテーマ: IoT機器のマルウェア感染、Miraiボットネット、ポートスキャン、初期パスワード、ファームウェア管理、中間者攻撃、リスト型攻撃、委託先管理

この記事は「情報処理安全確保支援士 午後問題 全70問」シリーズの1本です。→ 全70問の一覧・テーマ別索引はこちら

導入: なぜこの事例が重要なのか

「カメラを買って、アプリでつないだ。それだけで、自分の機器が見ず知らずの誰かへの攻撃に加担していた」——。こんな事態が、現実に世界規模で起きました。情報処理安全確保支援士の午後Ⅱで出題されたこの事例は、ネットワークカメラを使ったクラウド型のビデオ監視システムを舞台に、IoT機器（インターネットにつながる家電やセンサなどの機器）がマルウェアに感染し、巨大なボットネット（攻撃者に乗っ取られた多数の機器の集まり）の一部にされていく過程を描いています。

2016年に登場したMiraiというマルウェアは、世界中のネットワークカメラや家庭用ルータを乗っ取り、史上類を見ない規模のDDoS攻撃（多数の機器から一斉に通信を送りつけ、標的のサービスを停止させる攻撃）を引き起こしました。その手口は、技術的には決して目新しいものではありません。「工場出荷時のパスワードが変えられていない」という、ありふれた油断を突いただけです。だからこそ、この事例はセキュリティの本質を突いています。

この記事を読むと、IoT機器がどうやって乗っ取られるのか、なぜ「家電のセキュリティ」がこれほど厄介なのか、そしてメーカー側が出荷後の機器までどう責任を持つべきかが見えてきます。情報処理安全確保支援士の受験者にとっては論点の宝庫であり、IoT製品を企画・販売する経営者にとっては「売って終わりにできない時代」を理解する教材になるはずです。

インシデントの概要

舞台は、従業員100名のファブレス企業（自社では工場を持たず、製造を外部に委託する企業）であるZ社です。Z社は、ネットワークカメラを使ったクラウド型ビデオ監視システム——社内では「Zシステム」と呼びます——を開発し、個人や小規模事業者向けに提供していました。留守宅や事務所を監視する防犯用途での利用が多く、最近では外出中にペットの様子を確認するなど、用途が広がっていました。

Zシステムは、いくつもの部品で成り立っています。利用者の手元には、撮影を行う「Zカメラ」と、スマートフォンやタブレットにインストールする「Zアプリ」があります。Zカメラは組込みOS（機器に内蔵された専用の基本ソフト）である「L-OS」で動き、無線LANを使ってインターネット経由で「Zクラウド」に接続します。撮影した動画はZクラウドの大容量ストレージに保管され、利用者はZアプリからクラウド経由でカメラを操作したり動画を見たりします。

Z社はファブレス企業ですから、Zカメラの詳細設計と製造は外部の委託先が担っていました。企画・要件定義・基本設計はZ社の開発部が行い、その先は委託先まかせ。この「自社で作っていない製品を、自社ブランドで売る」という構造が、のちに思わぬ落とし穴になります。

技術的には、Zカメラはむしろ堅実に設計されているように見えました。HDMIやUSBといった物理インタフェースがなく、外部記憶媒体（USBメモリなどの外付けの記録装置）は接続できません。無線LAN経由では外部からの要求を待ち受けない設計にもなっています。一見すると、外から手を出す隙は少なそうでした。物語は、その「見えていなかった隙」から崩れていきます。

何が起きたのか

ある日、Z社のカスタマセンタに、一本の連絡が入りました。差出人は、社外のセキュリティ研究者であるX氏です。内容は穏やかではありませんでした。「Zカメラにセキュリティ上の脆弱性があり、マルウェアMに感染するリスクがある」——。

X氏の説明によれば、すでに国内外の多数のIoT機器がマルウェアMに感染し、ボット化（攻撃者の遠隔操作下に置かれること）して、攻撃者に悪用されて大規模なDDoS攻撃を引き起こしているとのことでした。Zカメラも、このマルウェアの餌食になりかねない。速やかな対応が必要だ、と。

連絡を受けたZ社は、対策チームを編成します。責任者には品質保証部のB主任が選ばれ、部下のE君とともに対応にあたることになりました。X氏から得た、Zカメラの脆弱性に関する情報は、突き詰めれば二つでした。第一に、ZカメラのL-OSにログインできる管理者アカウントが、無効化されないまま残されていたこと。第二に、工場出荷時に設定された管理者アカウントのパスワードが単純であり、しかも利用者が変更することもできなかったことです。

つまり、すべてのZカメラが、同じ単純なパスワードで管理者ログインできる状態のまま、世の中に出回っていたのです。一台のパスワードが分かれば、世界中のZカメラのパスワードが分かることと同じでした。

では、マルウェアMはどうやって感染を広げるのか。その仕組みは、機械的でありながら執拗です。感染した機器は、まずC&Cサーバ（指令サーバ。攻撃者がボットに命令を送るための拠点）とHTTPで通信し、ボットとして活動を始めます。そのうえで、ランダムにIPアドレスを選んでは、TELNET（遠隔ログインのための古い通信方式）が使うTCPポート23や2323、SSH（暗号化された遠隔ログイン方式）が使うTCPポート22や6789へ、次々と接続を試みます。インターネット全体を、しらみつぶしに叩いて回るイメージです。

接続に成功した機器が見つかると、次の段階に進みます。マルウェアMは、さまざまなIoT機器で実際に使われてきた「工場出荷時のログインIDとパスワードのリスト」を持っていて、それを片端から試してログインを試みます。ここで、Zカメラのように出荷時パスワードが単純なまま放置されていれば、いとも簡単に突破されてしまうのです。

ログインに成功すると、マルウェアMはその機器の情報——接続先IPアドレス、ポート番号、ログインID、パスワード——を「サーバP」に送ります。サーバPはそれを「サーバR」へ転送します。そしてサーバRが、受け取った情報をもとに今度は自ら対象機器にアクセスしてログインし、wgetやtftp（どちらもネットワーク経由でファイルを取得するコマンド）を使ってマルウェアM本体を機器にダウンロードして実行する。新たに感染した機器は、また同じように次の獲物を探し始めます。こうして感染は、ねずみ算式に広がっていくのです。

Z社は、この脅威がZカメラにどこまで当てはまるのかを確かめるため、セキュリティ専門業者のD社にセキュリティ検査を依頼しました。結果は、予感を裏付けるものでした。まず、Zカメラの全TCPポートを調べると、TCPポート2323が開いていました。そのポートにはTELNETで接続でき、同じログインIDで何度ログインに失敗してもアカウントロック（一定回数失敗すると一時的にログインを禁止する仕組み）はかからず、最終的にはログインできてしまった。ログイン後はwgetで外部サーバからファイルをダウンロードでき、そのファイルを起動することもできました。マルウェアMが感染を成立させるために必要な条件が、Zカメラには一通り揃っていたのです。

ここで、B主任が開発部に「なぜポート2323が開いているのか」を確認すると、衝撃的な事実が判明します。委託先が開発時に使ったデバッグ用プログラム（開発者が動作確認のために使う補助プログラム）と、その起動スクリプトが、出荷版のファームウェア（機器に組み込まれた制御用ソフト）にそのまま残されていたのです。開発のときに便利だからと用意した「裏口」が、消されないまま製品に同梱され、世界中の家庭やオフィスに出荷されていました。

しかも、すでに多数のZカメラが出荷済みです。B主任は、手元の在庫だけでなく、すでに利用者の手に渡った機器のことも考えなければなりませんでした。

調査はZカメラだけでは終わりません。Z社はZシステム全体に目を向け、ほかにも脆弱性がないかをD社に調査させます。なかでも鋭く突かれたのが、ZカメラとZクラウドのあいだの通信（カメラIF通信）を狙う「中間者攻撃」（通信の途中に割り込んで盗聴・改ざんする攻撃）でした。D社は、TLS終端装置（通信の暗号をいったん解いて中身を見られる装置）を挟んだプロキシサーバを使い、HTTPS通信の中身を復号できるかを検証します。さらに、DNSキャッシュポイズニング（DNSの応答を偽装し、正規のドメイン名へのアクセスを攻撃者のサーバへ誘導する手法）で「偽Zクラウド」へZカメラを誘導し、勝手に操作したり動画を奪ったりできるかも試しました。

検査の決め手は、サーバ証明書（通信相手が本物であることを証明する電子的な証明書）の扱いにありました。プライベート認証局（自前で証明書を発行する仕組み）で二種類の証明書を用意し、片方はZクラウドのFQDN（完全修飾ドメイン名。ホスト名とドメイン名をすべて含む正式な表記）に一致するもの、もう片方は一致しないものとして試したのです。結果、FQDNが一致する証明書を使えば偽サーバへの接続が成立してしまうのに対し、一致しない証明書では接続できませんでした。Zカメラが証明書の中身をきちんと検証していたからこそ、後者は防げた。しかし、もし攻撃者が正規のFQDNを名乗る証明書を何らかの方法で用意できれば、なりすましは成立し得るのです。

最後に残ったのは、Zクラウドそのものを狙う脅威でした。利用者アカウントのなりすまし、管理者アカウントのなりすまし、Webアプリケーションの脆弱性を突く攻撃、内部者による犯行や過失——。とりわけ深刻なのは、ほかのWebサイトから漏えいしたIDとパスワードのリストを使い回す「リスト型攻撃」や、よく使われるパスワードを固定して利用者IDのほうを次々に変える「リバースブルートフォース攻撃」でした。これらは、従来の「同じIDで失敗を続けるとロックする」型の対策をすり抜けてしまう。Z社は、利用者の利便性を損なわずに、どうやってこの巧妙な攻撃を見抜くかという難題に直面することになりました。