自分にとってなくてはならない製品または機能をたったひとつ特定するとしたら、それはなんだろうか、というJeff Weiner の質問について考えていました。
私の場合、それはTeslaの自動運転／自動操縦機能だとすぐに答えが頭にうかびました。ベイエリアの交通渋滞に巻き込まれるたびに、私は車を自動運転に切り替え、クリエイティブな思考に集中したり、オーディオブックを聞いてリラックスする。これはテクノロジーが人間のかわりにおこなう仕事の典型的な例のひとつであろうと思います。すなわち、単調な仕事は機械が引き受け、さらには人間がおこなうそれよりも、タスクをうまくやってのける、そんな例の一つであると思うのです。
しかし、セキュリティ研究者である私にとって、この状況こそが、私が夜な夜な不意に不安に襲われる原因でもあることは事実です。もし、私の車がハッキングされたとしたら、第三者が海の向こうのどこか知らない国からでも、私の乗ったTeslaの進行方向を変えたり、トラックに衝突させたり、そんなことがいとも簡単にできてしまうだろうと考えると、背筋が凍る思いがします。実際、こうしたリスクは自動運転を行う自動車だけが対象となるわけではありません。ネットワークに接続されたあらゆる自動車が乗っ取られ、乗っている人の命と引き換えに身代金を要求される恐れだってあるのです。
2015年、研究者のCharlie Miller と Chris Vilaseck は、Jeep Chrysler を遠隔操作で乗っ取り、命令どおりに動かすことが可能であることを明らかにしました。これが結果的に、Jeep Chrysler車140 万台のリコールにつながり、賠償金額といった面では、過去最大規模のIoTデバイスへの攻撃ケースとなったのです。
あれから2年が経過しました。道路を走る新しい車のほぼすべてが 以下の二つの形で「コネクテッド・カー」となっています。その一つは、車にコンテンツをストリーミングするためにインターネット接続を備えていることです。これが意味するのは、インターネットを経由して、誰でも車にアクセスできる （そして侵入できる可能性も高い) ことです。もう一つは、自動車の重要なコンポーネントがすべて相互に接続され、セキュリティレイヤーがまったくないプロトコルがしばしば使われていることです。例えば、車が高速道路に入って速度を上げると、それに応じてラジオの音量も自動的に上がる機能がありますが、この便利な機能は、車輪の回転センサーからオーディオ サブシステムへのメッセージが送り届けられることによって作動しているのです。そして、この通信経路が逆方向に使用される可能性も考えられます。
この問題にどこで対処できるか考えてみたいと思います。
- 自動車の内部。対象となるデバイスにセキュリティ対策を講じるという従来型の戦略。しかし、自動車は現在のようにセキュリティ意識の高い時代よりももっと前に考案されたプロトコル (CAN など) を用いて相互にネットワーク接続されたコンピュータの集合体であることも事実です。マルウェアがいったん車内に侵入してしまうと、その侵食を防ぐことは困難になります。
- ネットワーク内でネットワークトラフィックを評価し、マルウェアを検出する方法。しかし車はユーザーが選んだあらゆる場所でセルラーネットワークとWi-Fiネットワークの両方に接続します。従って、ネットワークのすべての角度からの攻撃に対して自動車を保護するのは非常に困難と思われます。
- 様々なネットワークが自動車との通信を外部に対して許可する、自動車の進入ポイントにおいて。自動車に入ってくるビットやパケットを評価することにより、攻撃を検知して防止できる可能性が最も高いと思われます。
それでは、実行できること、すべきことは何であろうか。私はこの分野の研究者と開発者全員に対し、コネクテッド カーのエコシステムを保護するよう呼び掛けたいと思います。これには、重要なシステム (エンジン制御、ステアリングなど) や情報システム (ラジオ、ブラウザ) にエアギャップやセキュリティ防壁を組み込む必要がある自動車関連メーカーが含まれると思います。合わせて、自動車を標的とする攻撃を検出し、攻撃者を特定することができるネットワーク業者も含まれるでしょう。さらに、環境の感知に基づいて数百万台のコネクテッドデバイスの保護に携わった経験と専門知識を持ち合わせるセキュリティエンジニアもプロジェクトへの貢献が期待できるでしょう。最後に、私はこれらのコネクテッドモバイルデバイスの保護において、デバイス上とネットワークの双方で応用される機械学習（AI）の活用が必要不可欠になることも確信していることを申し添えたいと思います。
