三菱の家電に脆弱性 炊飯器、冷蔵庫、エアコン、太陽光発電など広範囲 ユーザー側で対処を…… アップデート出来る製品をお持ちなら更新を。
ITmediaの記事である。
内容的には２つあり、
１つはログイン画面でHyper Textを利用した認証を実行する際にBasic認証（B64）を使っているため、第三者がこの隙間の通信に割り込んだ場合に、パスワードが筒抜けになるというものだ。多分アップデートでこれをダイジェストに変更しSHA-256/512辺りでハッシュ化する対応をする必要があるのだろう。ローカルでの利用が多いのでhttps（フォーム）を使うと自己証明であっても認証の更新が面倒くさいだろうし。対応を全ての製品で行う訳では無いようだが……。
これがルームエアコン※、冷蔵庫、炊飯器、換気システム（換気扇、浴室、セントラルなど含む全般）やスマートスイッチ※、HEMSシステムなど殆どの製品に該当する問題だ。これに該当している製品は、通信に傍受割込が掛かっていなければ、すぐすぐ乗っ取られたりすることはない。ただ、セキュリティソフト、OSやブラウザのセキュリティパッチの更新をしっかり行っておくことや、外部から利用するサービス（エアコンのコントロールなど）では、オープンな通信環境（野良Wi-FiやWEP Wi-Fi）を使わないことが求められる。
問題は、2つ目の脆弱性だ。
これは、２つの問題からなる１つは解放後のメモリーアドレスを外から利用できる（操作できる）脆弱性、それから2つ目がクロスサイトスクリプティング（XSS、XCSS）を使った脆弱性攻撃であり、上手く使えば機器の制御情報の取得が可能になる特権昇格手段の一つである。
即ち、攻撃者が実行用のデータを送り込んで危機を制御出来るようになる要件を満たすものである。どういうコードで起きるのかは分からないが、漏洩の文字があることから、パスワードやユーザーログインを回避して情報の一部または全部を漏らす可能性があるのかも知れない。
メモリ操作の脆弱性は、ストレージへの恒久的な制御変更の記録を含むものでは無いため、他に未知の脆弱性がないならば、再起動すれば消えるのだろうと思われる。
これ対象製品にエアコン※、冷蔵庫、HEMSシステム、換気システム（浴室、セントラル※）、炊飯器、スマートスイッチになっている。
これに関しては、明記の対策が１と変わらないのが気になるところだ。ブラウザを介した脆弱性攻撃が懸念されるなら、これに使うブラウザだけは通常使うブラウザとは別のブラウザにして、Cookieなどのプライバシーデータを全く残さない設定にしておけば、リスクをある程度抑制できるだろう。
※対策バージョンを既に提供済みか提供が決まっている製品。換気システムはセントラル換気のみ。
＜心配ならネットワーク機能を無効にしたり分けるのも手＞
HEMSシステムや換気システムなどは住宅連携しているシステムの可能性があるので、難しいのかも知れないが……攻撃が心配でというなら、ネットワーク接続を意図的に止めるという手はある。有線なら回線から切断すればよいし、無線なら無線LAN（Wi-Fi）のE-SSIDやPSKキーを変更してしまって、対象の機器のパスワードを変更しなければ、締め出しも出来るだろうし、たいていの製品は説明書を読めば無線を止める方法も書かれているはずだ。
特にネットに繋ぐ理由がないならそういうことを考えても良いだろう。
一方でより安全性を確保したいなら、
屋内に二重ルータやスイッチを入れてオクテット分離によって構内（家庭内）ネットワークを多重化し、オープンとプライベートに分けた論理ネットワークや物理ネットワークを作り、IoT接続する端末に関してポートや接続方法機器を限定させるといった方法もあるだろう。この方法の場合は、ネットワークに関する知識が必要なので、普通の人が出来る方法ではないし、外から制御する場合は、透過の確認をしながら調整する必要が出てくる。
＜戦時に入る中でセキュリティ攻撃は増える＞
ロシアとウクライナの紛争が始まり半年を過ぎたが、世界を取り巻く情勢は悪化の一途を辿っている。
私の予想では、あと何か１つでも大きな経済、社会における激震があれば、欧州や欧米、アジアのいずれかで本格的な戦争が起きると考えている。それぐらい、状況は深刻で、その深刻さの中で世界のあらゆる場所に簡単に侵入出来るネットを使ったセキュリティ攻撃は激しさを増している。
個人情報などの安全性というものが本当に大事だと思う人は、ネットワーク接続出来る機器のセキュリティに十分に留意しなければいけない。尚、既に現在のセキュリティ攻撃は、ファイルプログラムによる攻撃では無く、電文型（ファイルデータではなく、通信電文そのものに攻撃コードを加える手法であるブラウザアプリケーションの脆弱性などを用いてその制御コードを形あるものとしてメモリー常駐させる手法、コンピュータが再起動されるまで有効となる。）の攻撃に変わり始めている。そのため、形跡を残さず、漏れるとか制御されるという時代が始まっていることに注意が必要だ。
ちなみに、これが産まれた最大の理由は、高速スタートアップのアルゴリズムが主にWindowsコンピュータに搭載されたことも１つの要因だろう。高速スタートアップが有効になると一部のメモリーデータはhibernateとしてストレージ書き出され、再起動時にそれを読み込んで高速起動するため、メモリー内のデータがリフレッシュされていないのと同じ状態になる。（一応、カーネル部分は再起動されるが、動作タイマー＜稼働時間＞はリセットされずドライバーなどは前回のままロードされる。）
そのかわり、起動速度は本当に著しく速くなる。この機能があると、管理メモリーさえ制すれば、再起動後でも、攻撃が続けられるというメリットが生まれてしまうのである。
IoTデバイスでは規模が小さいので、完全再起動しているだろうが、WindowsのようなOSから制御する際に未知または既知の脆弱性を利用してMSEdgeサービスやネットワークサービス（ドライバーを含む）などにこの攻撃コードが乗っかったままで生きる可能性があるわけだ。
まあ、起動に時間が掛かって不便でも良く、セキュリティを少しでも高めたいなら、これからの時代はhibernateをオフにしておくと良いかも知れない。
