車の鍵はクラウドにもある。認証基盤の欠陥が示した遠隔操作のリスク

車のドアをスマートフォンで開ける。便利な操作の裏側では、アプリが持ち主を認証し、クラウドが車への命令を中継している。11月7日に公開されたセキュリティ研究は、この「持ち主だと確かめる」仕組みが破られた場合、車の機能まで届くことを具体的に示した。

車を狙った入口は、車外のログイン基盤

セキュリティ研究者のShubham Shah氏とSam Curry氏は、匿名の自動車メーカー2社が利用する顧客認証基盤を調べた。米国のアカウントと、持ち主の許可を得た実車を使った検証では、アカウントの有効なセッションを得て、公式アプリと同じ経路から車両情報の取得やドアの解錠などを実行できたという。車載コンピューターへ直接侵入した事例ではない。

原因は一つの「弱いパスワード」ではなく、複数の設定と防御のすき間がつながったことにある。研究者によると、外部から見える管理機能、初期設定の認証情報、Webの防御装置とアプリ側で異なるURLの解釈、顧客アカウントを変更できる権限が連鎖した。入口で危険な経路を隠していても、その奥の管理機能や権限が十分に守られていなければ、クラウドは車を守る境界にならない。

「できたこと」と「分からないこと」を分ける

研究者は、影響を受けた認証ディレクトリが複数地域の顧客を扱っていたと述べる。一方、アカウントから実車への一連の操作を最後まで確かめたのは米国の車両だ。別のオーストラリア環境については、Shah氏が別の経路で許可を得た車両の操作を報告している。これらの記述だけから、日本の全車種や全ユーザーが同じ状態にあったとは言えない。メーカー名も公表されていない。

報告を受けた2社は、研究者によれば同日、約2時間で問題を修正し、影響を受けた認証情報を更新した。今回の公開は、現時点で車を解錠できる手順の案内ではなく、修正後に共有された事例である。また、第三者による悪用や顧客データ流出が起きたことを示す証拠も、公開資料には示されていない。

日本の「つながる車」にも通じる設計課題

コネクテッドカーでは、遠隔解錠、位置確認、空調の起動などが一つのアカウントに集まる。利用者が気にするのは車の鍵でも、製品を守る側が管理すべき対象は、アプリ、認証、管理画面、API、運用担当者の権限まで広い。特に管理機能は、インターネットから到達できる必要があるかを見直し、初期認証情報を排除し、各層で同じアクセス制御を確かめる必要がある。

日本の利用者にとっては、今回の匿名2社を推測するより、自分の車の公式アプリで利用できる遠隔機能とアカウント保護を把握することが現実的だ。サービス提供者に求められるのは「アプリで二段階認証を使う」だけに依存せず、管理基盤を破られても車両操作まで連鎖させない設計である。車がネットにつながる時代、安全性の境界は駐車場の外まで伸びている。

出典：Sam Curry・Shubham Shah「Hacking Two Automakers」、Shubham Shah「unlocking any car from X brand in most of the world」