パスワードを忘れた？ アカウント作成
Close
12533 story

ネット家電もウイルス対策を 64

ストーリー by yoosee
安全な場所なんて、もうどこにもないんだよ… 部門より

Anonymous Contributo曰く、"5月18日のNHKにて、最近急増しているネット家電のウイルス対策についてのニュースがありました。ネットに繋ぐからにはウイルス対策が必要だろうというのは予見された話ですが、実際の被害が出る様になり問題が出てきてから指針が話題になるというのはちょっとメーカー側の対応が遅く、弱いように感じます。しかしながら、対策がなされないよりはされた方が確実に良いので、各メーカーには、IPA(情報処理推進機構)の作成された指針を上回るような対策 (組込みソフトウェアのセキュリティ対策のポイント集) をお願いしたいところです。"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

ネット家電もウイルス対策を More

  • 媒体が変わっても (スコア:3, すばらしい洞察)

    by gabill (29206) on 2006年05月19日 20時22分 (#942426)
    一番致命的なセキュリティーホールは、人間。

  • ウイルスとかワームも怖いけど (スコア:3, おもしろおかしい)

    by Anonymous Coward on 2006年05月19日 22時58分 (#942549)
    この間冷蔵庫の裏にリアルなバグがネストしてるのを発見したときはびびった。
    #黒くて速いのじゃないです。8本足のです。

  • PL法の対象？ (スコア:3, 興味深い)

    by gonza-less (23265) on 2006年05月20日 0時04分 (#942606) ホームページ 日記
    一般的にソフトウェアはPL法の対象外とされているようですが、
    ソフトウェアがプリインストールされたPCは、
    　・ソフトウェアとPCが同一メーカーでないならばPL法対象外
    　・プリインストールによりソフトウェアもPCの一部となるためPL法対象
    という説が対立しているようです。
    ＜参考＞
    製造物責任法（PL法）入門 [law.co.jp]

    そうするとネット家電とPL法の関係はどうなるのでしょうか？

    組み込みソフトウェアのバグ自体が直接的に損害を与えるケースでは
    PL法の対象になる可能性が高いと思いますが、間接的な損害、
    つまりバグを第三者に利用されて(例えばウィルス)被った損害に
    関してもPL法の対象となり得るのでしょうか。

    PL法自体、対象物のメカニカル的な欠陥による消費者の損害救済を
    主眼に置く性格であると思います。
    そうなると、時代に即した形でPL法を進化させていく必要があると
    思います。

    #それとも、冷蔵庫もシュリンクラップライセンスになる時代が
    #くるんでしょうか？(笑)

    • Re:PL法の対象？ (スコア:1, 興味深い)

      by Anonymous Coward on 2006年05月20日 2時48分 (#942697)
      ・ソフトウェアとPCが同一メーカーでないならばPL法対象外
      それじゃどんな機械でもファームを外注すればPL法対象外じゃないですか。
      いくらなんでもそんなのは通らないと思いますよ。
      シェア
      親コメント

  • ISO/IEC15408認証(CC） (スコア:3, 参考になる)

    by yn (3322) on 2006年05月20日 0時05分 (#942607) ホームページ 日記
    ISO/IEC15408認証(CC:Common Criteria)というのがあり、
    情報システム/製品のセキュリテイ評価/認証が行われています。

    ITセキュリティ評価及び認証制度（JISEC）
    http://www.ipa.go.jp/security/jisec/index.html

    電子政府ということで日本政府としても下記施策を実施しており、実際の認証取得がどの程度広がるか興味/心配があります。

    ・政府調達の情報システムについてセキュリテイ要件としてCC取得が必須要件になる。
    ・情報基盤強化税制として認証済機器(OS/DBMS/FW)購入で税制上措置が講じられた。

    現時点の認証済み機器は、デジタル複合機が大半のようですが、
    今後、どの程度広がるものだか..
    # 例えば、ケータイ/クルマ/ネット家電の冷蔵庫/電車/ATM/
    にCCマークが付くとか。
    本当にセキュアな社会にするためには、製品の設計段階から必要なことですが、認証取得の動きが出てきたら/J各位の仕事が増えますね。製造業勤めとしては気になってます。

    今日実施されたIPAX2006で情報セキュリテイ認証室長さんがこの辺のお話をされていました。
    http://www.ipa.go.jp/event/ipax2006/index3.html
    # 上記対象製品については言われていません。実際の対象製品動向について確認したかったのですが、質問時間無かったので聞けませんでした。
    説明資料はIPAのWEBページで公開すると仰ってました。

    • WindowsXP-SP2は認証取得済 (スコア:2, 興味深い)

      by yn (3322) on 2006年05月20日 0時53分 (#942648) ホームページ 日記
      情報基盤強化税制におけるマイクロソフト製品の ISO/IEC 15408 取得状況について
      http://www.microsoft.com/japan/technet/security/news/isoiec15408.mspx

      >Windows XP Professional SP2　 EAL4+　 2005 年 11 月
      >Windows Server 2003 (Standard, Enterprise, Datacenter) EAL4+　 2005 年 11 月

      ↑について気になった点があります。誰か教えてください。
      • 必須パッチなどの記載は無し→SP2まで当てれば後は当てなくともCC認証通ったままでいて良いのか？
      • OSカーネル部分のパッチ当てたらデグレードテストしなくて良いのか？(+現状が十分テストできているのか？:-)
      • 仮にXPが認証取得できていなければ、政府調達情報システムは実質納入不能になるのか？

      なお、認証取得機関BSIによれば、Windowsだけでなく勿論Linuxでも取得事例があります。
      http://www.bsi.bund.de/zertifiz/zert/aktuelle.htm
      >SUSE Linux Products GmbH
      >SUSE Linux Enterprise Server 8 with service pack 3 and patches Operating System
      > BSI-DSZ-CC-0371

      経済産業省「IT に関する減税」
      http://www.meti.go.jp/policy/it_policy/zeisei/index.html
      シェア
      親コメント
      • ちょっと日付が古いんですが、ST[PDF] [bahialab.com]があります。

        STに対する認証は、対象のシステム･製品のセキュリティ機能の設計に関するものなので、

        > 必須パッチなどの記載は無し→SP2まで当てれば後は当てなくともCC認証通ったままでいて良いのか？
        > OSカーネル部分のパッチ当てたらデグレードテストしなくて良いのか？(+現状が十分テストできているのか？:-)
        STに記載されたセキュリティ要件にかかわる修正であることを仮定して。
        # STに記載されていない機能については関係ありません。
        ## と割り切れない複雑さは置いておいて。

        CCでは、認証の維持などの制度についてを規定していません。
        例えば日本では、認証機関において保証継続の可否を決定します(ITセキュリティ認証に係る保証継続ガイドライン [ipa.go.jp])。
        CCRAに加盟してる国はどこも同じなんでしょうか。ちょっと探してみます。

        > 仮にXPが認証取得できていなければ、政府調達情報システムは実質納入不能になるのか？
        政府機関の情報セキュリティ対策のための統一基準 [bits.go.jp]ですね。
        現に認証は取得できています。問題は今後。現実的には、落ちることも納入不能になることも考えにくいですが。

        ちなみに、電子政府向けPP [ipa.go.jp]。
        シェア
        親コメント
        • ポカでした。Assurance Continuity: CCRA Requirements [bahialab.com] に書いてありますね。
          影響が軽微ならSTに追加情報を記載、影響が大きければ再評価。
          大枠は加盟国で共通。
          シェア
          親コメント
        • ありがとうございます。
          自分でも少し追加確認してみました。
          「Windows プラットフォームの Common Criteria Certification」
          http://www.microsoft.com/japan/technet/security/prodtech/windowsserver2003/ccc/default.mspx
          を参照したところ、英語情報には必要なhotfix(TOE)が明記されているのに。現状の日本語情報には記載されていません。大した分量では無いのだから、TOEとして明記されている条件は日本語文書にも明記して欲しいものです。
          http://www.microsoft.com/japan/technet/security/prodtech/windowsserver2003/ccc/default.mspx
          #原文当たるのが当然というのはさて置いて

          >STに対する認証は、対象のシステム･製品のセキュリティ機能の設計に関するものなので、
          >影響が軽微ならSTに追加情報を記載、影響が大きければ再評価。

          EAL*と評価されていても、セキュリティ要件に関わらない「はず」の機能修正により、各種脆弱性が結果的に追加実装されて配布される可能性は避けられないのでしょうかね。所詮はそのような余地を設計段階から減らす事の積み重ねしかできないかな。
          評価項目はCEMで規定されているにせよ、人間の見落としは所詮避けられないものだし。

          建設業界では構造設計の偽装や評価機関の問題が出てますが、イーホ^Hシーシーさんに評価依頼すると速くて安くCC認証取得できるから注文増えるとか、そんな事が無い様にお願いしたいものです。
          #実際には利用検討するだろうが:-)

          電子政府向け情報提供システムプロテクションプロファイル
          http://www.ipa.go.jp/security/fy13/evalu/pp_st/e_publication_pp_v10.pdf
          P11
          >2.6.2. TOE に含まれない機能
          >以下の機能は、本TOE に含まれない機能であるが、TOE である情報提供システムを利用するために、一般的に必要もしくは必要となる可能性のある機能である。
          >
          シェア
          親コメント

    • Oracle Database10gも。 (スコア:1)

      by fin. (24028) on 2006年05月20日 3時55分 (#942721)
      Oracle Database10gと同時購入のアプリケーションも減税対象に。
      http://www.oracle.co.jp/database/news/

      かたや、SQL Serverは。
      http://www.microsoft.com/japan/technet/security/news/isoiec15408.mspx

      シェア
      親コメント

  • 参考 (スコア:1)

    by lunatic_sparc (15416) on 2006年05月19日 20時21分 (#942425)
    家電ではないですが、こういう話もありますから抜本的な対策が必須なのかもしれませんね。

    新たなシステム脅威の可能性とWinnyの脆弱性〜米eEyeの鵜飼氏講演 [impress.co.jp]

    でも、やっぱり危険性×分量でいえば Windows マシンが一番の脅威なんだろうな。

    ＃会社で社員にアンチウィルス製品を配っても税法上の利益供与とみなさないとかってしてくれないかしらん。

  • 予想（無責任） (スコア:1)

    by Jango (29897) on 2006年05月19日 21時23分 (#942463)
    W32.Heater
    W32.Heaterは、インターネット対応エアコンに感染する種類のウィルスです。
    W32.Heaterに感染したエアコンは、室温が25度以下になると自動的に暖房運転をするようになります。
    W32.Cooler
    W32.Coolerは、インターネット対応エアコンに感染する種類のウィルスです。
    W32.Coolerに感染したエアコンは、室温が15度以上になると自動的に冷房運転をするようになります。

    # あとは炊飯器のスイッチが入らないとかしか思いつかない

    • Re:予想（無責任） (スコア:1)

      by moromama (23126) on 2006年05月19日 22時07分 (#942504) 日記
      炊飯器とか、スイッチ切るじゃなく、温度上昇されて火事とかになっちゃうかも・・・
      --
      Minder
      シェア
      親コメント

      • Re:予想（無責任） (スコア:2, おもしろおかしい)

        by yoshzawa (26107) on 2006年05月20日 9時29分 (#942777)
        ＞炊飯器とか、スイッチ切るじゃなく、温度上昇されて火事とかになっちゃうかも・・・

        ファームウェアアップデートされて
        炊飯プロセスが強制で
        おかゆモードになるかも・・・

        おかゆライスの人は良いかもしれないが。
        シェア
        親コメント

      • Re:予想（無責任） (スコア:1)

        by yuyuyu (27342) on 2006年05月20日 0時10分 (#942614)
        でもまあ、おっかない想像しちゃうと特定の家電を狙った事故や殺人事件も
        考えられなくはないですから、なんでもかんでもネットに繋げればいいって
        感じでもないですよね。
        クーラーだって、夜中に起動して無闇に温度下げれば心臓の悪い人ぽっくり
        逝っちゃうかもしれないですし。タクシー無線でヒーターが誤作動したりする
        トリックのウイルス版みたいな。

        変なドラマの観すぎか。

        #今ならソニー製品が狙われそう
        シェア
        親コメント

      • 温度ヒューズ (スコア:1)

        by bunny-wheat (25840) on 2006年05月20日 1時51分 (#942679) 日記
        義務付けられているのかどうかまではわかりませんが、
        こたつや炊飯器には温度ヒューズ（決まった温度で溶ける）が
        入っています。
        もちろん温度ヒューズが切れる前に他のものに火が付いちゃったら
        意味がないですが……。
        --
        『月面兎兵器ミーナ』2007年1月13日から放送開始
        シェア
        親コメント

    • Re:予想（無責任） (スコア:1)

      by presaori (26873) on 2006年05月20日 19時18分 (#943033) 日記
      ネット冷蔵庫の場合は…

      ・在庫一覧および消費を掲示板に書き込み
      　　　…こいつビールばかり飲んでるよ

      ・在庫管理・自動発注機能があったら
      　　　…大量発注（DDos攻撃？）

      ・故障自動通報機能を利用して
      　　　…毎日かってにサービスコール
      シェア
      親コメント

    • Re:予想（無責任） (スコア:0)

      by Anonymous Coward

      ウイルス名が W32 で始まるってことは、そのエアコンでは 32bit Windows が動いてるってことでしょうか？

      ウイルスよりも怖いですな。あ、セキュリティホールが云々ではなくて、Windows Vistaみたいに不要な機能がてんこ盛りって意味です。

    • Re:予想（無責任） (スコア:0)

      by Anonymous Coward
      その前に、小型のカメラを搭載したノートPCとか、MacBook Pro/MacBookあたりを狙って、勝手に撮影してどこかにアップするウィルスが出てきそうな気がします

      • Re:予想（無責任） (スコア:0)

        by Anonymous Coward
        普通、カメラが動作中はインジケーターが点くから気づくよね。

        • Re:予想（無責任） (スコア:1)

          by marute (13883) on 2006年05月19日 22時58分 (#942550) 日記
          インジケータの制御を、ソフトウエアで行っていればアウツかも。
          シェア
          親コメント
  • それまでに組み込みソフト向けに有効な対策手段を見つけておいてほしいです。
    車がウィルスにやられた日にゃ。。。
    • まぁ、今でもCANバスでステアリングなどの入力系と速度測定などのセンサ系ととエンジンなどの制御系が連携していたりするので、車体自体の制御ループにカーナビやETCのシステムなどの一部が入ったりすると厄介な事になりそうではありますね。

      ウィルスは何にでも付きまとうし、バグはそれ以上に身近ですからね(;´Д`)
      ネット化されるというのも、いいのやら悪いのやら…
      シェア
      親コメント

  • 実用的かつ効果的な対策 (スコア:0)

    by Anonymous Coward on 2006年05月19日 20時39分 (#942438)
    家電をネットに繋がなきゃいいのさ。

  • だいぶまえに (スコア:0)

    by Anonymous Coward on 2006年05月19日 21時19分 (#942457)
    HDDレコーダがSPAMの踏み台にされたことがあったっけ。
typodupeerror

普通のやつらの下を行け -- バッドノウハウ専門家