API on Wheels：脆弱性が潜むロードトリップ

最後にドライブ旅行に出かけたのはいつですか？お住まいの地域によっては、ようやく最近になって計画できるようになったという方もいらっしゃるかもしれませんが、やはり、どこまでも続く道と景色を変えることほど素晴らしいものはありません。

もちろん、あなたがソフトウェアの脆弱性でない限りは。

私たちはこれまで、自動車業界におけるずさんなサイバーセキュリティ対策がもたらす危険性について詳しくお話ししてきました。例えばテスラやジープは、すでにセキュリティ研究者と協力し、早期に発見・修正されなければ深刻な安全上の問題につながりかねなかった悪用可能なバグを特定しています。また、ソフトウェアセキュリティ全般が依然として「西部開拓時代」のような状態にあることについても触れました。ソフトウェアは至る所に存在しており、多くのコネクテッドデバイスや車両、その周辺機器において、必要なセキュリティ対策はエンドユーザーの教育や警戒をはるかに超えるものとなっています。

APIの脆弱性は特に陰湿なものとなっており、悪意のあるAPIトラフィックは過去6ヶ月だけで300%以上増加しています。現代の車両は本質的に「車輪のついたAPI」であるため、これは非常に懸念すべき事態です。車両は常時接続され、他のアプリケーションと頻繁に通信を行っており、脆弱なエンドポイントの一つとして標的型攻撃の対象となる可能性があるのです。

EV充電器が「語りすぎる」とき

コネクテッドカーのソフトウェア安全性については精査が進んでいますが、その付属品についてはどうでしょうか？Pen Test Partnersの優秀なチームが、6つの家庭用電気自動車（EV）充電ブランドおよび広範な公共EV充電ネットワークにおいて、コードレベルの脆弱性を複数発見しました。

充電器のセキュリティなど誰が気にするでしょうか？攻撃者は何を得られるのでしょうか？残念ながら、強力で高度な技術が私たちのために過剰に働くことの欠点の一つは、これらのデバイスが往々にして「情報を漏らしすぎる」という点です。EV充電器はクラウドベースの環境でAPIを介して専用のモバイルアプリと通信しており、適切にコーディングや設定がなされていなければ、すべてが攻撃の対象となり得ます。APIは設計上、アプリ間の通信を広く許可するものであり、これらのエンドポイントの設定が不十分であれば、過剰な情報が共有されたり、最悪の場合、脆弱なアプリのバックドアを通じて不正アクセスされたりする恐れがあります。

Pen Test Partnersは、数百万台ものEV充電器が乗っ取られる可能性のある極めて危険な脆弱性や、アカウントの乗っ取りや遠隔操作を可能にするAPI認証の問題、さらには複数のEVデバイスを同期制御することで電力網を混乱させる可能性さえある脆弱性を発見しました。これらの問題はすべて修正されましたが、わずか数行のコードが攻撃者と、中核となる機能やサービスインフラの完全な破壊との間の防波堤になっていたという事実は、非常に懸念すべきことです。

しかも、これは決して高度なハッキング技術が必要な話ではありません。例えばWallboxの場合、APIに2つのIDOR（不適切な直接オブジェクト参照）が存在しており、悪用されればアカウントの乗っ取りが可能でした。IDORは認証不備に分類され、OWASP APIセキュリティトップ10で第2位にランクされています。これは非常によくある問題であり、質の高いコードの学習と実装ができていないことを示しています。機密性の高いデバイスやアプリを無数のバグだらけの通信経路で接続し続けることは許されず、不適切に設定されたAPIはまさにその温床なのです。

自動車関連APIを安全に扱うには教育と忍耐が必要

APIセキュリティの厄介な点は、これが新しいサイバーセキュリティの脅威であるかのように喧伝されていることですが、実際には、Web開発において数十年前から見られる古い問題が新しい環境で繰り返されているに過ぎません。クロスサイトスクリプティング（XSS）、インジェクション、設定ミス……聞き覚えがありませんか？

NISTのような組織による最近の動きは有望であり、ソフトウェアセキュリティの規制と標準化が進んでいることを示しています。しかし、日々膨大に生成されるコードに対して必要な保護を行うには、専門家が圧倒的に不足しています。開発者のセキュリティ知識と責任を向上させる必要があり、それを個人の自発性に任せるべきではありません。家電の組み込みシステムや、車を遠隔操作のおもちゃに変えてしまうようなAPIを扱うチームを抱えているなら、一般的な脆弱性を混入させないために必要な知識を彼らに提供しなければなりません。

例えば、安全なAPIとXSSに対して脆弱なAPIの差はわずかですが、開発者には優れたコーディングパターンとそうでないものの違いを示す必要があります。さらに、API設定においては「怠慢な開発プロセス」が常態化していることが多く、多くのAPIが必要最小限の権限を超えて広範なアクセス権を与えられており、それが脅威の表面積を広げ、データ窃盗のリスクを高めています。これらの要素は構築段階で考慮されるべきですが、適切な開発慣行として定着していなければ、プロセスそのものがリスク要因であり続けるでしょう。

新たな脅威アクターの遊び場を回避する

脅威アクターの標的としてAPIが劇的に増加していることは、彼らの関心が「低くぶら下がった果実（容易に攻撃できる対象）」に移っていることを示しています。そして今回の場合、それは単なる金銭的利益への道筋であるだけでなく、車両の乗っ取りという人命に関わる脅威にもなり得るのです。

APIのセキュリティを運任せにするのは、将来的に問題を引き起こす確実な方法です。最悪の場合には壊滅的な結果を招き、最善の場合でも、フラストレーションの溜まる手戻りやパフォーマンスの低下を招くことになります。これはソフトウェアの通信エコシステムの一部として不可欠な検討事項であり、最高水準のセキュリティプログラムにおいて最優先されるべきものです。その鍵となるのは、各APIを人間のように扱い、どのようなアクセス権限を与えるべきかを評価することです。経理部のジムに、会社全体の機密法務書類へのアクセス権を与えるべきでしょうか？おそらくそうではないでしょう。現実の人事管理においては、アクセス制御は適切に判断されています。しかし、APIについては同じことが言えません。APIは強力な「おしゃべり屋」であり、ゼロトラストの原則に基づいて設定しなければ、あなたの秘密を誰にでも漏らしてしまう可能性があることを忘れてはなりません。

組織は常に高い警戒態勢を維持しなければなりません。そして、絶望への入り口となる脆弱性を排除した高品質なコードを作成するためには、現場にいる開発者の目が必要です。彼らがセキュリティ意識の高いエンジニアとして成長し、この目標に向けた正しいマインドセットと、重要な開発段階で適切な判断を下すための実践的なスキルを身につけられるよう、機会を提供すべき時が来ています。