Walk in the Spirit

総務省ＩｏＴ機器に無差別侵入し調査へ前例ない調査に懸念も
2019年1月25日 19時52分 NHK
https://www3.nhk.or.jp/news/html/20190125/k10011791591000.html
　サイバー攻撃対策の一環として、総務省は家庭や企業にあるインターネット家電などのいわゆる「ＩｏＴ機器」に無差別に侵入して対策が不十分な機器を洗い出す、世界でも例のない調査を行うことになりました。しかし、実質的に不正アクセスと変わらない行為を特例的に国が行うことに懸念の声もあがっています。
　この調査は、総務省が所管する情報通信研究機構が行うもので、25日、国の審議会をへて実施計画が認められました。

　
　それによりますと、調査は家庭や会社などにあるルーターやウェブカメラなどのＩｏＴ機器およそ２億台を対象に来月中旬に開始し、無差別に侵入を試みて、初期設定のままになっているなどセキュリティー対策の不十分な機器を洗い出し、ユーザーに注意を促すとしています。
　実際、おととし１年間に情報通信研究機構が観測したサイバー攻撃のおよそ54％でＩｏＴ機器がねらわれていて、国は東京オリンピックに向けて対策を強化する必要があるとしています。

　一方、調査では予想されるＩＤとパスワードを実際に入力して機器に侵入する計画で、本来は不正アクセス禁止法で禁じられている行為だけに専門家からは懸念の声もあがっています。
　国は特例的に５年間に限って調査を行うとしていますが、無差別の機器に国が侵入する調査は世界でも例がありません。
　総務省サイバーセキュリティ統括官室の後藤篤志参事官補佐は「ＩｏＴ機器が増加する中で、機器をねらうサイバー攻撃も増加している。東京オリンピック・パラリンピックを来年に控え、国民の皆様には今回の調査にご理解いただくとともに、セキュリティー対策に関心を持っていただきたい」と話しています。
「無差別調査」去年５月に法改正
　今回の調査は、実質的に不正アクセスと変わらない行為を行うことから、国は去年５月、情報通信研究機構の業務を定める法律を改正し、５年間に限って行うとしています。
　改正された法律は去年11月に施行され、他人のＩｏＴ機器にＩＤとパスワードを入力するという不正アクセス禁止法で禁じられた行為について、今回の調査に限る形で認めています。
参考）国内のIPアドレスが対象、TCP 22/23/80番へのポートスキャンをNICTが実施へ、11月1日の改正法令施行を受け 2018年11月8日 16:26　 https://internet.watch.impress.co.jp/docs/news/1152349.html
専門家「通信の秘密に抵触のおそれも慎重に運用を」
　今回の調査について、情報セキュリティ大学院大学の湯淺墾道教授は、「ＩｏＴ機器が急増する一方、パスワードが正しく設定されていない機器があまりにも多く、東京オリンピック・パラリンピックを前にそれらの機器がサイバー攻撃に悪用されることを防ぐためのいわば緊急措置だ」と一定の理解を示しました。
　その一方で、どういった機器が調査の対象となるのかが現時点で明示されておらず、プライバシーの侵害につながる危険性があるとしたうえで、「侵入した時点でウェブカメラの映像が見えてしまったり、保持するデータの中身がわかってしまったりすることも考えられるほか、もし通信先がわかってしまえば憲法で定めた『通信の秘密』に抵触するおそれもある」と指摘しています。
　そして、「他人の機器に勝手にログインすることが犯罪行為とされているなかで、政府に特例を認める今回の事業は専門家の間でも意見が分かれてきた。政府は、調査結果を公表して透明性を保つとともに、慎重に運用することが求められる」と話しています。
機構「ルールにのっとり運用していく」
　今回の調査に当たって、情報通信研究機構は、調査に使う発信元の「ＩＰアドレス」を事前に公表しています。
　また、セキュリティーの弱い機器が見つかった場合、内部に侵入はしますが、機器の種類を特定するなどの通信は一切行わないとしています。
　さらに、調査で得られたデータの管理を厳重に行い、情報の保護につとめるとしています。
　情報通信研究機構サイバーセキュリティ研究室の井上大介室長は、「目的以外のデータを得たり、調査で得たデータが外に漏えいすることが一切無いように厳格なルールを設けている。この調査は国民の安全安心のためのものなので、ルールにのっとって運用していく」と話しています。（以下略）

巷の声： https://asahi.5ch.net/test/read.cgi/newsplus/1548481743/
ドアノブをガチャガチャやって、鍵閉めてないと侵入して説教します、ってこと？

住民基本台帳もマイナンバーも国民年金もことごとく漏洩してるし、情報の保護なんか無理だろ、

「目的以外のデータを得たり、調査で得たデータが外に漏えいすることが一切無いように厳格なルールを設けている。この調査は国民の安全安心のためのものなので、ルールにのっとって運用していく。」（棒読み）

信用しろと言われてもね
情報通信研究機構が378人分の個人情報漏洩の恐れ 2017/05/09 20:03 日経コンピュータ
https://tech.nikkeibp.co.jp/it/atcl/news/17/050901361/
情報通信研究機構（NICT）は2017年5月2日、JavaのWebアプリケーションフレームワーク「Apache Struts2」の脆弱性を突かれ、サーバーから378人分の個人情報が流出した恐れがあると公表した。現時点で個人情報を悪用した事象の報告は受けていないという。

総　務　省　が　家　庭　に　サ　イ　バ　ー　攻　撃

東京オリンピックと言えば何でもありなんだな、これが可能なら東京オリンピックのテロ対策のために令状無しで捜索できるという法律作れば警察は全国民の捜索が可能だな、

情報通信研究機構の合法不正アクセスの事前調査っぽい接続を調べる
2019-01-26 記憶は人なり　抜粋
https://wave.hatenablog.com/entry/2019/01/26/080800
雑感
　総務省がやろうとしていることは、好意的に解釈すればセキュリティの底上げに寄与すると思われます。一方で、適当な法律を準備さえすれば国(の機関が)が合法的に不正アクセスできるという前例が出来たわけで、立法府の監視の重要性も高まったのではないかと思います(そもそも、なんで国がこんなのやってんだという気もします。

　前掲の図の電気通信事業者(プロバイダ)が、顧客の同意を得たうえで自社ネットワーク内の機器調査をする方が自然だと思うのですが)。

　前掲の図に従えば、この活動の結果、検出された脆弱なID・パスワードが設定された機器のIPアドレスのリストはNICTから第三者機関に引き渡され、第三者機関から電気通信事業者に引き渡され、電気通信事業者から一般の利用者に注意喚起がなされる流れになっています。このリストが漏洩したら大惨事になることは容易に想像できますが、どうやって安全に情報を引き渡すのか気になるところではあります。
　また、一般の利用者が注意喚起されたところで対策できるのでしょうか。危険性を認識していない、あるいは対策を行う知識・能力が無いからこそ、不正アクセス可能な状態で機器を運用してしまっているという場合も多いと考えられます。（以下略）

ネットって、全部あちら製、

元々、監視する（される）ことが目的なんだから、
いつも見られていると理解しとけばいいんじゃない、

マッ、使わない時、寝る時はスイッチオフだな、

エッ、関係ない！？

かも、

参考）
Google Phone Tracking

実験者はスマホを持ち、20kmの距離を歩いたり車で移動、