By Paul Pajares (Senior Threat Researcher, Automotive)
フリート管理（車両管理）は、効率を高め、コストを削減する上で、現代のビジネス運営に不可欠です。 物流、公共交通機関、緊急サービスなどの業界では、これらのシステムに依存することで、タイムリーで信頼性の高いサービス提供を確保しています。 車両管理を合理化することで、企業は効率を高めるだけでなく、規制へのコンプライアンスを維持し、車両のライフサイクル管理を最適化することができます。
車両管理の中核となるのは車両追跡システムで、テレマティクスを利用して速度、位置、燃料やバッテリーの消費量、ルート、運転パターン、機器の使用状況などのデータをリアルタイムで収集します。例えば、GPS追跡は、運輸会社が職員と業務車両の安全を確保し、より円滑な運送業務の遂行に貢献します。
しかし、業務上の利点があるにもかかわらず、車両管理システムにはセキュリティ上の脆弱性があります。本記事では、これらのシステムにおける認証の問題が、機密性の高いテレマティクスデータへの不正アクセスにつながる可能性について検討します。
車両管理システムにおける認証リスク
基本的な認証セキュリティは、従業員や顧客の認証情報を不正ユーザーやハッカーから保護します。しかし、車両管理システムが機密情報を保持する仕組みに脆弱性があると、データ漏洩や情報漏洩につながり、プライバシー侵害につながる可能性があります。
私たちは、アジア、ヨーロッパ、米国で車両追跡システムを提供している17社を無作為に選び、それらの認証プロセスを評価し、調査を行いました。分析の結果、重大な脆弱性があることが判明しました。それは、ユーザー名とともにURIパラメータで平文のパスワードが送信されるというものです。（同時に、私たちは責任ある脆弱性開示プロセスの一環として、影響を受ける企業への連絡を開始しました。）
安全な認証と承認を確保するため、開発者はサーバーに送信する前に認証情報をハッシュ化する（パスワードソルトなど）といったベストプラクティスに従うべきです。暗号化を行わない場合、サイバー犯罪者はネットワーク監視やHTTPトラフィック ログの解析により認証情報を傍受することができます。ブラウザベースの認証では、不正アクセスを防止するためにデータを暗号化するトランスポート レイヤーセキュリティ（TLS 1.3）が不可欠です。残念ながら、一部の企業では、HTTPやSSL/TLS暗号化を使用せずにログインを許可しているところもあります。
表1は、露出した認証情報を使用して直接HTTP経由で一部のシステムにアクセスすると、重要なデータにアクセスできることを示しています。これには、GPS座標、車両速度、イグニッションの状態、デバイスID、オドメーターの読み取り値、完全な住所などが含まれます。場合によっては、パスワードのリセットプロセスでは、Base64エンコーディングのみを使用し、パスワードをシークレットコードとメールアドレスで保護している場合もありますが、これは不十分なセキュリティ対策といえます。
| 車両追跡システム調査対象 事業者（拠点国別） | URIに平文のパスワードが含まれている | ログインにHTTP以外 または非HTTPSを使用 | 晒される可能性のあるAPIコンテンツ |
|---|---|---|---|
| ブラジル | Yes | No | |
| ブルガリア | Yes | Yes | 支払い詳細 |
| ハンガリー | Yes | No | GPS座標、速度、イグニッション状態、デバイスID |
| ハンガリー | Yes | Yes | Boolean |
| インド | Yes | No | （認証が必須） |
| インド | Yes | No | （認証が必須） |
| 日本 | Yes (Base64パスワード) | No | （認証が必須） |
| ポーランド | Yes | No | GPS座標、デバイスID、イグニッション状態、速度 |
| ポーランド | Yes | No | （認証が必須） |
| ポーランド | Yes | No | 複数のデバイスIDと名称 |
| ポーランド | Yes | Yes | |
| ルーマニア | Yes | No | 複数のデバイスID、イグニッション状態、速度、GPS座標 |
| セルビア | Yes | Yes | 様々なフィールド名 |
| タイ | Yes | Yes | JSessionID |
| アメリカ合衆国 | N/A (Base64パスワード リセット ) | N/A | （認証が必須） |
| アメリカ合衆国 | Yes | Yes | GPS座標、速度、完全なアドレス、オドメーター |
| アメリカ合衆国 | Yes | No | （認証が必須） |
表1. 車両追跡システムに脆弱な認証が認められた事業者
（拠点国別）
図1. ハンガリーを拠点とする車両追跡システム事業者の事例
非HTTPS通信による平文パスワードで認証を行っている
図2. ハンガリーを拠点とする車両追跡システム事業者の事例
認証を使用せず、且つ平文パスワードが露呈されてしまっているAPIサービス
サイバー犯罪者は、こうした認証の欠陥を悪用して、機密情報を盗み出したり、車両内のデータを操作したりすることが可能であり、その結果、業務の中断、配達遅延、金銭的損失、評判の低下、さらには交通事故につながる可能性もあります。 私たちの調査結果は、ログインプロセスにおける深刻な脆弱性を浮き彫りにし、車両管理システムのセキュリティ上の弱点に対処する必要性が急務であることを示しています。
車両管理システムのセキュリティ確保
運転行動、車両の正確な位置情報、顧客の個人識別情報（PII）、およびさまざまなテレマティクス データ（速度やイグニッションの状態など）はすべてリスクにさらされており、その情報が漏洩すれば、ユーザーの安全性やプライバシーに影響を及ぼす可能性があります。通常、このデータへのアクセスはウェブサービスやAPIを通じて行われるため、APIのセキュリティ対策が重要となります。APIサービスの悪用や乱用を防ぐには、セキュリティ対策において、誤設定、APIインベントリ、潜在的な脆弱性を考慮する必要があります。強固なAPIセキュリティは、ウェブAPIへのアクセスを困難にすることで、金銭的利益を目的としたデータ スクレイピングを試みる悪意のある行為を阻止することもできます。
さらに、テレマティクス システムはAPI経由で実装されるため、企業は侵入テストやOWASPのウェブアプリケーション セキュリティリスク トップ10への対応を含む、徹底したセキュリティ対策を実施する必要があります。データの安全な転送、処理、保存には暗号化メカニズムを使用すべきです。
電気自動車（EV）には、車両管理に関して特に考慮が必要な事項があります。
- バッテリー管理：システムがバッテリーの状態と充電レベルを監視し、車両を稼働状態に保つために充電スケジュールを最適化します。ソフトウェアのアップデートとバッテリーシステムのメンテナンススケジュールは最優先事項です。
- コスト管理：経理部門は、燃費対比（電気vsガソリン/ディーゼル等）を含むTCO（総所有コスト）を分析し、EV向けの優遇措置や還付金を最大限に活用したコスト効率性を確保する必要があります。
- 車輛追跡：充電切れを確実に回避する必要性から、リアルタイムのGPS位置情報、使用状況、イグニッションの状態に焦点を当てた航続距離のモニタリングが特に重視されます。また、これにはバッテリー寿命を節約するためのルート最適化、交通状況、天候、充電ステーションの稼働状況に関するリアルタイムの更新情報も含まれます。
- セキュリティと盗難防止：リアルタイムの位置追跡により、盗難が発生した場合、発見や回収が容易になります。
EVの普及が進み、EVトラックやその他の車種を含めた車両管理が進化するにつれ、追加の防御レイヤーを伴うセキュリティ境界の拡張が必要となります。認証情報の露出や貧弱な認証などの脆弱性は、機密性の高いテレマティクス データを危険にさらし、深刻な結果を招く可能性があります。暗号化、APIセキュリティ、強力な認証プロトコルによってこれらの問題に対処することで、企業は業務の中心となる車両やEVをより確実に保護することができます。
VicOneは今回、EVエコシステムに不可欠なテレマティクスデータ交換のセキュリティを強化する取り組みとして、42Crunchと提携し、API攻撃と脆弱性に対処する活動を開始しました。API攻撃が増加する中、この提携はデータの安全性を確保し、EVの環境の完全性を維持する上で重要な役割を果たすでしょう。
