４０２　Update

　トンネルルーターの認証にんしょうに用もちいるマイナンバーユーザーアカウント、パスワードともにadminが設定せっていされていた。
　これは、説明書マニュアルに記載きさいされている、初期値しょきちの文字列もじれつ。同じ製造元メーカーの、全てのトンネルルーターに同じ文字列もじれつが設定せっていされている。

　初期値しょきちの文字列もじれつは、製造元メーカーにより異ことなる。

　Logitecロジテック屋。
　マイナンバーユーザーアカウントはadmin、パスワードもadmin。

　I-O DATAアイオーデータ屋。
　マイナンバーユーザーアカウントはadmin、パスワードは空白くうはく。

　BUFFALOバッファロー屋。
　マイナンバーユーザーアカウントはroot、パスワードは空白くうはく。

　という感じで、設定せっていされている。

　困ったことに、初期値しょきちのままになっているのは、特別とくべつなことではない。
　アンケート調査ちょうさによると、四割は初期値しょきちのまま利用りようし、一割は認証にんしょう機能きのうの存在そんざいを知らない。そして四割は把握していない。
　驚おどろくことに、意図的いとてきに変更へんこうしている割合わりあいは、一割に留とどまる。

　初期値しょきちで利用りようしている割合わりあいを、最大値さいだいちの九割と仮定かていする。この場合ばあい、製造元メーカーごとの初期値しょきちをリスト化し、順番じゅんばんに試行しこうするだけで、十中八九じっちゅうはっく照合しょうごうに成功せいこうすることになる。
　あくまで仮定かていの話。とはいえ、照合しょうごう成功せいこう確率かくりつが高いことは事実じじつ。侵入しんにゅうすることを目的もくてきとする乱波らっぱが、試行しこうしない理由りゆうは存在そんざいしない。
　当然とうぜん、真まっ先さきに試行しこうする。

　照合しょうごう試行しこうは、単調たんちょうな作業さぎょうを延々えんえんと繰り返すだけ。手作業てさぎょうで行おこなわなければならない理由りゆうは無い。
　自動化じどうかすれば、試行しこうの手間てまは一切いっさい掛かからない。放ほうっておけば、照合しょうごうに成功せいこうした一覧いちらんが自動的じどうてきに生成せいせいされ、侵入しんにゅうし放題ほうだいになる。

　初期値しょきちから変更へんこうしない行為こういは、玄関げんかんに鍵かぎを差さし込こんだ状態じょうたいで放置ほうちしているのと同おなじ。と、説明せつめいしたところで放置ほうちされるのがオチ。
　帰蝶きちょうが変更へんこうし、設定せっていした文字列もじれつを印字いんじしておく。

　乱波らっぱが攻撃こうげきを仕掛しかける際さいに突つくのは不具合脆弱性。
　トンネルルーターのファームウェア制御機構バージョンを確認かくにんすると1.00いちだった。予想よそうはしていたけれど、一度いちども更新こうしんされていない。
　最新さいしん状態じょうたいに更新こうしんし、全すべての修理キット修正パッチを適用てきようする。待っているだけで終わるのだから、敢あえて更新こうしんしない合理的ごうりてきな理由りゆうは存在そんざいしない。

　現在げんざいまでにトンネルルーターの管制室コントロールパネルに入る機会きかいがあったのであれば、ファームウェア制御機構の更新こうしんを行おこなっているはず。
　何年なんねんもの間あいだ、入はいる必要ひつようが無かったのであれば、認証時にんしょうじの入力にゅうりょく文字列もじれつを、複雑ふくざつで長ながいものに変更へんこうすることにより生しょうじる影響えいきょうは無いと確信かくしんする。

　もしも簡単かんたんな文字列もじれつを設定せっていする場合ばあい、二〇二二年一〇月ジュウガツ一七日に東海国立こくりつ大学機構がサーバに侵入しんにゅうされた手法しゅほう、総当たり攻撃ブルートフォースアタックの成功率せいこうりつが高まる。短時間たんじかんで破やぶれる認証にんしょう機構きこうは、無いのと同じ。

　〇から九の数字が一〇種、ａからｚまでの小文字英字が二六種にじゅうろくしゅ。ＡからＺまでの大文字英字も同数の二六種にじゅうろくしゅ。桁数けたすうが増える度たび、組み合わせパターン数は累乗るいじょうされていく。大文字小文字英字と数字を組み合わせた六二字を用いた、六桁の文字列もじれつの組み合わせパターンは五六八億ゴヒャクロクジュウハチオク通とおり、八桁で二一八兆にひゃくじゅうはっちょう通とおりある。
　たった一桁増やすだけでも、組み合わせパターン数すうは膨ふくれ上がる。
　記号きごうを使えるのであれば、合致がっちするまでに要する時間を、大幅おおはばに長く出来る。記号きごうを含ふくめて試行しこうされなければ破やぶられることは無いのだから、安全性あんぜんせいが格段かくだんに増ます。

　複数種ふくすうしゅの文字列もじれつを使えば、安全性あんぜんせいが増すのは事実。でも、それは組み合わせを考える側がわの話。
　問題もんだいは、阿呆あほうな製造元メーカーが存在そんざいすること。安全性あんぜんせいを増すためという名目めいもくで、複数種ふくすうしゅの文字列もじれつを『必ず』含ふくめなければならないという規則きそくを設もうけている。
　では、それのどこが阿呆あほうなのか。
　自みずから率先そっせんし、組み合わせパターンを減らしている。結果、合致がっちするまでに要する時間じかんを短縮たんしゅくさせている。そのことに気付いてすらいない。
　乱波側らっぱがわの視点してんが欠落けつらくしていることが、大きな問題もんだい。
　全て数字、全て小文字英字、全て大文字英字の可能性かのうせいを否定ひていすることにより、試行しこうする組み合わせパターンを大幅おおはばに削減さくげん出来る。
　製造元メーカーが文字列もじれつの組み合わせに、制約せいやくを加くわえる行為こういは、愚ぐの骨頂こっちょう。入力可能文字種にゅうりょくかのうもじしゅを増ふやし、複数ふくすうの文字種もじしゅを用いることを推奨すいしょうするだけで十分じゅうぶん。

　安全性あんぜんせいを犠牲ぎせいにし、面倒めんどうさを増ますことを組織そしきの総意そういとして、是ぜと判断はんだんする製造元メーカーが構築こうちくしたシステムには、当然とうぜん欠陥けっかんがある。
　欠陥品けっかんひんを見極みきわめ、適切てきせつに取捨選択しゅしゃせんたくすることは、リスクを排除はいじょし、安全性あんぜんせいを高める手段しゅだんの一つ。とはいえ、住民じゅうみんに判断はんだんを委ゆだねるのは酷こく。だから今回こんかいは、その役目やくめを帰蝶きちょうが担になう。