ファームウエアにもウイルスは潜み込むか
Duqu（ドゥークー）の話題が出たついでに、組み込みソフトにもウイルスが入るかの話になった。ROMもRAMもある。意図しない不具合はバグ、意図した不具合はウイルスの類ということになるのかな。バグが入る込む可能性がある限りウイルスの類も入り込むチャンスはある。オンラインネットワークの環境にあるかどうかは問題ではない。
根本的な違いは？
不具合をもたらす人が内部者か外部者かのちがい。内部の確信犯の場合は、実に容易く（たやすく）ウイルスを忍ばせることが出来る。外部者がウイルスを忍ばせることが出来るチャンスはどれくらいあるだろうか？
先ず、コード量の大きさを認識すべきである。多くのモジュールは安全性を確認して統合される。モジュールにウイルスが潜むチャンスはあるか。既存モジュールを流用しているつもりで摩り替わるチャンスはあるか。開発環境はセキュアな環境として運営される。開発環境に侵入されるチャンスはあるか。委託先も同様のセキュアな環境か。メンテナンスフェーズに入っても同様にセキュアな手順が維持できるか。更新ソフトを移送する手順に弱点は無いか。ローカルLAN、プライベートLANのつもりが別のネットに繋がっていないか。
設備・施設自体の広がりも認識すべきである。単独・集中型のハイテク設備・施設は最早少ないでしょう。分散型、連携・連動型、遠隔監視、遠隔保守など、これらは全てその機能性能発揮のトレードオフとして脆弱性を提供していると思われる。
安全地帯があると信じてスタートすること自体が無謀である。安全地帯は何処にもない前提でスタートすることが必要。核施設など国家的重要施設に限らず、ハイテク印刷装置にしてもソフトウエアの固まりだから意識しておいて良いでしょう。
.*.
でもファームウエアに入り込んだウイルスって記憶にありません。
.*.