ハードコードされた認証情報
アプリやファームウェア、機器に恒久的に埋め込まれたログイン情報。全台で同一で、ユーザーが変更できないことが多い。IoT機器で悪名高く、流出した一つの初期パスワードが数百万台の危険につながりうる。
うっかりコミットしてしまった「コード内の秘密情報」と違い、意図的に組み込まれている点が特徴だ。隠された管理者アカウント、ファームウェア内の初期パスワード、アプリにコンパイルされたAPIキーなどがそうだ。問題は、アプリの逆コンパイルやファームウェアのダンプで取り出せてしまうこと、そして全台で同じことが多いため、一つ見つかれば全台が脆弱になることだ。
カメラやルーターなどのIoTでは、製品ラインの全体に同じ admin/admin や秘密のバックドアが存在する例が珍しくない。Miraiボットネットはまさにハードコードされた初期認証情報の上に作られた。対策は、初回起動時に固有のパスワードを強制する、隠しアカウントを作らない、秘密情報は埋め込まず安全な場所から取得する、証明書認証を使う、など。共通の初期パスワードを禁じる法規制も現れ始めている。