米国の海外製ルーター禁止令が『サイバーセキュリティに偽装した産業政策』として批判される

米国の海外製SOHO（小規模オフィス/ホームオフィス）ルーター禁止令はセキュリティを向上させず、『サイバーセキュリティに偽装した産業政策』としてのみ意味があるとジョージア大学公共政策大学院の教授で、インターネット・ガバナンス・プロジェクトの創設者であるミルトン・ミューラー氏は述べています。

ミューラー氏は、連邦通信委員会（FCC）がその禁止令を2つの主張で正当化していることに言及しています。1つはCISAとFBIの分析で、攻撃者がVolt TyphoonとSalt Typhoon侵攻を隠すボットネットを構築するためにSOHOルーターをターゲットにしたことが判明したというものです。もう1つはコマース省の調査に基づくもので、ミューラー氏は「消費者ルーター供給チェーンの85%が中国に集中していることが『システミックな脆弱性』を生み出し、単一のファームウェア更新で米国の家庭用インターネットアクセスを無効化できる可能性がある」と要約しています。

この学識者はどちらの主張も成り立たないと考えています。

「デジタル経済はグローバルです」と彼は土曜日の投稿で指摘しました。「『米国製』のルーターは、おそらく世界的な貢献者によって保守されているLinuxカーネルを実行し、台湾で書かれたWi-Fiドライバーを使用し、世界中の開発者によって管理されているオープンソースライブラリを組み込んでいます。」

「組立ラインの地理的位置に焦点を当てることで、FCCはソフトウェアのロジカルな供給チェーンを無視しています。不具合のあるUPnP（ユニバーサルプラグアンドプレイ）実装を備えた米国組立ルーターは、外国製ルーターと同じくらい乗っ取りに対して脆弱です。」

また、Typhoonギャングを調査した研究では、彼らがパッチが当たっていないバグ、変更されていないデフォルトのデバイス認証情報、および一部のネットワークポートをパブリックインターネットに露出させるダメな設計を悪用していることが判明しているにもかかわらず、FCCはルーター内のバックドアを心配していることも指摘しています。

「FCCの政策で最も明らかなロジックの欠落は、レガシーデバイスを配置したままで新しい機器の認可に独占的に焦点を当てていることです」とミューラー氏は書きました。彼がこの見解を提示したのは、Typhoonギャングが製品ライフサイクルの終了したルーターと不安全なレガシープロトコルを使用するマシンをターゲットにしていたからです。

「最大の外国製メーカーから最新の最もセキュアなWi-Fi 7およびWi-Fi 8ルーターの販売を禁止することで、FCCは米国民がアップグレードされたより安全な機器に対して大幅に多く支払うか、あるいはより可能性が高いように、より古くてより脆弱なデバイスをより長く保有し続けることを余儀なくされます」と彼は主張しました。

「消費者が2019年型ルーターを簡単にまたは手頃な価格で交換できない場合、2026年型モデルが禁止されているため、米国の総攻撃面は実際に増加します。禁止令は最新の自動更新セキュリティ機能を持つ可能性が最も高いデバイスをターゲットにしながら、現在国家支援の攻撃者が悪用している数百万の不安全で老朽化したデバイスに『フリーパス』を提供しています。」

ミューラー氏は、『外国性』という基準のみを使用することで、禁止令は「実際にセキュリティ状況を悪化させる」と結論づけています。

「より近代的でより安全なハードウェアへのアップグレードの動機は減少し、ユーザーはパッチが当たっていないレガシー機器の使用を継続することが奨励されます。それは国家支援の攻撃者が何年も成功裏に武器化してきた正確なハードウェアです。」

その後、彼はこの政策が意味があるかどうかについて思案しています。

「FCCの禁止令をサイバーセキュリティに偽装した産業政策の演習として見ると意味があります」とミューラー氏は主張し、米国企業Netgearがロビー活動に資金提供していることを指摘しており、それには信頼性とセキュリティを確保するために不安全なテクノロジーを削除する法案（別称「ROUTERS法」）などの問題が含まれています。

「国家支援のインフラ攻撃のリスクは現実的ですが、選択された救済策（新しいハードウェアの地理的禁止）は、米国デジタル家庭の即座の技術的強化よりも地政学的なデカップリングを優先させています」とミューラー氏は結論づけています。「再び、半導体輸出規制とTikTok禁止と同様に、競争からの保護を求める密造酒業者が国家安全保障という宗教的旗の後ろに隠れているのを目撃しています。」®