スマートフォンのない生活は考えられません。コンピュータは固定され、共有されることが多かったのに対し、世界中のすべての人がインターネット上の常設のモバイルノードになること、つまり、今日約65億台存在するスマートフォンがその働きをすることを意味します。
これはインターネット上のデバイスが爆発的に増えることを意味しますが、インターネットの進化の次の段階、つまり、デバイスを接続してインテリジェンスを実現することに比べれば、大きな問題ではなくなるでしょう。モノのインターネット（IoT）デバイスは、現在インターネットに接続されているスマートフォンの約2倍の規模に達しており、かつその数はスマートフォンとは異なり、携帯できる人間の数に縛られないため、今後も驚異的な成長が予想されています。
しかし、デバイスの急激な増加により、リスクも爆発的に増加しました。MiraiやMerisのようなモノのインターネット（IoT）駆動型のボットネットが引き起こすDDoS攻撃に対して、私たちはこれまでの間何年もの間にわたり防御を続けてきました。IoTデバイスのセキュリティ確保は依然として課題となっており、メーカーにはセキュリティ確保のインセンティブがないことが多いことから、これは引き続き増大する傾向にあります。このため、NIST（米国国立標準技術研究所）は、IoTデバイスのセキュリティ（の欠如）に対処するための要件を積極的に定義しており、EUもこれに追随しています。
このタイプの問題は、Cloudflareが最も得意とするものでもあります。
本日、Cloudflareは、モノのインターネットプラットフォームを発表できることを嬉しく思います。これは、IoTデバイスを一元的に管理し、新しいデバイスの接続性を確保し、そして重要なことに、電源投入直後からすべてのデバイスを保護することを目的としています。
電球だけがIoTではない
「IoT」というと、すぐに電球や簡易型の人感センサーを思い浮かべがちですが、それは、私たちが日常的に接している多くのデバイスをIoTデバイスとして考えていないことが多いためです。
以下について考えてみてください。
- ほぼすべての決済端末
- インフォテインメントシステムやGPSシステムを搭載した最新の車種
- 物流サービス、産業プロセス、製造業に不可欠な数百万台におよぶ産業用機器
特に、これらのデバイスのほとんどにSIMカードが搭載され、携帯電話ネットワークで接続されていることをご存じない方も多いかもしれません。
携帯通信接続はますますユビキタスなものになっています。デバイスがWi-Fiネットワーク設定とは無関係に接続できる（そして箱から出してすぐに動作する）場合、運用サポートに関するあらゆる種類の問題を直ちに回避したことになります。Zero Trust SIMに関する以前の発表を読まれた方は、私たちが何を目指しているのか、もうおわかりだと思います。
現在すでに何十万ものIoTデバイスが、相互TLSと当社のAPI Shield製品を使用して、当社のネットワークに安全に接続しています。主要なデバイスメーカーは、Workersと当社の開発者プラットフォームを使用して、認証やコンピューティングをオフロードしており、さらに重要なのは、デバイス自体に必要なコンピューティングを削減していることです。当社のプログラマブルなMQTTベースのメッセージングサービスであるCloudflare Pub/Subは、また別の構成要素となっています。
しかし、デバイス管理、分析、異常検知など、まだいくつか不足している部分があることに気づきました。「IoT SIM」プロバイダーは多数存在しますが、その大多数はSIMカードを大規模に出荷することに注力し、セキュリティや開発者にはあまり焦点を当てていません。お客様からは、当社のZero Trustプラットフォームで従業員のセキュリティを確実なものにできるように、IoTデバイスのセキュリティを簡単に確保する方法が必要という声が寄せられています。
CloudflareのIoTプラットフォームは、携帯通信接続を大規模にプロビジョニングするためのサポートが組み込まれており、お客様のデバイス向けの携帯通信接続の発注、プロビジョニング、管理をサポートします。各IoTデバイスから送信されるすべてのパケットは、インターネット、自社のクラウドインフラストラクチャ、またはその他のデバイスに到達する前に、お客様が作成したポリシーによって検証、承認、または拒否することができます。
IoT SAFEのような新しい標準では、SIMカードを信頼の起点として使用し、デバイスの秘密情報（およびAPIキー）をデバイスに安全に保存しつつ、情報侵害のハードルを上げることも可能になります。
これは、相互TLSの世界から離れるという意味ではありません。デバイスごとのコスト、カバー範囲の不足、再デプロイできない既存の展開をサポートする必要性など、すべてのデバイスが携帯通信ネットワークのみを介して接続することに意味があるわけではないことを理解しているからです。
IoTにZero Trustセキュリティを導入する
人間は、無限に広がる可能性のある目的地（Webサイト）にアクセスできる必要がありますが、通常、IoTデバイスが通信する必要のあるエンドポイントはかなり限定されています。しかし、実際には、デバイスがAPIバックエンド、ストレージバケット、テレメトリーエンドポイントとしか通信しないことを保証するためのコントロールがほとんどない（あるいは利用できない）ことが多いのです。
しかし、CloudflareのZero Trustプラットフォームには、このためのソリューションであるCloudflare Gatewayがあります。DNS、ネットワーク、HTTPのポリシーを作成し、送信元や送信先だけでなく、IDや位置情報に基づいたより詳細な制御に基づいてトラフィックを許可または拒否することができます。これと同じ機能をIoTデバイスに導入すれば、開発者はデバイスが通信するエンドポイントをより適切に（ボットネットの一部にならないように）制限および制御できることは明らかでした。
同時に、当社はIoTデバイスの仕様を意識してGatewayを拡張する方法も特定しました。例えば、5,000台のIoTデバイスをプロビジョニングし、すべて携帯通信ネットワーク経由でCloudflareのネットワークに直接接続したとしましょう。「移動」させる必要がない場合は、これらのデバイスを特定の地域にロックしたり、APIバックエンドやメトリックプロバイダーとしか通信できないようにしたり、IMEI（モデムのシリアル）にロックして、デバイスからSIMが取り外された場合に機能しなくなるようにしたりすることも可能です。
ネットワーク層でこのような制御を行うことで、IoTデバイスのセキュリティの水準を高め、一連のデバイスが不正行為を行うユーザーのツールとなるリスクを低減することができます。
デバイスからコンピューティングを切り離す
これまでセキュリティについていろいろと述べてきましたが、コンピューティングとストレージについてはどうでしょうか？何もする必要がなく、通信を一切しないのであれば、デバイスは極めて安全ですが、それは明らかに現実的ではありません。
同時に、非自明な量のコンピューティングを「オンデバイス」で行うには、いくつかの大きな課題があります。
- より高性能な（つまり、よい高価な）デバイスが必要になります。中程度の性能（ARMv8ベースなどの）の数GBのRAMを搭載したデバイスは、安価になってきているかもしれませんが、低スペックのデバイスよりも常に高価であり、IoTの規模がすぐに膨れ上がってしまいます。
- ご利用のデバイス群が常に同質であることは保証（または期待）できません。現在デプロイ済みのデバイスは、3年前にデプロイしたデバイスに比べて速度が数倍遅くなっている可能性があります。そのような過去のデバイスはもう使えないのでしょうか。
- デバイス上のビジネスロジックが増えれば増えるほど、運用やデプロイにおけるリスクは大きくなります。変更管理が重要になり、「ブリッキング」（リモートで修正できないようにデバイスを機能しないようにすること）のリスクは決してゼロではありません。地球の反対側にあるデバイスにデプロイする場合、新しい機能を反復して追加することは難しくなります。
- デバイスが外部APIと通信する必要がある場合、デバイスからクレデンシャルが引き出されて予期しない方法で使用されることを避けるために、それらのクレデンシャルが明示的に範囲設定されていることを確認する必要があります。
他のプラットフォームが「エッジコンピューティング」について語るのを聞いたことがありますが、実際には「デバイス上でコンピューティングを行う」または「ほんの一握りのクラウド領域で（遅延が生じる）」ことを意味しており、どちらも上記の問題点を完全に解決するものではありません。
その代わりに、コンピューティング用のCloudflare Workers、デバイステレメトリ用のAnalytics Engine、SQLデータベースとしてのD1、大規模にスケーラブルなメッセージング用のPub/Subへの安全なアクセスを可能にすることで、IoT開発者はコンピューティングをデバイスから切り離しつつも、当社のグローバルネットワーク（275以上の都市に展開）を通じてデバイスから近い状態を維持することができるのです。
さらに、開発者はWranglerのような最新のツールを使用して、より迅速なイテレーションが可能です。さらにより安全にソフトウェアをデプロイし、IoTフリートの一部をブリッキングなどで破壊されるリスクを回避することができます。
申し込み先について
IoTプラットフォームに興味をお持ちの方は、今すぐご登録ください。今後数週間にわたり、チームが直面する問題をよりよく理解することに努め、数ヶ月以内にお客様にクローズドベータをお届けします。特に、新しいIoTデバイスのデプロイや既存のデバイスの拡張を検討されているチームには、どのような使用事例であっても関心をお持ちいただけると思います。
同時に、今すぐにでもIoTデバイスのセキュリティを確保する必要がある場合には、API ShieldおよびPub/Sub（MQTT）を基盤に構築を始めることができます。