家庭や中小企業レベルで、モノのインターネット（IoT）のSOHOpelessなセキュリティを克服することはできるでしょうか？Ericssonのエンジニア、Mohit Sethi氏によるインターネットドラフトは、その可能性を示唆しています。
セティ氏の野心的な提案は、インターネット標準の殿堂入りを果たすようなものではない。むしろ、家庭ユーザー全員を熟練したシステム管理者に育て上げる必要もなく、IoTガジェットをローカルネットワークとインターネットに安全に接続するための可能性を提示している。
目標は、機器の設定ミスや、脆弱なパスワードやデフォルトのパスワード、あるいは認証を一切使用せずに、ユーザーが簡単に機器を設定できるようにすることです。Wi-Fiキーの入力を指示するのではなく、クラウドからほぼすべてを自動化する必要があります。彼は、これを支える技術として、RADIUS、EAP、そしてポートベースのネットワークアクセス制御（IEEE 802.1x）が既に存在していると指摘しました。これらはよく知られていますが、エンタープライズ向けです。
このドラフトでは、IoTデバイスがEAPを使用してWi-Fiネットワークに安全に接続し、その後RADIUSサーバーに安全に接続して認証とアクティベーションを行う方法が規定されています。このサーバーは、無線アクセスポイント上で動作させることも、機器メーカーがパブリックインターネット上で運営するオンラインサービスとして動作させることもできます。機器に搭載されているIEEE 802.1AR証明書は、安全なEAP-TLS認証に使用できます。もちろん、無線アクセスポイントがこのシステムをサポートしている必要があります。
重要なのは、デバイスを購入した後、メーカーに秘密鍵を設定することです。この秘密鍵は、デバイスの初回電源投入時に提供されます。これにより、デバイスはEAPとRADIUSを介してメーカーのバックエンド（典型的な認証、認可、アカウンティング（AAA）システム）で自身を識別し、必要なすべての認証情報を確立できます。これにより、デバイスはメーカーのバックエンドシステムと安全に通信していることを認識し、中間者攻撃などを防ぐことができます。
以下は、Sethi の提案によるセットアップのおしゃれな ASCII 図です。
クリックして拡大
確かに、ユーザーは新しいデバイスを購入するときにパスフレーズを選択する必要があるかもしれませんが、ベンダーの認証インフラストラクチャが導入されているため、顧客はおもちゃを登録するだけで済みます。
「オンラインRADIUSサーバーは、ユーザーが異なるデバイスに同じ（または類似の）秘密鍵を登録することを防ぐことができます」とセティ氏は草案の中で説明している。「これにより、ネットワーク内のデバイスが同じ秘密鍵を共有しないことが保証されます。」
良い試みではあるものの、いくつか問題が残っています。まず、ゲートウェイやデバイスメーカーにとって多大な労力が必要となるため、RADIUSやEAPサービスの導入に多額の資金を投じることに抵抗を感じるかもしれません。特に、今月作成された草案では、ベンダーが倒産したり、製品や関連サービスを撤退したりした場合に、サービスとセキュリティの継続性を維持するという厄介な問題が考慮されていません。つまり、クラウドサービスがダウンすれば、そのデバイスも一緒にダウンしてしまう可能性が高いのです。
それでも、Vulture Southは、これが議論への十分な貢献であり、ArmやMicrosoftが提唱する同様のアプローチと肩を並べるものだと考えています。読者の皆様のコメント欄でのご意見をお待ちしております。®
