ラズベリーパイを使ったIoTシステムに脆弱性があると指摘があったためセキュリティ対策を施した話 - West Gate Laboratory

概要 先日のブログで記事を書いた、ラズベリーパイを使って作ったIoTシステムに「脆弱性がある」と指摘を受けたので、素人ながら調べつつ最低限のセキュリティ対策を施した話。 westgate-lab.hatenablog.com （ちなみに、上の記事ははてなブログの週間ランキング２位になってしまった） 今週のはてなブログランキング〔2020年2月第1週〕 - 週刊はてなブログ 背景 先日上記のブログ記事を公開したところ、「システムに脆弱性がある」という指摘を多々頂いた。システムというのは、「ラズベリーパイでインターホンを監視して、呼出音を検知したら条件に応じて解錠ボタンを押す」というものである。 もともとは、予定された配達か否かで2通りの解錠方法を考えていた。 予定された配達の場合（廃止済み） 予定していなかった配達の場合（現行版は常にこれ） 受けた指摘は主に2つ。 もともと予定された配達時間

[mohri]

以前の記事で指摘された点を修正しましたという記事を挙げてるのすごくよい

[hara_boon]

続編あるのいいな。／“そんなときに、IPA（情報処理推進機構）から連絡があった。どうやら脆弱性関連情報の届出受付システムを通じてこのシステムの脆弱性を届出てくれた人がいたようだ。”個人のでも届くんだ、、、

[viperbjpn]

IPAに報告してるガチ勢がいるとは。

[minoooon525]

クソみたいないちゃもんも有ったのにきちんと受け止めて改善したのがとても偉いと思う

[junjun777]

FlaskのDigest認証ってMD5じゃなかったっけ？今は違うのならいいけど、httpsのBasic認証の方が良いのでは。

[benridane111]

httpとか、突っ込みどころがありすぎるけど指摘待ちかな？

[likibp]

WebAuthnを使ってみては/ただアクセス制御も知らずにやるのは、ひのきの棒でラスボスに挑むようなものなので、最低限のセキュリティ知識を学んでからに実行して欲しい。あと、SSL/TLSはLet's Encryptを使えば無料です。