- 2024年11月15日の朝、DIY Solar Power ForumでDeyeブランドのインバーターが文鎮化したとの報告が相次ぎ、一部の画面には特定の国では使用できないという案内と5桁のパスコード要求が表示された
- DeyeはSol-Arkハイブリッドインバーターの契約製造元で、Sol-Arkは2018年から米国内販売の独占権を保有し、複数の訴訟を通じてこれを行使してきた
- 事例はPuerto RicoやArizonaだけでなくPanamaやCanadaからも報告されており、問題が米国領内だけに限られていない可能性が残っている
- Sol-ArkはDeyeの措置を自社では制御していないと線引きしつつも、2024年11月15日から12月31日まで影響を受けた一般家庭の消費者に対し、同等クラスのSol-Arkインバーターを割引購入できるプログラムを提供した
- インターネット接続型の太陽光インバーターが遠隔で設定・制御され得ることが明らかになり、設置業者と利用者は公式サポートの有無とより安全なネットワーク構成をあわせて見直す必要がある
Deyeインバーター文鎮化の報告
- 2024年11月15日金曜日の朝、米国各地でDeyeブランドのインバーターが意図的に文鎮化されたとの報告が上がった
- 一部のインバーター画面には次の内容が表示された
- 当該インバーターはPakistan/USA/UKでは使用できない
- PakistanではInverex、USAではSol-Ark、UKではSunsynkに連絡するよう案内
- 供給元に返品するよう求める文言
- 次の画面に進むには5桁のパスコードが必要で、このパスコードは海外で自動生成されるという文言
- EG4 ElectronicsとSignature SolarのFounder/OwnerであるJames ShowalterはDIY Solar Power Forumで、住宅所有者が購入して依存している機器をビジネス戦略のために停止させるのは倫理的に問題だと批判した
各地から報告された被害事例
- DIY Solar Power Forumのスレッドには複数のユーザーから被害報告が続いた
- Puerto Ricoの設置業者によるFacebookグループ投稿のスクリーンショット
- Arizonaのwebbbnがインバーターの文鎮化を報告
- PanamaのPanGirlは、Deyeインバーター2台のうちドングル付きの1台だけが文鎮化したと報告
- Puerto Ricoのvan-traveler86は、同じ問題を抱える顧客が2人いると報告
- Canadaのnewageddrywallもインバーターが文鎮化したと報告
- Sol-Arkに電話したあるフォーラムユーザーによれば、対応した技術者は問題を把握していないようだったが、Canadaからも同じ問題で電話が来ていると伝えたという
- PanamaとCanadaの事例により、今回の問題が米国領内のインバーターだけに限定されない可能性がある
Sol-ArkとDeyeの独占販売関係
- DeyeはSol-Arkハイブリッドインバーターの契約製造元である
- Sol-Arkは2018年から、米国内における当該インバーター販売の独占権を保有しており、数年にわたる訴訟でもこの点が確認されている
- 一部企業はDeyeブランドのインバーターを設置用として販売してきたが、これはSol-ArkとDeyeの独占契約に違反していたとみられる
- Sol-Arkは裁判手続きを通じて独占権を行使してきた
- 今回のシャットダウンの直接のきっかけ、なぜ今起きたのか、なぜもっと早く起きなかったのかは不明である
Sol-Arkの限定的な支援プログラム
- 初期報道の後、Deyeは2024年11月30日にこの件に関する別途の立場を出した
- Sol-Arkは、Puerto RicoおよびUSAで無断販売されたDeyeブランドのインバーターによって発生した状況を認識していると明らかにした
- Sol-ArkはDeyeの措置を制御しておらず、Deyeブランドのインバーター画面メッセージはあたかもSol-Arkが保証やサービスを提供できるように見えるが、実際には提供できないと説明した
- ただし、Deyeの措置が個々の家庭に直接影響し得るとして、限定的な解決策を提示した
- 期間: 2024年11月15日から2024年12月31日まで
- 対象: Deyeブランドのインバーターを設置しており、Deyeによって機能を無効化された一般家庭の消費者
- 提供内容: 同等性能の新しいSol-Arkインバーターを大幅割引価格で購入可能
- Puerto Rico宛てのSol-Ark機器配送費用はSol-Arkが負担
- 2024年12月31日以降は提供されない
- 商業施設や商業法人は対象外
- 設置費、Deyeインバーター撤去費用、DeyeインバーターまたはDeyeの措置によって発生した損害費用はSol-Arkは負担しない
- 申請者はDeyeインバーターのシリアル番号とモデル番号の写真を撮影したうえで、Sol-ArkのAdriana Navarroに連絡する必要がある
- Sol-Arkは、このプログラム提供の可否および運営条件に関する最終決定権と裁量権を有する
MySolArkと遠隔管理の構造
- Sol-ArkのMarketing Vice PresidentであるSimon McLeanは、Sol-Arkのインバーターは独自プラットフォームであるMySolArkを通じて管理・更新・保守されると説明した
- MySolArkは、Sol-Ark顧客のセキュリティとプライバシー保護のために設計・実装されている
- プラットフォームを通じて得られたデータは米国内のSol-Arkによって処理・維持され、Sol-Arkのプライバシーポリシーに従って使用される
- Sol-Arkは、エネルギー安全保障、レジリエンス、顧客プライバシー保護を中核原則としてMySolArkを開発・提供していくと述べた
設置業者と利用者に残る課題
- 一部の利用者は、現時点で太陽光発電やバックアップ電源を使えない可能性がある
- 中国企業がインバーターのスイッチを遠隔で切って発電を止めたように見えた点も懸念を強めている
- 米国に設置された多くの太陽光設備が中国製インバーターで発電しており、中国との緊張や貿易摩擦が高まる状況では、看過しにくいレベルの影響力が存在し得る
- 国家間の政治問題を除いても、過去5〜10年に設置された太陽光設備のインターネット接続性は大きな潜在的問題として浮上している
- ほとんどのインバーター製造元は、基本的にインバーターを遠隔設定できる手段を持っており、こうした内部システムはサイバー攻撃者にとって大きな標的になり得る
- 設置業者は、米国内で公式かつ直接的なサポートがあるインバーターを慎重に選ぶ必要がある
- 停電時のバックアップ電源として使われる、あるいは完全なオフグリッドインバーターとして使われるシステムには、より安全なネットワーク構成が必要である
- 影響を受けた顧客の最終的な解決策はまだ不明であり、Deyeが初回設置時に地理的チェックを行っていなかったため、誤った人々が被害を受ける可能性が高い
1件のコメント
Hacker News の意見
根本的な問題は、いつものことながら家の中の機器が家の中からアクセスできるにもかかわらず、こうしたことを行ったり、そもそも動作したりするのに クラウドアクセス が必要な状態が当たり前になってしまっていること
昔ならインバーターの計測値は機器内のローカルWebサーバーで提供されていたはず。一般のスマートフォン利用者でもアクセスできるように、機器にQRコードを貼っていたかもしれない。ファームウェア更新はUSBメモリやMicroSDカードを挿してボタンを押すような物理的な 選択適用 であるべき
法的問題、悪意、あるいは純然たる無能さによって警告なしに機能を変更・削除できる怪しいクラウドであってはならない。うちの食洗機には、まだWi-Fiに接続していないことを知らせる小さな通知灯があるが、絶対につながない。皿洗いは今でもちゃんとできている
これを5ドルのUSB-シリアルアダプターでPCにつなぐか、Raspberry Piに直接接続するか、20ドル程度のクラウドドングルのどれかにつなげばよい。シリアルインターフェースだけを義務化すれば、インバーター自体にWebインターフェースはまったく不要
[0]: https://en.wikipedia.org/wiki/IEC_62056
[1]: https://jensd.be/1183/linux/read-data-from-the-belgian-digit...
主要機能の変更を選択適用にするのは問題ない
こういうことは 悪意ある攻撃 として扱われ始めない限り止まらない。ランサムウェアのように加害者を指名手配し、捕まったらかなり重い禁錮刑を科すべき
一般消費者向け機器を悪意をもって文鎮化する行為もそうだし、こうした形の重要インフラ攻撃も同様。もちろん後者のほうが処罰はそれに見合ってさらに重くあるべき
https://pemc.coop/bill-protecting-critical-infrastructure-si...
記事ベースで見ると、タイトルは間違っているように思える。これをやったのは米国ディストリビューターのSol-Arkではなく、メーカーのDeye に見える
Deyeや中国企業に責任を取らせるのは難しいから。さらに言えば、重要インフラのために国際的な供給業者を使い回し続けることは国家安全保障上の問題になり得るという警鐘として受け止めるべき。彼ら全員が米国の電力を止められる能力を持つのは受け入れられない
こういう物を輸入しなければならない理由はない
Deyeはおそらく「契約上の義務がある」といった説明をしたのだろう。両方に非があると思う
こういう物はインターネットの近くにあってはいけない気がする。メーカーが突然無効化できるからというだけでなく、たいていソフトウェアが 穴だらけ だからでもある
インターネット接続は、機器がときどきサーバーに接続して更新を要求する程度であるべきで、外部から直接アクセス可能であってはならない。更新サーバーまで侵害されない限り、実際に何が起こり得るのかあまりわからない
SolarEdgeのインバーターを使っているが、こういうことが起きるのが嫌で インターネットには接続していない。別会社の製品ではあるが、その懸念が正しかった気がする
なぜSol-Arkが非難されているのかよくわからない
人々が中国市場向けの 中国製インバーター をAliExpressのような場所のグレーマーケットで買って別の国に持ち込み、Deyeがその行為を取り締まることにした、という話。現時点では、Sol-Arkが米国でのDeyeリブランドインバーターの認定ディストリビューターであるという点以外に、この件に関わっていた証拠はない
だから人々はSol-Arkのこうしたやり方のせいで、自然とリスト外のDeyeインバーターに流れた。今や人々は電力なしで過ごしており、復旧するにはSol-Arkに行って、おそらく大金を払うことになるだろう
Deyeが米国内で合法的に購入された製品を破壊したのなら、米国法に違反したと考える。インバーター所有者たちが米国でDeyeを相手取って集団訴訟を起こしてほしい。裁判所は、インバーターを復旧し賠償金を支払うまで、同社製品の米国販売を差し止めることもできるかもしれない
太陽光インバーターを持っている人で、なぜこうした機器がインターネットに接続されるのか説明できる人はいる？
ただ、実際にはほとんどの場合インターネット接続を意味する。最も単純なインターフェースがWi-Fiで、データ収集と表示はメーカーのサーバー側で行われるため。なので追加機能はそのままインターネット接続につながる
両者の間で金銭トラブルがあったのか、下請け業者が私に請求書を自分たちへ直接支払えと言ってきた。さもないと新しく設置した太陽光設備を止めると言われた。「そんなことができるのか」と電話で聞きながら、もちろんWi-Fiのパスワードは変更した
そのアプリは、正体不明のクラウドサーバー経由でインバーターの遠隔制御や監視まで可能にする。私はすべてをローカル専用で運用しているので、そんなことは絶対にしない
このメーカーはコスト削減のために両方を同じ「箱」に入れ、その結果、コントローラー側のエラー状態がインバーター部分の停止につながった可能性がある。私のシステムであるEnphaseのように、監視・制御ソフトウェアとは独立してインバーターが動作するよう、うまく設計されているものもある。ただしその場合、コントローラーの「停止」中でもデータを記録できるよう、インバーター自体にデータ保存領域を追加する必要があるだろう
利用状況を表示するあらゆるWeb UIは、予測モデルに使える有用な情報も収集している。一緒に働いていた研究者の一人は、分散した家庭用太陽光の出力測定値を使って、より高解像度の日射量予測と実測値・観測値の推定に役立てる論文を書いていた。これを信頼できるものにするには大量のデータクレンジングが必要。記憶では、こうしたデータは複数の研究用・商用の気象モデリング向けに売買されていた
10年前にもこうした法理はあった
https://www.finnegan.com/en/insights/articles/u-s-supreme-co...
「米国連邦最高裁判所は、海外で印刷・販売された書籍についても、ファーストセール・ドクトリンにより著作権が消尽するため、米国内で自由に再販売できると判断した…Kirtsaeng判決は著作権者にとって重要であり、米国特許を実施する製品を海外で製造・販売する特許権者にとっても重要な波及効果を持ちうる。」
https://www.iveticlaw.com/owning-vs-controlling-understandin...
ファーストセール・ドクトリンは、著作物が適法に販売された後、その特定の複製物に対する著作権者の支配を制限する法原則。より実務的に言えば、書籍、CD、DVD、美術品、その他の認可された著作物の複製を購入した後は、その特定の物を再販売したり、貸したり、贈与したり、さらには破壊したりするのにも、通常は著作権者の許可は不要
リモートで文鎮化するにはソフトウェアが必要で、ソフトウェアは著作権法の下で販売される
そして、この件のように見える企業間の独占契約とも無関係
2019年からDeyeを使っている。逆潮流なしで運転するため、リミッター付きの青い系統連系インバーターを使っていて、Deyeのメーカーシールが貼られていた。そこで検索してAlibabaで見つけ、直接いくつか購入した。後になって初めてSol-Arkと関係があると知った。幸い、彼らのドングル／クラウドソリューションを信用していなかったので、ファームウェア更新を依頼するときだけ差していた
ある時点で、その製品はSol-Arkと共同設計され、Sol-Arkが米国市場での販売をやめるようDeyeに圧力をかけ、実際にDeyeが米国内での直接販売を停止したことを知った。Sol-Arkの立場は理解できるが、その関係をまったく知らずに買った人や、中国から直接製品を買うのがあまりに一般的なので、それがグレーマーケット扱いになるとは思ってもいなかった人も多い。また、これをいじっているほとんどすべての人と同じく、私たちはSol-Arkが高すぎて最初から買うつもりもなく、よく知りもしなかった
この判断が純粋にDeye側から出たものだとしても、インバーターが米国市場に売られるのを止めようとしたSol-Arkの圧力が直接の結果。仲介業者がそれを十分に迂回したため、こうする必要があると感じたのだろう
繰り返すがSol-Arkの立場は理解できるが、見た目は非常に悪い。ある種のメディア海賊版に似ていると思う。人々は、あなたが提供する形ではどうせ金を払わなかったはずで、今やっていることは潜在的な将来の顧客にあなたを嫌わせるだけ。そのリソースは他に向けたほうが、間違いなくより収益性が高い
Sol-Arkはまさに「危機を無駄にするな」を体現しているようだ
Sol-Arkがインバーターを文鎮化する引き金を直接引いたわけではないかもしれないが、彼らの法的措置がDeyeに圧力をかけたように聞こえる。そして、インバーターが壊れた個人に対して、期間限定で自社から新製品を買えという形で揺さぶるのはなおさらそうだ
Sol-ArkがDeyeにこの行動を強制したわけでもなく、むしろ驚いているように見えるのに、そう言うのはかなり不誠実に思える