FCC、外国製の消費者向けルーターを「Covered List」に追加

• 米国のFCCが外国で製造された消費者向けルーターを「Covered List」に新たに追加
• この措置により、該当ルーターの新規モデル承認が禁止
• 更新は米国行政機関の国家安全保障判断に基づいて実施
• FCCはプレスリリースと告知文を通じて関連文書をDOCX・PDF・TXT形式で公開
• 今回の決定は消費者向けネットワーク機器のセキュリティリスク管理強化を目的とした連邦レベルの対応

---

FCC、外国製の消費者向けルーターを「Covered List」に追加

• FCC(Federal Communications Commission) が外国で生産された消費者向けルーターを「Covered List」に新たに追加
  • この措置は、該当ルーターの新規モデル承認禁止を意味する
• 更新は米国行政機関の国家安全保障判断に基づいて行われ、当該機器が安全保障上の脅威となる可能性があると明記されている
• FCCは関連内容をプレスリリース(News Release) と公式告知文(Public Notice) の形で公開し、DOCX・PDF・TXTファイルで提供
• 文書にはCovered List更新FAQへのリンクが含まれており、外国製ルーターに関する規制変更事項を案内
• 今回の措置は消費者向けネットワーク機器のセキュリティリスク管理強化のための連邦レベルの対応として発表された

[GN⁺]

Hacker News の反応

• FCC は「Covered List」という機器・サービスの一覧を維持している。最近は外国製の小型・家庭用ルーターの脆弱性を悪用した攻撃が増えているが、問題の本質は製造国ではなく、メーカーのずさんなセキュリティ慣行にある。政府機関がセキュアなファームウェアを義務化してこなかったため、メーカーには気にする理由がなかった。FCC も FTC も消費者保護より政治的利害に縛られており、その結果、米国はセキュリティが劣悪な大量の機器を生み出すことになった

  • 「セキュアなファームウェア」は相対的な概念だ。完璧なファームウェアを求めるより、継続的なアップデートのほうが重要である。だがメーカーは 3 年でサポートを打ち切り、消費者は 15 年使う。解決策は、消費者が自分でファームウェアを入れ替えられる権限を持つことだ。そうすれば会社が倒産してもオープンソースのファームウェアに置き換えられ、セキュリティも高まる
  • 皮肉なことに、多くの消費者向け機器には「問題解決用」という名目でバックドアが組み込まれている。この問題は外国製だけに限らない。政府機関がセキュリティを気にした唯一の瞬間は、FBI が暗号化を弱めようとしたときだけだった
  • 欧州は 2027 年からCyber Resilience Actを施行し、すべてのデジタル製品に最低限のセキュリティ要件を義務付ける予定である。ハードコードされた初期パスワードの禁止、自動セキュリティ更新、データ暗号化などが含まれる。効果は未知数だが、試み自体は前向きだ
  • FCC は電波干渉を管理するだけで、消費者保護機関ではない。FTC も不公正取引を扱うのであって、セキュリティ品質は管轄外である
  • 行政府を批判するのはよくあることだが、今回の措置は「脆弱性を知りながら放置し、自国が悪用した後になってようやく修正する」という意味にも読める。最近ではむしろ自分でルーターを作ったほうがよいと思える

• 今回の発表の核心は、外国製ルーターは原則禁止だが、**条件付き承認（Conditional Approval）**を受ければ販売できるという点である。FCC はメーカーに対し、法的管轄、部品の原産地、ソフトウェア更新計画、米国内での生産拡大計画などを求めている。つまり、承認手続きを通じて国内製造を誘導しようという意図だ

  • しかし実際には、**政治献金（payola）**をした企業だけが承認を得て、そうでない企業は阻まれる可能性が高い。すでに関税政策でもこうしたパターンが見られる
  • 書類上は立派に見えるが、現実には行政府の私的利益追求の手段として悪用される危険が大きい
  • こうした手続きが超党派の技術行政として運用されるとは期待しにくく、結局は**「Pay-to-Play」**の構造になるだろう
  • 結局のところ、「関税ではだめだから、今度は別の方法で貿易相手国に圧力をかけよう」というアプローチに見える
  • トランプの私的プロジェクトに寄付した企業だけが通過するだろう、という冷笑的な見方もある

• 今回の措置が監視システム構築の出発点になり得るという懸念もある。米国製ルーターに政府向けのリモートアクセス機能を義務付ければ、結局すべての家庭が監視網につながり得る。自由貿易が保証する唯一の利点は、単一国家が国民全体を監視できないことである

  • たとえば Xfinity ルーターのアプリには、「WiFi で家の中の動きを検知する」機能が新たに追加されたという
  • 冗談半分に、米国・中国・ロシア製ルーターを直列接続すれば、どこも完全なバックドアアクセスはできないだろうという話も出ている
  • しかし実際には、単なる監視を超えて、国内インターネット統制の基盤になり得る。イランの事例のように、政府が情報遮断を通じて暴力を隠蔽できる構造を作ろうとしているのだ

• 本当にセキュリティを求めるなら、機器を禁止するのではなくファームウェアを公開して監査可能にすべきだ

  • ただしバックドアはファームウェアではなく、シリコンチップ内部に隠すこともできる。完全な検証は現実的に不可能なので、サプライチェーンセキュリティこそが核心である。だが今回の措置は、トランプによる貿易の武器化に見える
  • オープンなファームウェアが商業的に成功するのは難しいが、OpenWRT One のようなプロジェクトはよい例だ。Software Conservancy と Banana Pi が協力して作ったモデルはうまく動いている
  • しかし FCC 規制のため、ユーザーが RF 機器を自由に改変するのは難しく、**「Right to Repair」**の例外も存在する。議会がこれを変えない限り、現実的な前進は難しい
  • また、一般ユーザーがファームウェアがソースと一致するか検証するのは不可能である。技術者ではない一般の商店主にそれを確認する方法はない

• 最近のLoper Bright Enterprises v. Raimondo (2024) 判決により、FCC の権限は大きく弱められた。この状況で外国製ルーターを制限する措置が法的審査を通過できるのか疑問である

  • ある人は「共和党寄りの最高裁が、行政府の賄賂集めの権限だけを強化した」と批判している

• 「外国製消費者向けルーターの全面禁止」と言うが、そもそも米国製ルーターが存在するのかという疑問が出ている

  • heise.de の記事 によれば、米国内生産のルーターはほとんどない
  • ただし既存モデルは引き続き販売可能である。FCC の「Covered List」規定では、今回の措置は新規モデルにのみ適用される。一部企業はファームウェアの入っていないスイッチを輸入し、米国内で再フラッシュすることもあり得る
  • Cisco でさえ米国内生産ではない
  • Raspberry Pi のような小型コンピューターをルーター化する方法もある
  • もしかするとStarlinkは例外かもしれない、という意見もある

• FCC が今回の措置を通じてインターネット規制権限を拡大しようとしている可能性もある。過去にも似た例があったとして、以前の議論 に言及している

• メーカーにとっては、製品を「ルーター」ではなく汎用コンピューターとして販売するのが解決策になり得る。すでに NAS・ファイアウォール・プロキシサーバーとして活用できるハードウェアは多い

  • だが大半の消費者は、「ルーター」という名前の完成品を求める。DIY ネットワーク機器を望む人たちは、すでにそうしている

• 中国企業が米国内の工場でルーターを作っても、サプライチェーンリスクは依然として残る。実際により危険なのは、すでに家庭内ネットワークにつながっているIoT 機器である。今回の措置は実質的な変化というより、政治的ジェスチャーに近いと見られている

• 結論として、「外国製ではない消費者向けルーターが実際に何台あるのか」という疑問が残る