IoTセキュリティに関する標準化の動向ー国内外でガイドラインラッシュ！ー

Size: px

Start display at page:

Download "IoTセキュリティに関する標準化の動向ー国内外でガイドラインラッシュ！ー"

まれあみつだ
5 years ago
Views:

1 Okinawa Open Days 2017 IoT 時代に向けた IoT システムセキュリティの脅威の現状と脆弱性評価のポイント ~ ハッキング ( 脅威 ) と IoT ガイドラインの動向を中心に ~ 2017 年 12 月 6 日 ( 一社 ) 重要生活機器連携セキュリティ協議会 Connected Consumer Device Security Council (CCDS) 代表理事荻野司博士 ( 工学 ) Copyright 2017 Connected Consumer Device Security Council Proprietary 1

3 CCDS のご紹介名称 : 一般社団法人重要生活機器連携セキュリティ協議会英名 :Connected Consumer Device Security council (CCDS) 設立 :2014 年 10 月 6 日会長 : 徳田英幸 ( 情報通信研究機構理事長慶應大学教授 ) 代表理事 : 荻野司 ( 京都大学特任教授 ) 専務理事事務局長 : 伊藤公祐 ( ゼロワン研究所 ) 理事 : 後藤厚宏 ( 情報セキュリティ大学院大学教授 SIP:PD) 長谷川勝敏 ( イーソル代表取締役社長 ) 服部博行 ( 株式会社ヴィッツ代表取締役社長 ) 会員数 :153( 正会員以上 :45 一般会員 :79 学術系 :16 協賛 :13) 主な事業 : 1. 生活機器の各分野におけるセキュリティに関する国内外の動向調査内外諸団体との交流協力 2. 生活機器の安全と安心を両立するセキュリティ技術の開発 3. セキュリティ設計プロセスの開発や検証方法のガイドラインの開発策定および国際標準化の推進 4. 生活機器の検証環境の整備運用管理及び検証事業セキュリティに関する人材育成や広報普及啓発活動等 Copyright 2017 Connected Consumer Device Security Council Proprietary 3

CCDSとは重要生活機器におけるセキュリティ事業の創生一般民生機器などあらゆるモノが繋がるモノのインターネット HEMS AV家電医療ヘルスケア自動車関連機器ナビ AV機器等製品サービス AVネットワーク HEMSネットワーク医療ヘルスケアネットワーク

サービス提供サーバクラウドホームゲートウェイ自動運転 ITS路側機後付車載器車載 ECU 車車間通信テレマティクス端末データレコーダ等持込機器 Newサービス HEMS 関連企業コンテンツ提供企業医療機関ヘルスケア企業自動車メーカ交通管制

5 CCDSとは重要生活機器におけるセキュリティ事業の創生一般民生機器などあらゆるモノが繋がるモノのインターネット HEMS AV家電医療ヘルスケア自動車関連機器ナビ AV機器等製品サービス AVネットワーク HEMSネットワーク医療ヘルスケアネットワーク電力会社４K ８K コンテンツ太陽光発電スマートメータロボット介護省エネ制御家電照明蓄電池コジェネネットワーク家電医療ヘルスケア機器 EV/HV オフィスエリアのネットワーク機器ホームサーバ HEMS 端末ウェラブル機器医療ヘルスケアサーバサービス提供サーバクラウドホームゲートウェイ自動運転 ITS路側機後付車載器車載 ECU 車車間通信テレマティクス端末データレコーダ等持込機器 Newサービス HEMS 関連企業コンテンツ提供企業医療機関ヘルスケア企業自動車メーカ交通管制 Convenience お弁当セール ITS 自動車安全機能の連携 MFP ATM 機器メーカ遠隔監視制御生活圏の公共エリアのネットワーク機器 Copyright 2017 Connected Consumer Device Security Council Proprietary 5

センシングデバイス IoT 環境動き温湿度気圧照度音 CO 煙移動傾斜落下位置存在近接通過動態人モノ動物などの検知出典 CES2017

7 IoT 機器向け無線プロトコル低速なナローバンド : 制御信号中心低消費電力 : 電源レス IEEE 仕様 : 項目利用周波数チャネル数変調方式拡散方式伝送速度 (bps) アクセス制御方式消費電力 ( 通信時 ) 暗号化ネットワークノード数仕様 2.4GHz,etc 16 BPSK,O-QPSK,etc DSSS-PHY 250k,etc TDMS,CSMA <30mA AES-128bit 特徴グローバルで使用可能同時通信可能ノイズに強いセンサー情報に対応低消費電力セキュリティに配慮大規模センサノードに対応 Copyright 2017 Connected Consumer Device Security Council Proprietary 7

8 ホームネットワークプロトコル日本:ECHONET Lite (WiSUN) 米国:SEP2.0(Smart Energy Profile 2.0) 欧州:KNX(Konnex) 無線ネットワークプロトコル Wi-SUN Thread 第 5-7 層アプリ層 ECHONET Lite ー第 3-4 層インターフェース層 PANA,RPL,etc UDP/TCP IPv4/IPv6/6LoWPAN UDP+DTLS Distance Vector Routing IPv6/6LoWPAN 第 2 層 MAC 層 IEEE /4e 第 1 層 PHY 層 IEEE g Copyright 2017 Connected Consumer Device Security Council Proprietary 8

あたり前になっているハッキング DEFCON:IoT Village: コンテスト事例 (2015-2017) ハッキングコンテストコンシューマー製品のハッキング大会 ( ワークショップ ) 家庭用ルータ (ASUS, Zyxel 社 ) 防犯カメラ (Netgear, Forscam 社 ) 赤ちゃんモニター (Samsung 社 ) Wi-Fi 対応血圧モニター (Blipcare 社 )

12 あたり前になっているハッキング DEFCON:IoT Village: コンテスト事例 ( ) ハッキングコンテストコンシューマー製品のハッキング大会 ( ワークショップ ) 家庭用ルータ (ASUS, Zyxel 社 ) 防犯カメラ (Netgear, Forscam 社 ) 赤ちゃんモニター (Samsung 社 ) Wi-Fi 対応血圧モニター (Blipcare 社 ) Wi-Fi 対応体重計 (Fitbit Araia 社 ) タイムカード記録装置 (ZK Software 社 ) NAS(Apple 社タイムカプセル ) ガレージ開閉装置 (Chamberlain 社 ) 電気錠 (LockState, Hysoon 社 ) 冷蔵庫 (Samsung 社 ) おもちゃ (HappyCow 社カメラ付き戦車模型 (Wi-Fi 接続 )) 2016 年 : ドローンが追加 2017 年 : 電子レンジ追加 Copyright 2017 Connected Consumer Device Security Council Proprietary 12

DEFCON(2016): ハード解析チュートリアル IoTビレッジで紹介された IoT( ハードウェア ) アタックのいろはとは? 0. まず筐体を開ける!( 製品保証は捨てろ ) 1. HWを構成するコンポーネントとリビジョンを把握する 2. チップのデータシートを探せ ( データシートは最良の友!) 3. HW 内の通信とI/Fをできる限り特定する 4. ピン出力をリバースする 5.

13 DEFCON(2016): ハード解析チュートリアル IoTビレッジで紹介された IoT( ハードウェア ) アタックのいろはとは? 0. まず筐体を開ける!( 製品保証は捨てろ ) 1. HWを構成するコンポーネントとリビジョンを把握する 2. チップのデータシートを探せ ( データシートは最良の友!) 3. HW 内の通信とI/Fをできる限り特定する 4. ピン出力をリバースする 5. Wire 上のプロトコルを解析するチップは何を話してるか識別する 6. I/FとアクセスするHWツールを用意する ( 探すなければ作る ) 7. ボードに接続 (wiring) する 8. デバイスを調査する 9. ファームウェア挙動をリバースする 10. 脆弱性を調査探索実施する箱は開けられる前提で製品開発が必要 Copyright 2017 Connected Consumer Device Security Council Proprietary 13

15 2020年における脅威の想定つながるIoTサービスー HEMSネットワーク AV家電ネットワーク拡大する脆弱性医療ヘルスケアネットワーク何がつながっているか分からない脆弱な生活機器が攻撃の入口に電力会社４K ８K コンテンツ太陽光発電スマートメータ分野ネットワーク間の連携ができていない他分野の生活機器の思わぬ動作が影響ロボット介護省エネ制御家電照明蓄電池コジェネネットワーク家電医療ヘルスケア機器 EV/HV HEMS 端末ホームサーバウェラブル機器医療ヘルスケアサーバいたる所で生活機器とモバイルデバイスが接続モバイルデバイスが脅威の運び役にゲートウェイ自動運転 ITS路側機後付車載器車載 ECU テレマティクス端末データレコーダ等サービス提供サーバクラウド持込機器車車間通信 Convenience お弁当セール ITS 自動車安全機能の連携 NEWサービス多くの生活機器がサーバと通信プライベートに係る情報の漏えい改ざんの危険性 ATM 生活圏の公共エリア生活機器を遠隔から監視操作するサービスが増加遠隔サーバの乗っ取りによる生活機器への攻撃も Copyright 2017 Connected Consumer Device Security Council Proprietary 15

不正利用赤外線リモコン不正利用ブリッジウイルス感染スマートカーテンタブレットスピーカ不正利用盗聴改ざんセキュリティカメラ不正利用温湿度センサーロボット

16 宅内イメージ+想定脅威 (分電盤) HEMS機器温湿度センサーエネルギー計測ユニットウイルス感染 HEMS本体エアコン盗聴改ざん照明盗聴改ざん不正利用インターネット HEMS無線アダプタ HEMSモニター Wi-Fi ルータ壁スイッチ LED電球液晶テレビ不正利用盗聴改ざん不正アクセス DoS攻撃ホームルータ盗聴改ざん BDレコーダ不正利用赤外線リモコン不正利用ブリッジウイルス感染スマートカーテンタブレットスピーカ不正利用盗聴改ざんセキュリティカメラ不正利用温湿度センサーロボット掃除機スマートコンセント盗聴改ざんその他のIoT機器 Copyright 2017 Connected Consumer Device Security Council Proprietary 人感センサー 16

17 IoT システム攻撃者の視点ターゲットとなるのは簡単に大量攻撃できそうなものまたはコントロールを奪えると高価値なもの ( 人命コンテンツ社会的影響など ) の自由を奪えるもの (Return on Investment の高いもの ) ファームウェアアップデート機能を狙う! どういう仕組みで動いているかまずは分解してみる破棄した基盤パーツから情報収集攻撃手法は基本的に組込み開発者のデバッグ手法と同じ IoT 製品のコントロール ( プロトコルメッセージやプログラム FW アップデート ) を奪える糸口を地道に探す ( リバースエンジニアリングする ) できるだけ PC/ インターネットサーバ汎用 I/F のハッキング技術を流用する USB Ethernet WiFI BlueTooth JTAG GPIO UART コストパフォーマンス重視! Copyright 2017 Connected Consumer Device Security Council Proprietary 17

個人情報の漏えい影響範囲拡大メーカー責任米FTCとASUSの間で訴訟に発展商業衛星をマルウェアでハッキング国家間の懸案事項に

19 IoTセキュリティを取り巻く環境増え続けるIoTのセキュリティ脅威生活を脅かすサイバー攻撃が増加を続け攻撃の手口や標的は多様化 Miraiボッドネットによる大規模なDDoS攻撃 IoT機器へ拡大世界中で感染は100万台以上台湾製ホームルータの脆弱性による個人情報の漏えい影響範囲拡大メーカー責任米FTCとASUSの間で訴訟に発展商業衛星をマルウェアでハッキング国家間の懸案事項にテロへの利用を想起参考付録① Copyright 2017 Connected Consumer Device Security Council Proprietary 19

20 規格策定状況 2013年度自動車医療機器家電などの生活機器に関してはセキュリティ規格もなく対応に遅れセーフティとセキュリティの国際規格の策定状況機能安全セーフティ基本分野別原子力 IEC61513 プロセス産業 IEC61511 自動車医療機器 IEC 電気電子プログラマブル電子の機能安全 ISO IEC 白物家電 IEC60335 産業機械類 IEC62061 製品部品のセキュリティ機能 JIPDECが認定した認証機関が組織のセキュリティ体制を認証セキュリティ組織 ISO ISMS 情報セキュリティマネジメントシステム基本分野別策定中または未策定 IEC 汎用制御システムのセキュリティ策定中または未策定未策定 IPA で実施 ISO セキュリティ評価認証 CSSCが制御システムを評価検証認証生活機器に関するセキュリティ評価検証認証を行うためのガイドライン標準規格スキームがない沖縄県で取組を支援 IPAが認定した評価機関がセキュリティ機能を評価検証 CSSC:技術研究組合制御システムセキュリティセンター IPA 独立行政法人情報処理推進機構 JIPDEC一般財団法人日本情報経済社会推進協会 Copyright 2017 Connected Consumer Device Security Council Proprietary 20

21 生活機器分野別セキュリティガイドライン v1.0 製品分野ごとに対策すべき脅威が異なることから IPA つながる世界の開発指針を参考に各分野ごとの視点でセキュリティの取組みを整理し業界にセキュリティバイデザインの考え方を普及しやすくする車載器 IoT ゲートウェイ目的対象分野金融端末 (ATM) 決裁端末 (POS) ガイドラインの主な内容対象とするシステム構成想定されるセキュリティ上の脅威製品ライフサイクルの各フェーズにおけるセキュリティの取組み (IPA つながる世界の開発指針との相関 ) 脅威分析リスク評価の方法製品全体およびセキュリティ対策機能の第三者セキュリティ評価車載器システム構成 IoT-GW: ホーム GW ケース ATM システム構成 POS システム構成 Copyright 2017 Connected Consumer Device Security Council Proprietary 21

22 分野別SWGのリリースリスト車載 SWG 主査株式会社JVCケンウッド 1.製品分野別セキュリティガイドライン車載器編 Ver1.01の英語版 2.製品分野別セキュリティガイドライン車載器編改訂版 Ver 製品分野別セキュリティガイドライン付属書べからず集車載器編失敗しないための事例集ホームネット SWG 主査株式会社日立製作所 1. 製品分野別セキュリティガイドライン IoT-GW編 2. 製品分野別セキュリティガイドライン IoT-GW編 3. 別冊リスク評価ケーススタディ Ver.1.01の英語版改訂版 Ver.2.0 金融ATM SWG 主査日立オムロンターミナルソリューションズ株式会社 1. 製品分野別セキュリティガイドライン金融端末( ATM)編 Ver.1.0の英語版 2. 別冊セキュリティ対策検討実践ガイドー犯罪事例の分析と対策立案ー決済端末 SWG 主査オムロンソーシアルソリューションズ株式会社 1. 製品分野別セキュリティガイドラインオープンPOS編 Ver.1.01の英語版 2. 製品分野別セキュリティガイドラインオープンPOS編改訂版 Ver.2.0 Copyright 2017 Connected Consumer Device Security Council Proprietary 22

23 セキュリティ評価検証ガイドライン IoT 機器全般に汎用的に活用可能なセキュリティ評価検証手順プロセスを策定セキュリティ評価検証に必要なプロセスを評価検証方針計画策定評価検証設計評価検証実行報告フィードバックに分け各プロセス毎に詳細を解説製品企画設計製造評価検証運用保守廃棄本ガイドラインでは評価フェーズの詳細プロセスを定義する評価検証方針計画策定評価検証設計評価検証実行評価検証完了報告総括フィードバック本ガイドラインを策定する上で参照している文書 CCDS 製品分野別セキュリティガイドライン Ver.1.0 NIST NIST SP Technical Guide to Informaton Security Testing and Assessment ISO/IEC/IEEE29119: Software and system engineering - Software Testing Copyright 2017 Connected Consumer Device Security Council Proprietary 23

24 IoT 関連の主なセキュリティガイドライン抽象度指針 IPA/SEC つながる世界の開発指針 (2016 年 3 月 ) IoT 推進コンソーシアム IoT セキュリティガイドライン (2016 年 7 月 ) CCDS 製品分野別ガイドライン (2016 年 6 月 ) DHS( 米 ) STRATEGIC PRINCIPLES FOR SECURING THE INTERNET OF THINGS (2016 年 11 月 ) 対策機能 CSA( 米 ) Security Guidance for Early Adapters of the Internet of Things (2015 年 4 月 ) GSMA( 米 ) IPA/ISEC IoT Security IoT 開発における Guidelines セキュリティ設計の (2016 年 2 月 ) 手引き (2016 年 5 月 ) JNSA コンシューマ向け IoT セキュリティガイド (2016 年 8 月 ) IIC( 米 ) Industrial Internet Security Framework (2016 年 9 月 ) CCDS IoT セキュリティ評価検証ガイドライン (2017 年 6 月 ) 出典 :CCDS 沖縄セキュリティウィークパネル IPA 田丸氏資料を改変時間 Copyright 2017 Connected Consumer Device Security Council Proprietary 24

IoTセキュリティガイドラインの整備状況 IoTセキュリティ一般的枠組 NISC サイバーセキュリティ戦略 NISC

基本的な一般要求事項の明確化 IoTセキュリティガイドライン IoT推進コンソ総務省経済産業省つながる世界の

IoTサービス関係者全レイヤに向けたセキュリティガイドライン IoTサービス提供者 IoT基盤ネットワーク提供者

脅威やリスクポイントの具体化設計段階からのセキュリティ検討ポイントの整理 IoTシステムベンダー CCDS オープン

25 IoTセキュリティガイドラインの整備状況 IoTセキュリティ一般的枠組 NISC サイバーセキュリティ戦略 NISC 参照セキュリティバイデザイン思想によるIoTシステム開発の提唱提案 IoTシステムの設計構築運用にかかる基本的な一般要求事項の明確化 IoTセキュリティガイドライン IoT推進コンソ総務省経済産業省つながる世界の開発指針産業展開協力日本の考え方の国際展開検参討照協力 CCDS 車載器編 CCDS IoT-GW編 IoTサービス関係者全レイヤに向けたセキュリティガイドライン IoTサービス提供者 IoT基盤ネットワーク提供者製品分野横断で活用できる安全安心なIoTシステムの開発指針チェックリスト CCDS ATM編製品分野ごとの視点での脅威やリスクポイントの具体化設計段階からのセキュリティ検討ポイントの整理 IoTシステムベンダー CCDS オープン POS編 Copyright 2017 Connected Consumer Device Security Council Proprietary 25

26 規格策定状況 :2016 年度 < セーフティとセキュリティの国際規格の策定状況 > NISC: 内閣サイバーセキュリティセンター CSSC: 技術研究組合制御システムセキュリティセンター IPA: 独立行政法人情報処理推進機構 JIPDEC 一般財団法人日本情報経済社会推進協会 JNSA: 特定非営利活動法人日本ネットワークセキュリティ協会機能安全 ( セーフティ ) セキュリティ基本分野別組織基本分野別原子力 IEC プロセス産業 IEC 策定中または未策定 IEC 汎用制御システムのセキュリティ CSSC が制御システムを評価検証認証自動車医療機器 IEC 電気電子プログラマブル電子の機能安全 ISO IEC 白物家電 IEC 産業機械類 IEC ISO ISMS: 情報セキュリティマネジメントシステム NISC 安全な IoT システムのためのセキュリティに関する一般的枠組総務省経済産業省 IoT 推進コンソーシアム IoT セキュリティガイドライン IPA つながる世界の開発指針 CCDS 製品分野別セキュリティガイドライン車載分野 IoT-GW 分野金融端末分野決済端末分野生活機器に関するセキュリティ評価検証を行うためのガイドライン標準規格スキームがない製品部品のセキュリティ機能 JIPDEC が認定した認証機関が組織のセキュリティ体制を認証 ISO セキュリティ評価認証 IPA が認定した評価機関がセキュリティ機能を評価検証 JNSA コンシューマー向け IoTセキュリティガイド Copyright 2017 Connected Consumer Device Security Council Proprietary 26

27 ガイドラインから国際標準化 ISO/IEC JTC1 SC27/WG4およびSC41 国内委員会が始動 ISO/IEC JTC1 SC27/WG4 日本のIoTセキュリティガイドラインをベースに米国CSAなどからの提案を加味した目次案を検討中 10月下旬のベルリン会合にてNew Work Item化の予定 ISO/IEC JTC1 SC41 IoTセキュリティガイドラインレベルの議論とすでに発行されているIoTリファレンスアーキテクチャ ISO/IEC の間を埋める文書 IoTを安全にするための一般的要求事項として明文化することを検討中 IoTシステムの高信頼化のための設計要求事項を導出する考え方とする方向 ITU-T SG17 Q6 IoTセキュアアップデートスキーム提案をNICT中心に提案中 CCDS 分野別ガイドラインIoT-GW編をNICT経由で紹介 Q13: ITS専門の新しいWGが発足 CCDS分野別ガイドライン車載器編を紹介 Copyright 2017 Connected Consumer Device Security Council Proprietary 27

29 情報セキュリティと関連法コンピュータ犯罪処罰規定不正競争防止法中の営業秘密の保護に関する規定不正アクセス禁止法個人情報保護法中の個人データ安全管理措置義務に関する規定 etc ( 著作権法 ) 出典 : 情報セキュリティ関連法令の要求事項集経済産業省,H Copyright 2017 Connected Consumer Device Security Council Proprietary 29

Breaking News (11/2/2016) The FTC authorized changes to the Digital Millennium Copyright Act (DMCA) that will allow Americans to do hack their own electronic devices.

30 Breaking News (11/2/2016) The FTC authorized changes to the Digital Millennium Copyright Act (DMCA) that will allow Americans to do hack their own electronic devices. Researchers can lawfully reverse engineer products and consumers can repair their vehicle's electronics, but the FTC is only allowing the exemptions for a two-year trial run. Copyright 2017 Connected Consumer Device Security Council Proprietary 30

31 米国の動向 IoT Cybersecurity Act 2017 法案 (USA)Aug.2017) IoT 製品の政府調達条件 : メーカー側に既存 (IoT) 製品のソフトウェアアップデートとその証明を要請修正がきかないハードコードのパスワードを用いることを禁ずる IoT デバイスを政府へ販売するベンダー側にも及ぶ販売時に脆弱性がないことを約束問題発見時にはパッチを発行して更新する責任を負う主な評価要件 : 既知の脆弱性はすべて排除しておくことアップデートは適切に認証され信用できるものとすること通信暗号機器などとの相互接続には業界標準技術を使用することその他の用件 : 通知要件アップデート要件修復要件サービス継続要件などあり例外とされること : リソースの乏しいデバイスの例外要件上記要件と同様の要件である 3rd パーティセキュリティ標準の証跡でもよい組織のセキュリティ評価基準があればそれでもよい考察法案の段階だが米国民間企業も調達要件として参考にする可能性あり IoT セキュリティ認証 ( 検定?) マークへの布石 Copyright 2017 Connected Consumer Device Security Council Proprietary 31

32 まとめ 1. ガイドライン方針から具体的な規定へ 2. 研究開発における法的な拠り所の検討 3. 脆弱性対策がコストから投資へクイックツールの開発と配布簡易な認証マーク付与スキームを設けてメリット化の促進ガイドライン法制度ツールの活用方法について現場技術者への教育活動も重要 Copyright 2017 Connected Consumer Device Security Council Proprietary 32

33 人材育成 : 一部カリキュラムを本年度実施中ベーシックコース :90 分 12 回 + 2 回講義ポイント : 脆弱性検証技法品質評価技法を併せて習得を目指す 1) 実際の機器を対象に脆弱性検証 ( アタック ) を実施 2) 基本的な脆弱性ツール (OSS) の内容と操作を習得 ( スキャンアタックのツールの利用 3) 既知の脆弱性を有する機器 (wifi モデムルータ ) を対象に管理者権限として侵入するところまでの演習を実施 4)ISO/IEC25010( 品質特性の理解 ) ISO/IEC/IEEE29119( ソフトウェア評価の標準プロセスを学ぶ ) 5) リスク評価手法 (CVSSv3) の理解と実際の評価業務への応用方法アドバンスコース :90 分 2 回 1) ファジングツールを利用した脆弱性検証演習の実施 2)USB,Bluetooth に対する攻撃演習の実施 Copyright 2017 Connected Consumer Device Security Council Proprietary 33

IoTセキュリティに関する標準化の動向ー国内外でガイドラインラッシュ！ー

IoTセキュリティに関する標準化の動向ー国内外でガイドラインラッシュ！ー IoT セキュリティの動向と対策を考える ~CCDS 製品分野別ガイドラインと共通ガイドラインから ~ 一般社団法人重要生活機器連携セキュリティ協議会 Connected Consumer Device Security Council (CCDS) 代表理事荻野司 Copyright 2018 Connected Consumer Device Security Council Proprietary

IoTセキュリティに関する標準化の動向 ー国内外でガイドラインラッシュ！ー

IoTセキュリティに関する標準化の動向ー国内外でガイドラインラッシュ！ー