セキュリティテスト手法ファジングによる脆弱性低減を! ~ 外部からの脅威に対し製品出荷前に対策強化するために ~ 2016 年 5 月 12 日独立行政法人情報処理推進機構技術本部セキュリティセンター情報セキュリティ技術ラボラトリー鹿野一人 1

アジェンダネットワークに繋がる機器たちファジングとはファジングによる効果まとめ IPAのファジングに関する取組み 2

ネットワークに繋がる機器たち (1/4) ~ 注目されている IoT~ さまざまな機器がネットワークに繋がる時代ネットワークは誰でも繋がる悪意あるユーザがネットワークに居ないとは限らない IoT インターネット 3

ネットワークに繋がる機器たち (2/4) ~ 製品の被害事例 ~ ネットワークにつながっているため攻撃を受ける可能性がある組込み製品の脆弱性による被害事例年月製品種別問題概要 / 関連情報 2012 年 1 月 IP カメラ 2014 年 11 月ルータ IPカメラに認証なしで撮影している映像を閲覧できる問題があり対象となるIPカメラでインターネット上からアクセスできる台数は数千台にのぼっていたルータの脆弱性を悪用してインターネット接続に必要な ID とパスワードを不正に入手され悪用されていた修正版を公開しても利用者が対応する手間がかかる 4

ネットワークに繋がる機器たち (3/4) ~ 出荷後の脆弱性対策事例 ~ 出展元日本経済新聞 http://www.nikkei.com/article/dgxlasgm25h19_v20c15a7mm0000/ 5

ネットワークに繋がる機器たち (4/4) ~ 従来のテストを補うファジング ~ 製品出荷前にできるだけ不具合を取除きたい品質の向上修正コストの削減バグや脆弱性を調査するテストとしてオススメするのがファジング.. など 6

ファジングとは (1/3) ~ どのようなテストか ~ 一般の使用では考えられない問題が起きそうな細工をしたデータを検査対象に送る AAAAAAAAAAAAAAAAAAAAAAAAAA %s%s%s%s%s%s%s%s%s%s%s%s% ファズ (Fuzz).. など細工したデータを送り製品の応答や動作を監視して製品に問題が発生しないかを検査する 7

ファジングとは (2/3) ~ 別のものに置き換えてみると ~ 自動販売機お金を入れたら飲み物が出る飴玉をいれたらどうなるか正常な動作を確認一般的な動作テスト ( 機能テストなど ) 異常な動作を確認ファジング 9 ファジングはブラックボックステストの一種 8

ファジングとは (3/3) ~ 多種多様なデータと製品 ~ 入力データ入力対象ファイルパケット通信文書音楽画像 etc TCP/IP UPnP 無線 etc ソフトウェア通信機器文書作成音楽再生画像表示 etc ルータテレビ Bluetooth etc 多種多様な入力データと多種多様な入力データを受付ける製品の増加実行オプション URL パラメータ etc C: test.exe hoge 実行コマンド Web サイト etc 9

ファジングによる効果 (1/8) ~ 未知のバグや脆弱性の発見 ~ 一般的な機能テストでは発見が難しいバグや未知の脆弱性などをファジングで検出できる一般的な機能テスト 1~3 では発見が難しいバグや未知の脆弱性が残るファジングを追加すると発見が難しいバグや未知の脆弱性が少なくなる 10

ファジングによる効果 (2/8) ~ 自動的なテスト ~ ツールによる自動的なテスト多種多様なデータの生成送信を自動で行う手動で同様のテストを実施する場合に比べ細工したデータの作成や送信等の工数を抑える 11

ファジングによる効果 (3/8) ~ 脆弱性検出に活用できている例 ~ Mozilla プロジェクト : ファジングによる脆弱性発見 12

ファジングによる効果 (4/8) ~ バグ出しに活用できている例 ~ Microsoft 社の事例ではファジングでバグを 1800 件検出 13

ファジングによる効果 (5/8) ~ ファジングの研究開発 ~ 富士通研究所富士通株式会社本研究を採用したファジングテストツールはすでに稼働しており富士通で開発中の複数の製品の脆弱性を検出し製品出荷前の対策を実現しました 14

ファジングによる効果 (6/8) ~ 学術機関による研究動向 ~ 次世代の通信プロトコル CAN FD に対するファジング技術 CAN-FD(CAN with Flexible Data rate) は現在 ( 車載機器に関して ) デファクトスタンダードとなっている CAN を拡張したプロトコル CAN-FD に関してファジングツール bestorm を拡張して CAN- FD に対応させる際の実装方法とその性能評価の報告を行っていた 15

1.1 ファジングの概要ファジングによる効果 (7/8) ~ メリット : 改修費用を抑える ~ 製品の品質を向上させ改修費用などを抑える費用概要 : ファジングを実施していないバグや脆弱性の改修費用など製品や企業規模によって異なるため製品開発企業ごとに違う極端な例では 120 億円掛かってしまった事例もあるファジングを実施しているファジング導入運用費用など一般的に商用製品では数百万から数千万円の導入費用その何割かの保守費用が掛かる安費用上図 : バグ脆弱性の改修費用下図 : ファジング導入運用に掛かる費用高詳細は製品の品質を確保するセキュリティテストに関するレポートを参照 : http://www.ipa.go.jp/files/000009390.pdf 16

1.1 ファジングの概要ファジングによる効果 (8/8) ~ デメリット : 改修費用を抑える ~ 初期費用運用費用がかかるファジングを実施する人材の確保育成ファジングツールの購入費用 ( フリーのツールも存在するため購入費用は抑えることが可能 ) 17

まとめ ~ ファジング活用のご提案 ~ ファジングを活用すると従来のテストから網羅性を高めて製品の品質確保に効果がある大手ソフトウェア企業を中心に活用実績もある IPA でも脆弱性検出に効果があることを実証済み安全な製品を提供していくためにファジングの導入をご検討ください 18

ファジング活用へご案内もっとファジングを知りたい方は IPA のファジング関連資料をご活用ください https://www.ipa.go.jp/security/vuln/fuzzing.html ファジング活用の手引きスマートテレビの脆弱性検出のレポートファジング実践資料 ( 実践編 UPnP 編テストデータ編 ) 製品の品質を確保するセキュリティテストに関するレポート組み込み製品の脆弱性対策映像コンテンツ https://www.ipa.go.jp/security/keihatsu/videos/index.html#eng 組込み製品の脆弱性が及ぼす影響 ~ 製品開発企業はどうすれば ~ 組込み製品の脆弱性対策に ~ 知ってみようファジング ~ JPEG テスト支援ツール ifuzzmaker https://www.ipa.go.jp/security/vuln/ifuzzmaker/ 19

IT パスポート公式キャラクター上峰亜衣 ( うえみねあい ) プロフィール : マンガ https://www3.jitec.ipa.go.jp/jitescbt/html/uemine/profile.html iパスは ITを利活用するすべての社会人学生が備えておくべき ITに関する基礎的な知識が証明できる国家試験です 20

IPA ファジング検索ご清聴ありがとうございましたお問い合わせ先 :vuln-inq@ipa.go.jp 21