IoTの情報セキュリティ
2016年5月13日（金）
独立行政法人
情報処理推進機構（IPA）
技術本部 セキュリティセンター
情報セキュリティ技術ラボラトリー
博士（工学）
辻 宏郷
https://www.ipa.go.jp/security/iot/iotguide.html
昨日（5月12日）、
「IoT開発におけるセキュリティ設計の手引き」を公開
～ ４分野のIoTの脅威分析と対策検討の実施例を図解 ～
2016年5月13日（金）
独立行政法人
情報処理推進機構（IPA）
技術本部 セキュリティセンター
Internet of Things
はじめに
IoTの現状と課題
家電、自動車、玩具、産業機器など多種多様な「モノ」がネット
ワークを介してつながるIoT（モノのインターネット）では、「つな
がること」で発生する脅威に対するセキュリティ対策の不十分
さや、責任分界の曖昧さなど、様々な課題がある
•
ネットにつながる脅威を意識していない、セキュリティ対策が
不十分な「モノ」の接続
•
コストの観点からセキュリティ対策が意図的に割愛される可能性
•
医療機器など、生命に関わる「モノ」の接続
•
ゲーム機や自動車など、「モノ」同士の無線等による自律的な接続
•
ネットを介して「モノ」から収集される情報の用途は「モノ」側では
制御が困難であり、システムやクラウドサービスなどバックエンド
側での管理が必要
•
つながる世界を広げていくためには、「モノ」同士の技術的（通信
プロトコル、暗号、認証等）、ビジネス的な約束事の確立が不可欠
IoTにおけるインシデント事例
朝日新聞社によりWebカメラ（2015年3月）やHEMS（同年5月）が設定不備等
により外部からアクセス可能な旨が指摘される。
•
店舗や住宅内に設置されたWebカメラの
映像・音声を第三者が
見聞き可能
。
•
スマートハウスが管理する情報を見られたり、
家庭内機器を
遠隔操作
される可能性。
2015年4月ホスピーラ社の薬剤ライブラリや輸液ポンプの設定等を管理する
サーバソフトの脆弱性が報告される。
•
脆弱性を利用することで、インターネット越しにサーバ上の
投与する薬や
投薬量を改ざん
する事が可能。
2015年8月DEF CONにおいて、サムソン電子社のスマート冷蔵庫に脆弱性
が発見される。
•
冷蔵庫の扉の液晶パネルに搭載されたGmail Calendarの通信時、
Googleサービスへのログイン情報が窃取
される可能性。
2015年8月Black Hat及びDEF CONにおいて、Jeep Cherokeeの
脆弱性を攻撃し、遠隔操作を成功させた事例が報告される。
•
ファームウェアを改竄した車に対して攻撃コードを送りこむ
手引きの内容
IoTの定義と全体像の整理
IoTのセキュリティ設計
•
脅威分析
•
対策の検討
•
脆弱性への対応
具体的な脅威分析・対策検討の実施例
•
デジタルテレビ
•
ヘルスケア機器とクラウドサービス
•
コネクテッドカー
•
スマートハウス
IoTセキュリティの根幹を支える暗号技術
「つながる世界の開発指針」との対応
IoTの定義と全体像
■
脅威を整理するために、IoTの全体像のモデルを作成
インターネット
クラウド
サービス提供サーバ
ファイアウォール ゲートウェイ 家庭用ルータ スマートフォン中継
機器
システム
・制御システム
・病院内医療ネットワーク
・スマートホーム 等
直接相互通信する
デバイス
・ゲーム機
・Car2X 等
デバイス
・情報家電
・自動車
・ヘルスケア機器 等
脅威分析（１）：
アプローチ
一般的なアプローチ
想定される脅威および脆弱性を洗い出し、攻撃され
る可能性、攻撃された場合の想定被害からリスクを
評価し、リスクの高い箇所にこれを抑止するための
対策を検討する。
攻撃シナリオベースのアプローチ
防止したい被害を列挙し、それらの被害を生じさせ
る攻撃シナリオを洗い出し、そのような攻撃を抑止
するための対策を検討する。
脅威分析（２）：
攻撃シナリオベースの実施例
防止したい被害
•
ネットワークカメラの画像を盗み見される
•
ネットワークカメラからの画像を改ざんされる
•
ネットワークカメラの画像を閲覧できなくなる
例：ネットワークカメラシステム
ホームルータ スマートフォン タブレット端末 ネットワーク カメラ ネットワークカメラ対応 クラウドサーバ インターネット モバイルＰＣ脅威分析（３）：
攻撃シナリオベースの実施例
攻撃シナリオ例： 【被害】ネットワークカメラの画像を盗み見される
１．ネットワークカメラの画像を盗み見される。 （１）正規のユーザに成りすましてカメラにアクセスして、画像を不正閲覧する。 （ａ）パスワードが設定されていないカメラの画像を不正閲覧する。 画像閲覧アプリ等を使用して、カメラにアクセスする。 （ｂ）パスワードがデフォルト値のままのカメラの画像を不正閲覧する。 画像閲覧アプリ等を使用して、デフォルト値のパスワードを入力し、カメラにアクセスする。 （ｃ）不正入手・判明したパスワードを利用して、カメラの画像を不正閲覧する。 画像閲覧アプリ等を使用して、パスワードリスト攻撃で不正ログインを試み、カメラにアクセスする。 画像閲覧アプリ等を使用して、パスワード辞書攻撃で不正ログインを試み、カメラにアクセスする。 （２）正規ユーザが閲覧中のカメラ画像データを、ネットワーク上で盗聴する。 ネットワーク上のパケットをキャプチャし、画像データ部分を抽出する。 （３）脆弱性を悪用してネットワークカメラ内部に侵入し、画像データを窃取する。 脆弱性を突いて、カメラ内部に不正アクセスする。 カメラ内部の画像データを抽出し、カメラの外へ持ち出す。対策の検討
脅威分析の結果に基づき、必要な対策を検討する。
•
対象機器のリソース（CPUの処理能力やメモリ容量等）、
コスト、インシデント発生時の影響度等を十分に考慮する
対策名 機能・目的 対応する脅威の例 脆弱性対策 開発段階での脆弱性混入を防止する。運用段階で検出された脆弱性を解消する。 ウイルス感染、不正アクセス … … … 通信路暗号化 データの通信路を暗号化し、通信路上のデータが漏えいしたとしても、無価値化する（攻撃 者にとって無意味なものとする）。また、通信路上でのデータの改ざんを検知する。 盗聴・改ざん データ暗号化 データ自体を暗号化し、仮に蓄積時または通信時のデータが漏えいしたとしても、無価値化 する（攻撃者にとって無意味なものとする）。 情報漏えい データ二次利用禁止 データの目的外利用を禁止し、二次利用先からの漏えいを防止する。 情報漏えい ホワイトリスト制御 予め許可したプログラム以外の動作を禁止し、ウイルス感染を防止する。 ウイルス感染 ソフトウェア署名 署名されたソフトウェアの動作のみ許可し、ウイルス感染したソフトウェアや不正改造された ソフトウェアの動作を防止する。 ウイルス感染、不正改造 出荷時状態リセット IoT機器を出荷時状態にリセットして、データや出荷後の設定を全て削除する。 情報漏えい セキュア消去 記録していた場所から復元不可能な様にした上で、データを消去する。 情報漏えい … … …脆弱性への対応
開発段階での対応
•
新たな脆弱性を作り込まない
•
既知の脆弱性を解消する
•
残留している脆弱性を検出・解消する
•
製品出荷後の新たな脆弱性の発見に備える
運用段階での対応
•
使用ソフトウェアの脆弱性情報を収集する
•
脆弱性対策情報を作成する
•
脆弱性対策情報をユーザに周知する
•
更新ソフトウェア（脆弱性修正版）を製品に適用する
具体的な
具体的な脅威分析・対策検討の実施例
各実施例における記載項目
•
対象分野の概要 ・・・ 当該分野の説明、背景
•
動向 ・・・ 脅威、インシデント事例
•
特徴 ・・・ IoT化によるセキュリティ上の影響
•
全体構成図（および解説）
•
当該分野のIoTの全体像
（どこに、どのような脅威が存在するかを整理）
•
セキュリティ対策上の留意事項
•
脅威と対策表
•
想定される脅威および考えられる対策の一覧表
（既存のIoTセキュリティガイドの要件との対応付き）
実施例１：
ヘルスケア機器とクラウドサービス（１）
全体構成図
NFC通信 Bluetooth通信 ネットワーク対応 血圧計 ネットワーク対応 体重体組成計 ネットワーク対応 歩数・活動量計 スマートフォン （iPhone） スマートフォン （Android） （Windows）PC ネットワーク対応 血圧計 有線通信 （LAN接続） USB接続 PC （Mac） ホームルータ Wi-Fi通信 Wi-Fi通信 携帯電話 基地局 NFC通信 クラウドサービス ヘルスケアデータ クラウドサービス ログイン情報 個人情報 インターネット 携帯電話通信事業者網 USB接続 クラウドサービス ログイン情報 クラウドサービス ログイン情報 クラウドサービスログイン情報 通信路暗号化 （OTA1,3, OWASP4,8） ユーザ認証 （OTA11,12,13,14） （OWASP2,8） 遠隔ロック ※１ データ暗号化（OTA2）（OWASP5,8） データ二次利用禁止（OTA25） 情報漏えい ウイルス感染 盗聴・改ざん 不正アクセス ＤｏＳ攻撃 不正利用 盗聴・改ざん 盗聴・改ざん 盗聴・改ざん 盗聴・改ざん 盗聴・改ざん 盗聴・改ざん 情報漏えい 情報漏えい 情報漏えい 情報漏えい 操作ミス ペアリング時の確認 （OTA21） 不正アクセス ＤｏＳ攻撃 盗聴・改ざん ＤｏＳ対策（OWASP3） ヘルスケアデータ ヘルスケアデータ ヘルスケアデータ ヘルスケアデータ ヘルスケアデータ ヘルスケアデータ ヘルスケアデータ 情報漏えい 情報漏えい 情報漏えい ヘルスケアデータ ログイン情報 情報漏えい モバイル通信 （LTE等） 通信路暗号化 （OTA1）（OWASP8） 通信路暗号化 （OTA1）（OWASP8） 通信路暗号化 （OTA1）（OWASP8） 通信路暗号化 （OTA1,3）（OWASP4,8） 通信路暗号化 （OTA1,3）（OWASP4,8） 通信路暗号化 （OTA1,3）（OWASP4,8） サーバセキュリティ（OTA4） 脆弱性対策（OTA5）（OWASP1,6） ユーザ認証（OTA11,12,13,14）（OWASP1,2,6,8） ＦＷ／ＩＤＳ／ＩＰＳ（OWASP3） ログ分析（OTA15） 脆弱性対策（OTA5） ユーザ認証（OTA11,12,13,14）（OWASP2,8） ＦＷ機能（OWASP3） ＤｏＳ対策（OWASP3） 通信路暗号化 （OTA1,3）（OWASP4,8） ユーザ認証 （OTA11,12,13,14）（OWASP2,7,8） データ暗号化（OTA2）（OWASP5,8） 耐タンパＳ／Ｗ（OTA7） 出荷時状態リセット（OTA24） セキュア消去（OTA29,30） 遠隔消去（OTA30） ユーザ認証 （OTA11,12,13,14）（OWASP2,8） データ暗号化（OTA2）（OWASP5,8） セキュア消去（OTA29,30）データ暗号化（OTA2）（OWASP5,8） 出荷時状態リセット（OTA24） セキュア消去（OTA29,30）
耐タンパＨ／Ｗ（OWASP10） 耐タンパＳ／Ｗ（OTA7） データ暗号化（OTA2）（OWASP5,8）耐タンパＨ／Ｗ（OWASP10）出荷時状態リセット耐タンパＳ／Ｗ（OTA24）（OTA7）セキュア消去（OTA29,30）
不正利用 脆弱性対策（OTA4,5） アンチウィルス ソフトウェア署名 （OTA6）（OWASP9） セキュア開発（OTA7） ※２ ※２と同じ ※１と同じ ウイルス感染 ウイルス 感染 ウイルス 感染 ※２と同じ ※２と同じ 機微情報 脅威 対策候補 （関連ガイドの対応要件番号） 凡例
実施例１：
ヘルスケア機器とクラウドサービス（２）
全体構成図（一部拡大）
実施例１：
ヘルスケア機器とクラウドサービス（３）
脅威と対策表（抜粋）
脅威 対策候補 発生箇所 脅威名 対策名 他のガイドとの関係 OTA OWASP ヘルスケア機器 ネットワーク対応 歩数・活動量計 操作ミス ペアリング時の確認 OTA21 情報漏えいデータ暗号化 OTA2 OWASP5, OWASP8 出荷時状態リセット OTA24 セキュア消去 OTA29, OTA30 耐タンパーH/W OWASP10 耐タンパーS/W OTA7 ネットワーク対応 体重体組成計 情報漏えい
データ暗号化 OTA2 OWASP5, OWASP8 出荷時状態リセット OTA24 セキュア消去 OTA29, OTA30 耐タンパーH/W OWASP10 耐タンパーS/W OTA7 ネットワーク対応 血圧計 情報漏えい
データ暗号化 OTA2 OWASP5, OWASP8 出荷時状態リセット OTA24
セキュア消去 OTA29, OTA30
耐タンパーH/W OWASP10 耐タンパーS/W OTA7
OTA IoT Trust Framework
•
IoTにおける「プライバシー」「セキュリティ」「持続可能性」の問題に対するベス
トプラクティスをまとめたフレームワークを開発
＜OTA IoT Trust Framework (抜粋)＞
【参考】OTA IoT Trust Framework
セキュリティ
1
セキュリティ転送プロトコルのサポート、個人情報の移動や保管の際のセキュリティ標準を用いた暗号化2
認証用資格情報（パスワード等）のソルトを用いた上でのハッシュ化／暗号化3
IoTをサポートするWebサイトにおけるユーザセッションの暗号化4
脆弱性の影響を低減するため、サイトセキュリティとサーバ設定の定期的モニタリングと継続的改善5
外部の第三者からの脆弱性報告の受信・追跡・応答体制の確立・維持、設計上の脆弱性・脅威の修復体制6
ソフトウェア／ファームウェアの更新に対する署名、インストールの際に設定変更する場合のユーザ通知7
標準化されたソフトウェア開発ライフサイクルプロセスへの準拠、コード耐性強化技術の利用8
エンドユーザ間通信における電子メール認証プロトコルの採用（スピアフィッシング、盗聴の防止）9
認証に失敗した（詐欺目的の）電子メールに対する拒否方針の履行 The OWASP Internet of Things Project
•
製造メーカー、開発者、ユーザのIoTセキュリティに関する理解向上を支援
•
IoT技術の構築・展開・評価に際して、ユーザのセキュリティに関する判断を支援
•
成果： Attack Surface Areas, Testing Guides, Top 10 IoT Vulnerabilities
＜Top 10 IoT Vulnerabilities (抜粋)＞
【参考】OWASP Internet of Things Project
脆弱性
脅威と なる人 攻撃手法 セキュリティ上の弱点 技術的 影響 ビジネス への影響 悪用 難易度 普及度 検出 難易度2014-I1: 安全でないWebインタフェース
アプリ依存 容易 中 容易 深刻 ビジネス依存アプリ／2014-I2: 不十分な認証／認可
アプリ依存 普通 中 容易 深刻 ビジネス依存アプリ／2014-I3: 安全でないネットワークサービス
アプリ依存 普通 低 普通 中程度 ビジネス依存アプリ／2014-I4: トランスポート暗号化の欠如
アプリ依存 普通 中 容易 深刻 ビジネス依存アプリ／2014-I5: プライバシーの懸念
アプリ依存 普通 中 容易 深刻 ビジネス依存アプリ／実施例２：スマートハウス（１）
全体構成図
ホームルータ クラウドサービス インターネット ＨＥＭＳ コントローラ 電動窓シャッター ＨＥＭＳ対応 エアコン ワイヤレス通信機 ＨＥＭＳ対応 スイッチ ＨＥＭＳ対応 ＨＥＭＳ対応 スマートメーター 照明器具 特定小電力無線 アダプタ 通信 アダプタ ＨＥＭＳ対応 温度・湿度センサー ホームモニター 携帯電話 基地局 携帯電話通信事業者網 スマートフォン モバイル通信 （LTE等） カメラ付ドアホン タブレット端末 （スマホ、ＰＣ） 計測データ 各種履歴データ 設定データ 情報漏えい データ暗号化（OTA2）（OWASP5,8） データ二次利用禁止（OTA25） 不正アクセス ＤｏＳ攻撃 ＤｏＳ対策（OWASP3） サーバセキュリティ（OTA4） 脆弱性対策（OTA5）（OWASP1,6） ユーザ認証（OTA11,12,13,14）（OWASP1,2,6,8） ＦＷ／ＩＤＳ／ＩＰＳ（OWASP3） ログ分析（OTA15） Wi-Fi通信 盗聴・改ざん 通信路暗号化 （OTA1,3）（OWASP4,8） 不正アクセス ＤｏＳ攻撃 脆弱性対策（OTA5） ユーザ認証（OTA11,12,13,14）（OWASP2,8） ＦＷ機能（OWASP3） ＤｏＳ対策（OWASP3） 有線通信 （LAN接続） 有線通信 （LAN接続） 有線通信 （LAN接続） 有線通信 （LAN接続） 無線通信 （特定小電力） 無線通信 （特定小電力） 有線通信 （LAN接続） 無線通信 （特定小電力） 無線通信 （ＷｉＳＵＮ） 盗聴・改ざん 計測データ 盗聴・改ざん 通信路暗号化 （OTA1）（OWASP8） ※１ ユーザ認証 （OTA11,12,13,14） （OWASP2,8） 遠隔ロック ウイルス感染 不正利用 脆弱性対策（OTA4,5） アンチウィルス ウイルス感染 ユーザ認証 （OTA11,12,13,14） （OWASP2,8） 遠隔ロック ウイルス感染 不正利用 脆弱性対策（OTA4,5） アンチウィルス ソフトウェア署名 （OTA6）（OWASP9） セキュア開発（OTA7） 盗聴・改ざん 盗聴・改ざん ※１と同じ ※１と同じ ※１と同じ 情報漏えい 不正アクセス データ暗号化（OTA2）（OWASP5,8） 出荷時状態リセット（OTA24） セキュア消去（OTA29,30） 耐タンパＨ／Ｗ（OWASP10） 耐タンパＳ／Ｗ（OTA7） 脆弱性対策（OTA5） ユーザ認証 （OTA11,12,13,14）（OWASP2,8） ＦＷ機能（OWASP3） ※２ 脆弱性対策（OTA4,5） アンチウィルス ソフトウェア署名 （OTA6）（OWASP9） セキュア開発（OTA7） ※２ 機微情報 脅威 対策候補 （関連ガイドの対応要件番号） 凡例実施例２：スマートハウス（２）
全体構成図（一部拡大）
実施例２：スマートハウス（３）
脅威と対策表（抜粋）
脅威 対策候補 発生箇所 脅威名 対策名 他のガイドとの関係 OTA OWASP スマートハウス （屋内） HEMS コントローラ ウイルス感染 脆弱性対策 OTA4, OTA5 アンチウイルス ソフトウェア署名 OTA6 OWASP9 セキュア開発 OTA7 ホームルータ 不正アクセス 脆弱性対策 OTA5ユーザ認証 OTA11, OTA12, OTA13, OTA14 OWASP2, OWASP8
FW機能 OWASP3
DoS攻撃 DoS対策 OWASP3
無線通信 （特定小電力、 WiSUN、Wi-Fi）
盗聴・改ざん 通信路暗号化 OTA1 OWASP8
タブレット端末
不正利用 ユーザ認証 OTA11, OTA12, OTA13, OTA14 OWASP2, OWASP8 遠隔ロック ウイルス感染 脆弱性対策 OTA4, OTA5 アンチウイルス ソフトウェア署名 OTA6 OWASP9 セキュア開発 OTA7 ユーザ （外出先） スマートフォン
不正利用 ユーザ認証 OTA11, OTA12, OTA13, OTA14 OWASP2, OWASP8 遠隔ロック
ウイルス感染
脆弱性対策 OTA4, OTA5 アンチウイルス
実施例３：コネクテッドカー（１）
全体構成図
ライト ECU ドア ECU ドア ECU レーダー カメラ ミラー ECU ドア ECU セントラル ゲートウェイ パワートレイン系 シャーシ系 安全系 車載情報系 エンジン ECU ブレーキ ECU エアバッグ ECU ステアリング トランスミッション制御 エアコン ライト ECU ミラー ECU ドア ECU インパネ テレビ カーナビ オーディオ ODB-II ポート ABS サスペンション 制御 キーレス エントリ 故障診断系 カメラ ITS車載器 レーダー スマートフォン ウイルス感染 盗聴・改ざん センサー センサー 不正改造 不正アクセス 不正コマンド ＤｏＳ攻撃 不正アクセス 情報漏えい センサー センサー センサー センサー 車載用通信モジュール 携帯電話基地局 インターネット サーバー 不正アクセス 情報漏えい ITS車載器 ITS路側器 位置情報 課金情報 センサー情報 認証情報 ウイルス感染 ウイルス感染 盗聴・改ざん 盗聴・改ざん センサー情報 センサー情報 盗聴・改ざん 通信路暗号化 （OTA1）（OWASP8） 通信路暗号化 （OTA1）（OWASP8） 通信路暗号化 （OTA1）（OWASP8） ボディ系 鍵情報 ＤｏＳ対策（OWASP3） 不正アクセス ＤｏＳ攻撃 情報漏えい データ暗号化（OTA2）（OWASP5,8） データ二次利用禁止（OTA25） ＤｏＳ対策（OWASP3） サーバセキュリティ（OTA4） 脆弱性対策（OTA5）（OWASP1） ユーザ認証（OTA11,12,13,14）（OWASP1,2,8） ＦＷ／ＩＤＳ／ＩＰＳ（OWASP3） ログ分析（OTA15） Bluetooth/Wi-Fi通信 USB接続 近距離無線通信 近距離無線通信 モバイル通信（3G / LTE） 脆弱性対策（OTA5） ユーザ認証（OTA11,12,13,14）（OWASP2,8） ＦＷ機能（OWASP3） 脆弱性対策（OTA5） ユーザ認証 （OTA11,12,13,14）（OWASP2,8） ＦＷ機能（OWASP3） データ暗号化（OTA2）（OWASP5,8） 出荷時状態リセット（OTA24） セキュア消去（OTA29,30） 耐タンパＨ／Ｗ（OWASP10） 耐タンパＳ／Ｗ（OTA7） データ暗号化（OTA2）（OWASP5,8） 出荷時状態リセット（OTA24） セキュア消去（OTA29,30） 耐タンパＨ／Ｗ（OWASP10） 耐タンパＳ／Ｗ（OTA7） 通信路暗号化 （OTA1,3）（OWASP4,8） 脆弱性対策（OTA4,5） ホワイトリスト制御 ソフトウェア署名（OTA6）（OWASP9） 耐タンパＨ／Ｗ（OWASP10） 耐タンパＳ／Ｗ（OTA7） ソフトウェア署名（OTA6）（OWASP9） 脆弱性対策（OTA5） ユーザ認証（OTA11,12,13,14）（OWASP2,8） ＦＷ機能（OWASP3） 脆弱性対策（OTA4,5） ホワイトリスト制御 ソフトウェア署名（OTA6）（OWASP9） 脆弱性対策（OTA4,5） ホワイトリスト制御 OTA6）（OWASP9） メッセージ認証 盗聴・改ざん 通信路暗号化 （OTA1）（OWASP8） 地図 データ アップ データ アプリ USB 接続 携帯電話 通信事業者網 盗聴・改ざん 通信路暗号化 （OTA1,3）（OWASP4,8） 機微情報 脅威 対策候補 （関連ガイドの対応要件番号） 凡例実施例３：コネクテッドカー（２）
全体構成図（一部拡大）
実施例３：コネクテッドカー（３）
脅威と対策表（抜粋）
脅威 対策候補 発生箇所 脅威名 対策名 他のガイドとの関係 OTA OWASP コネクテッドカー ECU ウイルス感染 脆弱性対策 OTA4, OTA5 ホワイトリスト制御 ソフトウェア署名 OTA6, OWASP9 不正改造 耐タンパーH/W OWASP10 耐タンパーS/W OTA7 ソフトウェア署名 OTA6 OWASP9 ECU・センサー 間通信 盗聴・改ざん 通信路暗号化 OTA1 OWASP8 車載ネットワーク内（ECU・ECU間等）通信 盗聴・改ざん 通信路暗号化 OTA1 OWASP8
ODB-IIポート
不正アクセス
脆弱性対策 OTA5
ユーザ認証 OTA11, OTA12, OTA13, OTA14 OWASP2, OWASP8
FW機能 OWASP3
不正コマンド メッセージ認証
