Internet of “Insecure”
Things との戦いに備えて
2016年8月
株式会社富士通研究所
知識情報処理研究所 セキュリティ研究センター
森川 郁也
0Copyright 2016 FUJITSU LABORATORIES LTD

目次
1. Internet of Things (IoT) とセキュリティ
2. IoTセキュリティの各種ガイドライン
3. 考えられる対策
4. 我々の取り組み：GUTPとIDベース認証TLS

1

Copyright 2016 FUJITSU LABORATORIES LTD

1. IoTとセキュリティ

2

Copyright 2016 FUJITSU LABORATORIES LTD

Internet of Things
これまで
インターネット

実世界

人間が介在
IoT

実世界

インターネット

自動化・効率化3

Copyright 2016 FUJITSU LABORATORIES LTD

Internet of ****

https://blog.kaspersky.com/internet-of-crappy-things/7667/

https://www.usenix.org/conference/
hotdep14/workshopprogram/presentation/iot-panel

https://www.toptal.com/it/are-we-creatingan-insecure-internet-of-things

4

Copyright 2016 FUJITSU LABORATORIES LTD

Internet of “Insecure” Things
これまで
インターネット

実世界

人間が緩衝材
IoT

実世界

インターネット

攻撃も自動化・効率化
5

Copyright 2016 FUJITSU LABORATORIES LTD

IT普及期にはセキュリティ問題が多発する
PCの時代

インターネットの時代

Webの時代～1995年頃～2002年頃～2010年頃

スマートモバイルの時代

PC

Thingsの時代?

～2017年頃?

普及期

コモディティ化

PCウィルス

9.11

インター黎明期
ネット

Snowden

普及期

Morris Worm

コモディティ化

標的型メールNimda, CodeRedWeb

We are
here

黎明期

普及期

コモディティ化

SQLインジェクション等

スマートモバイル

黎明期

コモディティ化

普及期
Jailbreak等

スマートThings
6

黎明期

普及期

脆弱な機器？？？

Copyright 2016 FUJITSU LABORATORIES LTD

数多くの脆弱性報告、実際の被害も時期

種類

2010/07 攻撃分野

詳細制御システム

Stuxnet発見、制御システムの危険性が話題に

2010/08 脆弱性
2012/10 脆弱性

DEF CON 18で多数の家庭用ルータ脆弱性報告
医療2013/12 攻撃

ペースメーカーの脆弱性報告
組み込みLinuxを狙うワーム発見

2014/08 脆弱性

自動車

プリウスとEscapeのローカル脆弱性報告

2014/12 被害

制御システム

独鉄鋼工場、サイバー攻撃により設備に大被害

2015/02 脆弱性

洗車設備、監視カメラ、ウェアラブルの脆弱性

2015/03 脆弱性

多くのスマートホーム機器の脆弱性報告

2015/03 攻撃

制御システム日本でビル管理システムなどへの探索が増加

2015/07 脆弱性

自動車

Jeepのリモート脆弱性報告、140万台リコール

2015/09 脆弱性

多数の赤ちゃんモニターの脆弱性報告

2015/12 被害

制御システム

米ダムがハックされていたとの報告

2015/12 被害

制御システムウクライナ電力網へサイバー攻撃、大規模停電

2016/01 脆弱性

自動車

日産リーフのリモートアプリに脆弱性7

Copyright 2016 FUJITSU LABORATORIES LTD

セキュリティへの意識が低いケース
 デフォルトパスワードのままの機器
 認証していない（必要なのにも関わらず）
 日産リーフの NissanConnect EVアプリの脆弱性(2016/01～02)
http://www.troyhunt.com/2016/02/controlling-vehicle-features-of-nissan.html

他人の車両識別番号 (VIN) を指定するだけで、Web API経由でクルマの情報取得や制御が可能！

NissanConnect
サービス

Web API
NissanConnectシステム

https://.../...?VIN=XXXXXX...
携帯回線
VIN:12345
VIN:12345
参照系:
バッテリー、走行日時・距離等
制御系:
空調On/Off、温度調節等

Bさんのリーフ

AさんのリーフAさん
8

VIN:67890

専用アプリから接続

Bさん

VIN:67890

VINを指定攻撃者

Copyright 2016 FUJITSU LABORATORIES LTD

対策が難しいケース パッチがあてられない 半導体チップへの物理攻撃

エポキシ樹脂を硝酸で溶かして、EEPROMから読み出し
http://blog.ioactive.com/2007/11/safenetikey-1000-in-depth-look-inside.html（JNSAコンシューマ向けIoTセキュリティガイドを参考に構成）

アセトン・硝酸で溶融、フッ化水素エッチング、機械で研磨

光学・電子顕微鏡で解析し、複製
Silicon Chip, No More Secret (PacSec 2009)http://www.degate.org/Pacsec2009/9

Copyright 2016 FUJITSU LABORATORIES LTD

ネット接続機器検索エンジンの登場
 SHODAN と Censys
 パブリックIPv4アドレスにポートスキャンをかけ、結果を保持•ポート状態、バナー／ログインプロンプト、HTTPレスポンスなど

 インターネットで接続を待ち受けている機器を検索して探せる•Telnet/SSH/FTPの開いている機器、Webカメラ、リモートデスクトップ...

→ 攻撃者が攻撃対象を探せる→ 運用・管理者は不適切な接続機器を探せる
SHODAN https://www.shodan.io/

Censys https://www.censys.io/

10

Copyright 2016 FUJITSU LABORATORIES LTD

2. IoTセキュリティのガイドライン

11

Copyright 2016 FUJITSU LABORATORIES LTD

IoTセキュリティガイドラインの登場
発行元（海外）

タイトル

発行年月

OWASP

Top 10 IoT Vulnerabilities

2014/??

米FTC

Report on IoT Privacy and Security Risks

2015/01

CSA

Security Guidance for Early Adopters ...

2015/04

IIC

Industrial Internet Reference Architecture

2015/06

CSA

IAM for the Internet of Things

2015/09

OWASP

Principles for IoT Security

2015/11GSMA

IoT Security Guidelines

2 2016/02

OTA

IoT Trust Framework

2016/04

発行元（日本）

タイトル

発行年月

IPA

つながる世界の開発指針

2016/03

IPA

IoT開発におけるセキュリティ設計の手引き

2016/05

CCDS

製品分野別セキュリティガイドライン

2016/06

JNSA

コンシューマ向けIoTセキュリティガイド

IoT推進コンソーシアム
・総務省・経産省

IoTセキュリティガイドライン
123 2016/06
1 2016/07

Copyright 2016 FUJITSU LABORATORIES LTD

①日本版IoTセキュリティガイドライン
タイトル

IoTセキュリティガイドライン ver 1.0

発行元

IoT推進コンソーシアム・総務省・経産省

発行年月

2016/07

ページ数／言語60（4章構成）／日本語

抽象度高い

備考

5つの指針に分類された21の要点が主内容

13

Copyright 2016 FUJITSU LABORATORIES LTD

①日本版ガイドラインの構成
第1章 ガイドラインの背景

背景
目的
対象とするIoTのイメージ
対象読者
全体構成

IoT特有の性質

第2章 IoTセキュリティ対策の5つの指針

指針1：IoTの性質を考慮した基本方針を定める
指針2：IoTのリスクを認識する
指針3：守るべきものを守る設計を考える
指針4：ネットワーク上での対策を考える
指針5：安全安心な状態を維持し、情報発信・共有を行う

第3章 一般利用者のためのルー

ルール１）問合せ窓口やサポートのない機器やサービスの購入・利用を控える
ルール２）初期設定に気をつける
ルール３）使用しなくなった機器については電源を切る
ルール４）機器を手放す時はデータを消すル

第4章 今後の検討事項
付録

略語一覧
14

Copyright 2016 FUJITSU LABORATORIES LTD

①日本版ガイドライン対策指針
大項目

指針

方針

指針1
IoTの性質を考慮した基本方針を定める
指針2
IoTのリスクを認識する

分析

設計

構築・接続運用・保守

指針3
守るべきものを守る設計を考える

指針4
ネットワーク上での対策を考える
指針5
安全安心な状態を維持し、情報発信・共有を行う

要点

対象読者
経：経営者
機：機器メーカ
提：システム・サービス提供者／企業利用者

経機

提要点1. 経営者がIoTセキュリティにコミットする

○

○

○

要点2. 内部不正やミスに備える

○

○

○

要点3. 守るべきものを特定する○○

要点4. つながることによるリスクを想定する○○

要点5. つながりで波及するリスクを想定する○○

要点6. 物理的なリスクを認識する○○

要点7. 過去の事例に学ぶ○○

要点8. 個々でも全体でも守れる設計をする○○

要点9. つながる相手に迷惑をかけない設計をする○○

要点10. 安全安心を実現する設計の整合性をとる○○

要点11. 不特定の相手とつなげられても安全安心を確保できる設計をする○○

要点12. 安全安心を実現する設計の検証・評価を行う○○

要点13. 機器等がどのような状態かを把握し、記録する機能を設ける○○

要点14. 機能及び用途に応じて適切にネットワーク接続する○

要点15. 初期設定に留意する○

要点16. 認証機能を導入する○○

要点17. 出荷・リリース後も安全安心な状態を維持する○○

要点18. 出荷・リリース後もIoTリスクを把握し、関係者に守ってもらいたいことを伝える○○

要点19. つながることによるリスクを一般利用者に知ってもらう○○

要点20. IoTシステム・サービスにおける関係者の役割を認識する○○

要点21. 脆弱な機器を把握し、適切に注意喚起を行う
15○
Copyright 2016 FUJITSU LABORATORIES LTD

② GSMA IoT Security Guidelines
タイトル

GSMA IoT Security Guidelines

発行元

GSM Association

発行年月

2016/02

ページ数／言語200強（4部構成）／英語

抽象度

中程度（検討手順や技術手段に触れている）

備考

ややモバイルネットワーク寄りの部分もある

4部構成
IoTシステムのモデル例
IoT Service
Ecosystem

16

Network

EndpointEcosystem

Copyright 2016 FUJITSU LABORATORIES LTD

② GSMA IoT SG の「効果的な使い方」
1. 対象のIoTシステムをモデル化
2. FAQ を参照して、セキュリティ課題を同定
3. Recommendations を参照して、対策を検討
4. 実装、レビュー、運用……
FAQ

Recommendation

複製に対処するには?

組織的な信頼ルートを定義しよう

参照

17

Copyright 2016 FUJITSU LABORATORIES LTD

② GSMA IoT SG 両Ecosystem編の構成
Service Ecosystem 編

Endpoint Ecosystem 編

FAQs

13

FAQs

15

Recommendations

35

Recommendations

50

Critical

12

Critical20

High-Priority

14

High-Priority

11

Medium-Priority

5

Medium-Priority

11

Low-Priority

4

Low-Priority

8

Critical Recommendations
Implement a Service Trusted Computing Base
Define an Organizational Root of Trust
Define a Bootstrap Method
Define a Security Front-End for Public Systems
Define a Persistent Storage Model
Define an Administration Model
Define a Systems Logging and Monitoring Model
Define an Incident Response Model
Define a Recovery Model
Define a Sunsetting Model
Define a Set of Security Classifications
Define Classifications for Sets of Data Types

Critical Recommendations （一部）
Implement an Endpoint Trusted Computing Base
Utilize a Trust Anchor
Use a Tamper Resistant Trust Anchor
Define an API for Using the TCB
Defining an Organizational Root of Trust
Personalize Each Endpoint Device Prior to Fulfilment
Minimum Viable execution Platform (Application Roll-Back)
Uniquely Provision Each Endpoint
Endpoint Password Management
Use a Proven Random Number GeneratorCryptographically Sign Application Images
Remote Endpoint Administration
Logging and Diagnostics
Enforce Memory Protection...
18

Copyright 2016 FUJITSU LABORATORIES LTD

③ JNSA コンシューマ向けガイド
タイトル

コンシューマ向けIoTセキュリティガイド (1.0版)

発行元

NPO 日本ネットワークセキュリティ協会 (JNSA)

発行年月

2016/06

ページ数／言語130（スライド形式）／日本語

抽象度やや低め（事例・分類などが豊富）

備考

スライドなので図が多く、話題・具体例が豊富

19

Copyright 2016 FUJITSU LABORATORIES LTD

3. 考えられる対策

20

Copyright 2016 FUJITSU LABORATORIES LTD

IoTセキュリティの考え方
 攻撃者がデバイスに接触しやすい デバイスやネットワークの性能・機能が乏しい
 脆弱性対策が難しい（開発文化が未熟、数が多い、UI貧弱）
 プライバシーに注意（容易に個人・生活と結びつくため）

 設計・開発時から計画的にセキュア化・プライバシー保護 デバイスに適切な保護を導入
 機器認証やアップデートで攻撃やその影響を抑え込む

21

Copyright 2016 FUJITSU LABORATORIES LTD

設計・開発時から計画的に対処
セキュア開発プロセス

100%完全なセキュリティは達成できない（技術的・社会的・経済的に）優先度をつけて効率良く対策すべき

企画・経営層からセキュリティ考慮
システムモデル化と脅威分析
守るべきものを最小限に何を守るべきか／どんな脅威があるか？

多層防御
セキュアコーディングと脆弱性検査

どうやって対策するか？

個別の対策技術
システムごとに異なる
22

Copyright 2016 FUJITSU LABORATORIES LTD

脅威の優先度付け

インターネット

どこからでも誰でも攻撃できる脅威（インターネット、公共無線LANなど）>

しばしば攻撃機会がある脅威（LAN、ネットサービス）>

攻撃機会が限られる脅威（要物理的接触など）>

機会・技術的に難しい攻撃（高度な解析などが必要など）

×
守りたいものは何か、どれだけの価値・想定被害があるか
23

Copyright 2016 FUJITSU LABORATORIES LTD富士通のセキュア開発プロセス

富士通グループ 情報セキュリティ報告書

IT分野で培ったセキュア開発の技術・ノウハウ・制度をIoT向けに活用・展開

24

Copyright 2016 FUJITSU LABORATORIES LTD

機器認証で攻撃を抑止
誰とでも何とでもつながる世界は攻撃しやすい

インターネット

決められた相手としかつながらない世界は攻撃しにくい

インターネット

機器認証とアクセス制御で実現⇒ 軽量な暗号、認証方式、鍵とアクセス権の運用管理が必須
25

Copyright 2016 FUJITSU LABORATORIES LTD

4. 我々の取り組み
 東大グリーンICTプロジェクト（東大）との共同研究とIDベース認証TLS技術

26

Copyright 2016 FUJITSU LABORATORIES LTD

東大グリーンICTプロジェクト (GUTP) 東大の5キャンパスの電力消費を可視化し管理

東大・落合先生の資料に基づき構成

Archive and Share

Visualization Service Provider

IEEE1888 Storage
Esaki LabIEEE1888 App
CIMX

IEEE1888

IEEE1888

The InternetIEEE1888

IEEE1888

IEEE1888 GW

IEEE1888

IEEE1888 GW

IEEE1888 GW

IEEE1888

IEEE1888

IEEE1888 GW

IEEE1888 GW

TOSHIBAMEIDENSHA

Substation

Substation

ALTER
BUILDINGHITACH

MITSUBISHIKINKEIPANASONICTAKAOKA
Substation

Metering Infrastructure

Metering Infrastructure

Substation

本郷キャンパス

駒場 Iキャンパス

駒場 Ⅱ
キャンパス

柏キャンパス

白金キャンパス

350 points

203 points

32 points

48 points

22 points

5万kW以上の電力を IEEE 1888 プロトコルで管理
http://ep-monitor.adm.u-tokyo.ac.jp/campus/denryoku
27

Copyright 2016 FUJITSU LABORATORIES LTD

IEEE 1888: UGCCNet

東大・落合先生の資料に基づき構成

ユーザインタフェース
リポーティング
データ解析
命令指示

GW, Storage, APP Binding(管理プレーン)

データ蓄積
GWとAPPの仲介

TCP/IP Network

HTTP and XML
様々なデバイスの入出力の抽象化

Proprietary Circuits
CSV Files, …
28

Copyright 2016 FUJITSU LABORATORIES LTD

IEEE 1888 とセキュリティ
 IoTデバイス一般のサイバーセキュリティが必要

東大・落合先生の資料に基づき構成

 IEEE 1888.3: Standard for UGCCNet Security 認証と通信路の保護に X.509 証明書による TLS 相互認証を利用
 IEEE 1888 と TLS（証明書内容や登場人物など）の対応を定義
TCM

AM

Verify TLS

Verify Cert, ID

Initiator
UGCCNetComponent(Client)

TCM
Verify TLS

TLS Handshake
UGCCNet Message Exchange

AM

ACM

Verify Cert

Permission Check

Responder
UGCCNetComponent / Registry(Server)

TLS Session

小型機器では暗号処理の負担が大きい、証明書の管理が煩雑、といった声があり、東大と富士通研究所でIDベース暗号応用の実験を開始
29

TCM: TLS Configuration Manager
AM: Authentication Manager
ACM: Access Control Manager

Copyright 2016 FUJITSU LABORATORIES LTD

IDベース認証TLS：方式
 IDベース暗号 シリアル番号など任意のIDを公開鍵として利用できる暗号方式
 公開鍵の正当性（IDとの対応）を保証する証明書が不要

 我々の開発した技術
 IDベース認証付き鍵交換をTLSに適用し、通信手順を最適化
 独自の高速化手法でセッション鍵生成の処理時間を32%削減
従来TLS (DHE-RSA)

提案方式 (MBAKE)
Request + ID

Request

証明書検証

秘密情報生成１

署名検証

署名処理

秘密情報生成2

証明書検証

署名処理

署名検証

秘密情報共有秘密情報共有部分鍵1生成部分鍵2生成
共有鍵生成

共有鍵生成

セッション鍵生成

暗号化通信

セッション鍵生成

暗号化通信

セッション鍵生成

ハンドシェークの通信量 1/6、処理時間 1/5

セッション鍵生成30

Copyright 2016 FUJITSU LABORATORIES LTD

IDベース認証TLS：実証実験と性能測定
 BEMS通信規格 IEEE 1888への適用可能性を実証
 運用中の環境で実験•実際の東大IEEE 1888環境に対応クライアントを設置•インターネットを介して東邦大に設置した対応サーバへ安全にデータ送信

 効果
 従来のTLSよりハンドシェークの通信量削減・処理性能向上に成功•比較対象は暗号強度を128ビットセキュリティにそろえた DHE-RSA-3072

削減効果

ハンドシェーク 1回あたり、128ビットセキュリティ相当

通信量

従来TLS
本技術

Raspberry Pi B+ (ARM 700 MHz) を使用

-84%

処理時間
6,160 Byte

従来TLS

985 Byte

本技術

865 ms-78%

188 ms

認証1回あたりの所要時間

認証1回あたりの通信データ量
31

Copyright 2016 FUJITSU LABORATORIES LTD

GUTP参加組織への無償提供
試行いただける方、一緒に実証してくれる方を募集中です 機能
 弊社のIDベース認証TLS方式を OpenSSL 上で実現
 Apache (mod_ssl)でも利用可能
 IEEE 1888ソフトウェアとの連携

 ライセンス（抜粋） 使用許諾の範囲 ：GUTP参加組織（子会社含む）
 改変の禁止：改変には事前許諾が必要
 再頒布の禁止：GUTP参加組織（子会社含む）間での再頒布可 公表時の言及義務 ：利用実績・成果等を公表するとき必ず言及すること

32

Copyright 2016 FUJITSU LABORATORIES LTD

まとめ
IoTセキュリティは喫緊の課題
さまざまなガイドラインが公表されている
考えられる対策
脅威の優先度付け、セキュア開発プロセス、機器認証など

我々の取り組みの紹介
東大グリーンICTプロジェクト (GUTP) とIDベース認証TLS

33

Copyright 2016 FUJITSU LABORATORIES LTD