OSAKA NDS Embedded Linux Cross Forum#15

OSS管理の重要性とSBOM活用

2022/7/7

株式会社マクニカ
イノベーション戦略事業本部
高畑© Macnica, Inc.

紀之

OSAKA NDS Embedded Linux Cross Forum#15

アジェンダ⚫ 講演者について⚫ マクニカ概要⚫ SBOMについて⚫ SPDX解説© Macnica, Inc.

1

OSAKA NDS Embedded Linux Cross Forum#15

講演者について⚫ 10年ほど鉄道向けの組み込みソフトウェア開発に従事⚫ 2019年マクニカ入社。入社以降、自動運転向けプラットフォームや車載カメラ等のFAEとして活動。
⚫ 2021年よりBlackBerry社製品のFAEとして活動中。

© Macnica, Inc.

2

OSAKA NDS Embedded Linux Cross Forum#15© Macnica, Inc.

3

OSAKA NDS Embedded Linux Cross Forum#15“SBOM”(ソフトウェア部品表)を取り巻く環境© Macnica, Inc.

4OSAKA NDS Embedded Linux Cross Forum#15

BOM/SBOM⚫ BOM(Bill of Materials)⚫ SBOM(Software Bill of Materials)

製品を構成する部品表製品を構成するソフトウェアの部品表使用ライブラリ群

レンズ
イメージセンサー
画像処理プロセッサ

LIB
LIB
アプリ

メインプロセッサ
Appプロセッサ
メモリー
通信用部品
スクリーン
バッテリー
バッテリ管理
非接触充電

スピーカー
アンプ

アプリ

ミドルウェア

LIB
LIB
アプリ

ミドルウェア

OS
ドライバー

使用
コンポーネンツの部品表© Macnica, Inc.

ドライバー

使用
ソフトウェアの部品表

5

OSAKA NDS Embedded Linux Cross Forum#15

SBOMが期待される背景⚫ 自動車業界◦ 「ソフトウェアファースト」によるソフトウェアコード行数の増大- 約２億行に及ぶケースも(2020年)- ECU統合、仮想化技術などにより、ECUあたりのソフトウェア数が増大◦ コネクテッド機能によるアタックされる領域の拡大- トヨタ自動車では、サイバー攻撃の対策としてSBOMを活用
出展：日経XTECH「トヨタが推すサイバー対策の新常識「SBOM」、流出するリスクは？
https://xtech.nikkei.com/atcl/nxt/column/18/00001/06002/◦ WP29対応⚫ 医療機器分野◦ 国際医療機器規制当局フォーラム（IMDRF)が医療機器のサイバーセキュリティ対策に関するガイダンスを発行◦ 日本でも医療機器の規制に取り入れ、2023年をめどに本格運用の方針© Macnica, Inc.

6

OSAKA NDS Embedded Linux Cross Forum#15

システムベンダーの課題⚫ 複雑なサプライチェイン⚫ 提供元が異なる複数のソフトウェア⚫ ライセンス形態が異なるソフトウェアの混在

ソフトウェアのサプライチェイン

システム
ベンダー

⚫ 意図的・偶発的な脆弱性の内在■サプライチェインのリスク■ライセンスのコンプライアンス
コピーレフト、準コピーレフト、非コピーレフト、GPL、BSD など

ソフトウェア

ソフトウェア

サブシステムベンダー

サブシステムベンダー

ソフトウェア

ソフトウェア

ソフトウェア

モジュール
ベンダー

モジュール
ベンダー

モジュール
ベンダー

■セキュリティや品質のリスク
ソフトウェア脆弱性、配布プロセス© Macnica, Inc.

7

OSAKA NDS Embedded Linux Cross Forum#15

SBOMの動向 -経済産業省-⚫ 産業サイバーセキュリティ研究会:
ソフトウェア・システム開発ベンダが留意すべき事項として、「SBOMの提供」を挙げている⚫ サイバー・フィジカル・セキュリ
ティ確保に向けたソフトウェア管理手法等検討タスクフォース

出典：経済産業省「サイバー・フィジカル・セキュリティ確保に向けたソフトウェア管理手法等検討タスクフォースの検討の方向性」
https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_seido/wg_bunyaodan/software/pdf/006_03_00.pdf

出典：経済産業省「第６回産業サイバーセキュリティ研究会事務局説明資料」
https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_seido/wg_bunyaodan/software/
pdf/006_03_00.pdf© Macnica, Inc.

8

OSAKA NDS Embedded Linux Cross Forum#15SBOM活用の動向
2022
日本

2023

2024

SBOM活用モデル、取引モデル、自動化・共有化の検討

実証の実施や施策の実施

国外との制度調和

取り組み案の実施⚫ SBOM活用の必要性◦ ソフトウェアの構成比率が増加- ソフトウェア定義のプロダクト(SDV、SDN、SDx)◦ アジャイル開発での3rd Partyの活用◦ サイバーアタックの脅威の増大◦ ソフトウェアの様々なライセンス形態
品質の担保やリスクマネージメントのため、SBOMの重要性が向上© Macnica, Inc.

9

OSAKA NDS Embedded Linux Cross Forum#15

SBOM作成に掛かるコスト

出典：経済産業省「サイバー・フィジカル・セキュリティ確保に向けたソフトウェア管理手法等検討タスクフォースの検討の方向性」
https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_seido/wg_bunyaodan/software/pdf/006_03_00.pdf© Macnica, Inc.

10

OSAKA NDS Embedded Linux Cross Forum#15“BlackBerry Jarvis 2.0”の有用性© Macnica, Inc.

11

BlackBerry Jarvis 2.0 の特徴⚫ 政府系で採用されているセキュリティアルゴリズム⚫ 高速・高性能のスキャニングエンジン⚫ 直観的なユーザインターフェイス⚫ CVE更新等の通知機能と潜在的な脆弱性の検知⚫ 国際規格のSPDX、CycloneDXフォーマットの対応

ワンクリックで潜在的なセキュリティ問題を特定© Macnica, Inc.

OSAKA NDS Embedded Linux Cross Forum#15

OSAKA NDS Embedded Linux Cross Forum#15

組み込みシステムに最適なツール

様々なファイルフォーマットやアーキテクチャをサポート
アーカイブ形式
・各種圧縮形式
ZIP,GZIP,TAR,RAR,AR etc

・仮想マシンのバイナリ形式
VMDK,QCOW2,
DOSパーティションズ
・Linux/Unixパッケージファイル形式

ハードウェア

対応OS

対応言語

ARM

Linux : ELF ,SO

CIntel x86

Android : ELF , SO, APKC++Power 32 bit, VLEQNX 6/7 : ELF, SO

Java

ルネサス
V850,RH850 etc.

VxWorks 5/6

Assembly

Classic AutoSAR
・Androidパッケージファイル形式

インフィニオン TriCore
Dalvik : ART・各種ファイルシステムのアーカイブ

MIPS 32 bit
Oracle Java: Jar, ClassSparc 32 bit
Media : EXIF, geo tag etc
AVR 32© Macnica, Inc.

13

OSAKA NDS Embedded Linux Cross Forum#15

Jarvis 2.0 画面イメージ←CVE診断結果一覧

ライセンス一覧→© Macnica, Inc.

14

OSAKA NDS Embedded Linux Cross Forum#15

SPDXフォーマットについて⚫ Software Package Data Exchangeの略⚫ Linux foundationが仕様策定⚫ 2021年9月、ISO/IEC 5962:2021 として公開され、国際オープン標準として認められた⚫ ソフトウェアパッケージに関する情報(パッケージ名、ライセンス、バージョン等)を統一フォーマットで記載することで、組織間のやりとりをスムーズに行えるようにしたもの ⇒ SBOMのフォーマットとして使える！

© Macnica, Inc.

15

SBOMの要素とSPDXの対応

OSAKA NDS Embedded Linux Cross Forum#15⚫ 先行しているアメリカでは、SBOMに記載すべき最小要素について下表のように定義⚫ 業界によっては最小要素以外の項目(checksum field等)も必須とする動きがある⚫ SPDX 2.2ではこれらの要素をカバーできるようになっている
表 SBOM最小要素

カテゴリ

定義

Data Fields
データフィールド

必要な各コンポーネントに関するベースライン情報を文書化すること・サプライヤー名・コンポーネント名・コンポーネントバージョン
・その他のユニーク識別子
・依存関係
・SBOM作成者
・タイムスタンプ

Automation Support
自動化サポート

SBOMの自動生成や可読性などの自動化をサポートすること

Practices and Processes
運用方法

SBOMの要求、生成、利用に関する運用方法を 定義すること© Macnica, Inc.

16

OSAKA NDS Embedded Linux Cross Forum#15

SPDXファイル関連ツール⚫ SPDX.orgにてSPDX関連ツールが公開(https://spdx.dev/resources/tools/)⚫ Python版やJava版、JavaScript版等が用意されている⚫ Tag、RDF、XLSなど様々なファイルフォーマットに変換可能⚫ SPDXファイル同士の比較も行える© Macnica, Inc.

17

SPDXフォーマットの出力例(XLS形式に変換)© Macnica, Inc.

OSAKA NDS Embedded Linux Cross Forum#15

18

OSAKA NDS Embedded Linux Cross Forum#15

SPDXの具体例(1)Document Info
項目例

SPDXバージョン

SPDX-2.2

ドキュメント名Sample

SBOM作成者

Tool: BlackBerry Jarvis 0.1.930
Person: takahata

タイムスタンプ

2022/6/16 15:59:30

チェックサムMD5: b92ac62e1c062e0bc78418a28fda9d56
SHA1: c60b4ef3915ee413a42f133d08e5f3496b10390b
SHA256: a23654f3b077aa0cfdce702a08a5203a254bd9d8a9de6202f281b5f20b69ce26
SHA512:943978837952bd6bda79847723b375a1d7ef04df311dd5225a22f0ef2351e8c3b34575135d965663f77ae290f664
dc997e402ce6317a29031ac8ebaa1037d0e7© Macnica, Inc.

19

OSAKA NDS Embedded Linux Cross Forum#15

SPDXの具体例(2)Package Info
項目例

サプライヤー名

Organization: busybox

コンポーネント名

busyboxコンポーネントバージョン

1.28.4-2

識別子

SPDXRef-package-busybox-da2e2bd5-b745-4496-a24e-d433c0d77f3e

Per File Info
項目例

ファイル名

/Sample-x86.img.gz/image.raw/partition.2/bin/busybox

ファイルタイプ

BINARY

ライセンス情報

GPL-2.0-only

依存関係

CONTAINED_BY SPDXRef-package-busybox-da2e2bd5-b745-4496-a24e-d433c0d77f3e
DYNAMIC_LINK SPDXRef-file-libc.so-f98e2633-95e3-4b92-9bdb-68917bf4e22f
DYNAMIC_LINK SPDXRef-file-libgccs.so.1-597672c3-d27d-416b-9450-04aaf63dd6fb© Macnica, Inc.

20

OSAKA NDS Embedded Linux Cross Forum#15

サマリー⚫ 国内外でSBOMに関する検討が活発⚫ SBOM作成ツール(BlackBerry Jarvis 2.0)の紹介⚫ SPDXフォーマットで記載されたSBOMの内容について紹介

SBOMが求められる時代はすぐそこ！
ツールを有効活用し、クリエイティブ活動にフォーカス！
経済産業省
サイバー・フィジカル・セキュリティ確保に向けたソフトウェア管理手法等検討タスクフォースの検討の方向性
https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_seido/wg_bunyaodan/software/pdf/006_03_00.pdf
経済産業省
最近の産業サイバーセキュリティに関する動向について
https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_seido/wg_uchu_sangyo/pdf/003_03_00.pdf© Macnica, Inc.

21

BlackBerry Jarvis 2.0評価ライセンスOSAKA NDS Embedded Linux Cross Forum#15◦ 30日間の無償評価ライセンス発行可能です。
https://blackberry.qnx.com/en/products/security/blackberry-jarvis

デモブースにて、Jarvis 2.0 のデモを実施しています。
ぜひお立ち寄りください。
© Macnica, Inc.

22

OSAKA NDS Embedded Linux Cross Forum#15• 本資料に記載されている会社名、商品またはサービス名等は各社の商標または登録商標です。なお、本資料中では、「™」、「®」は明記しておりません。
• 本資料のすべての著作権は、第三者または株式会社マクニカに属しており、（著作権法で許諾される範囲を超えて）無断で本資料の全部または一部を複製・転用等することを禁じます。
• 本資料は作成日現在における情報を元に作成されておりますが、その正確性、完全性を保証するものではありません。

© Macnica, Inc.

23