第六回
水道分野におけるスマ トメ タ に関する勉強会
スマートメーターに関する勉強会『スマ トな社会』におけるセキ リティ『スマートな社会』におけるセキュリティ

2015年3月18日（水）独立行政法人情報処理推進機構（IPA）
セキュリティセンター
情報 キ リティ技術ラボラトリ
情報セキュリティ技術ラボラトリー
中野 学（博士（情報学））
1
Copyright © 2015 独立行政法人情報処理推進機構

IPAとは（Information
Information--technology Promotion Agency
Agency,, Japan)
Japan)

IT社会の安全・安⼼を創る

ソフトウェアの⾼信頼化を築く

未来を拓くIT⼈材を育てる◇経済産業省所管の独立行政法人◇IT産業の健全な発展を推進し、国民すべてに“頼れるIT社会”の実現を目指す
Copyright © 2015 独立行政法人情報処理推進機構

IPA/ISEC(セキュリティセンター)の使命と事業の柱【使命】
経済活動、国民生活を支える情報システムの安全性を確保すること企画¾ セキュリティセンター業務の企画・調整¾ 他事業部門、バックオフィスとの連携、調整¾ 行政機関、関係機関等との連携、調整

暗号技術¾ 暗号アルゴリズムの安全性監視活動¾ 暗号世代交代の普及促進

調査・分析¾ 情報セキュリティ関連の社会経済的分析¾ 情報セキュリティ白書¾ 意識調査、被害実態調査

ウイルス・不正アクセス及び脆弱性対策¾ ウイルス・不正アクセスの届出・相談受付¾ 脆弱性関連情報の届出受付・分析、提供¾ 組込み機器（制御システム）等のセキュアな利用に向けた取組み

セキュリティの第三者認証¾ ＩＴセキュリティ評価・認証制度（コモンクライテリア）¾ 暗号モジュール試験認証制度（ＪＣＭＶＰ）
国際展開

普及啓発・国際連携¾ 世界の情報セキュリティ機関との連携¾ 情報セキュリティの普及、啓発
情報セキュリティの普及 啓発¾ 中小企業のセキュリティ対策向上¾ 情報セキュリティ対策ベンチマーク

3

なぜIPAが組込みシステムセキュリティを？
•セキュリティセンター（とりわけ技術ラボ）のミッション
キ リティ ンタ （とりわけ技術ラボ）のミッション– 脆弱性関連情報受付機関として– 近い将来脅威が発生しそうな社会の先行調査及び脅威分析– 組込み機器開発者とセキュリティ専門家の橋渡し•具体的な取組み– 組込みシステムや制御システム全般のセキュリティ調査• 2006年から開始、毎年報告書を作成・Web公開
年
開始、毎年報告書を作成
開• 調査を行う際には有識者による委員会を併催• 自動車に限らず、情報家電や携帯電話等のセキュリティ調査も– 組込み機器のセキュリティガイドの作成– 組込みセキュリティに関する講演を主とした普及啓発

スマートメーター単体は組込みシステム
スマ
トメ タ 単体は組込みシステム
スマートメーターを利用した社会システムは大きな制御システム
4

情報セキ リティの現状
情報セキュリティの現状

5
Copyright © 2015 独立行政法人情報処理推進機構

脅威の現状インタ ネットの環境は大きく変化している
インターネットの環境は大きく変化している
攻撃(悪意)の動機も変化している＜初めの頃は＞＜現在、これから？＞

あなたのパソコンは４分に１回
不正な アクセ不正な？アクセスいたずら

金銭・犯罪・テロ・情報戦
6

Copyright © 2015 独立行政法人情報処理推進機構

多様化する脅威
社会政治的災害
社会的犯罪の増加
不法侵入、詐欺、迷惑通信、不法侵入
詐欺 迷惑通信
有害・違法コンテンツ

９．１１テロ、７．７テロ
自爆テロ、大量破壊兵器

コミュニティ
（社会）

内部不正

ビジネス

機密情報の持ち出し
不正アクセス、不正操作

（企業）

ネット犯罪

ライフ

スキミング、フィッシング
不正アクセス、Web改竄
ＤoＳ攻撃、ウイルス（家庭・個人）

自然災害・障害
地震、津波、火災、水害、地震
津波 火災 水害
停電、大型ハリケーン

人為的災害
オペレーションミス
従業員モラル、不法投棄

プライバシー問題
個人情報保護法（05/4施行）（金融・医療データ等）、
盗聴、盗撮「不安解消」、「安心・安全の確保」に対する社会的ニーズ増大
Copyright © 2015 独立行政法人情報処理推進機構

7

昔と今のサイバー攻撃の絵姿変化...

サイバー攻撃の変容
２０００
不正侵入・改竄

２００４～
体系化（Botnet)

２００６～

２００９～

多段化
（Botnet技術基盤利用）

正規サービスの攻撃基盤利用
正規サイト・サービス利用

ウイルス亜種の大量出現
シーケンシャルマルウエア（多段型攻撃）（多段 攻撃）0-Day脆弱性利用
toolによるウイルス生産
情報システムがターゲット

１脆弱性＝１攻撃の時代
１脆弱性
１攻撃の時代PCとホームページ改竄がターゲット

攻撃組織間連携
攻撃者ひとりPCの破壊・HP改竄

攻撃組織基盤化

戦術的攻撃

多様な意図性（情報搾取攻撃）
多様意図性（情報搾取攻撃）

影響（業務インパクト）の変化

情報搾取等
e-マーケットビジネス、決済等への影響
決済関連情報搾取等、サプライチェーン
危機管理

対象：PC、サーバ
対象：情報システム（組織・ビジネス）

セキュリティ製品でカバー（製品の出現）
セキ
リテ 製品でカバ （製品の出現）
製品を置く設計思想

出展：亀山社中

Copyright © 2015 独立行政法人情報処理推進機構？
設計思想を変化させないと...

脅威全貌とポイントが見えにくい時代
一定の情報運用で守る時代（情報連携）
皮を切られても肉まで切られない発想設計
88
システム・ネットワークトポロジ設計で防御

スマ トシティセキ リティ
スマートシティセキュリティ

9
Copyright © 2015 独立行政法人情報処理推進機構

スマ トシティ
スマートシティ
IPAの検討範囲
地域の連携（スマートコミュニティ）域 連携（ティ）スマートハウスウ

太陽光発電

情報やエネルギー等の交換・サービス共有蓄電池

ゲートウェイ

情報家電

白物家電
スマート家電ゲーム機

水道・サービス会社との連携
サービス系
水道利用管理サービス等
水道制御系

水道関連情報系
料金等基本
デ タベ
データベース

Copyright © 2015 独立行政法人情報処理推進機構

ルータ等

スマートメータ

双方向の情報の流れ

家庭用PC

電気自動車

電話・スマートフォン

家庭における管理システム 家庭エネルギー

管理システム（HEMS）
10スマ トシティが目指すもの
スマートシティが目指すもの「繋がる」事でスマートシティが目指す世界「繋がる」事でスマトシティが目指す世界
・水道利用の見える化
・水道管理サービスによる、エコ化
・情報サービスとの連携、外部からの制御 ・料金徴収コスト等の削減

この実現にはIT技術やネットワークの利用が必須
スマートハウスにおけるセキュリティの課題
・多種多様なサービスや機器との連携により、制御や情報保護が複雑に・これまでのPCセキュリティ以上に、可用性を重視したセキュリティ設計が必要
性
視が・サイバー攻撃によって資産だけでは無く、人体への被害の可能性もある
スマートハウスを構成する機器やシステムでは、稼働条件や取り扱う情報を明確にした上で、設計・開発段階から適切なセキュリティ対策を選択する事必要 なる。
が必要となる。
11
Copyright © 2015 独立行政法人情報処理推進機構

三つの進化と、それに伴うセキュリティ新しいサービスの発達

ネットワークへの接続

新しい技術や機器の発展に伴って，様々な新しいサービスが創出される。
これにより，組込み業界に様々なプレイヤーが係わり様々なプレイヤーが係わり，多様な情報が扱われるようになる。

通信機能の搭載が容易・必須になりインターネットを含めた公共回線の利用が当然となる れによ て様々ななる。これによって様々なモノが繋がる世界になる。

情報の価値や重要度に応じたセキュリティや情報の取扱いを利用者が理解・選択出来るような仕組みが必要となる。
う要
また，新しいサービスの出現伴って，それに適したセキュリティを検討する必要がある必要がある。

これまでネットワーク経由のこれまでネットワク経由の攻撃が考慮されてこなかった製品群が，今後は攻撃の対象となるため，製品の象，製セキュリティはもちろん，利用者の教育についても検討する必要がある。

汎用プロトコル等の利用多種多様な機器を接続するためや接続するためや，機器のコスト競争等から，例えばTCP/IPなどの汎用プロトコルが汎用プ
ト ルが利用されるようになる。

これまで利用されてきた独自プロトコルが標準化され，一般的なPCでも利用される汎用プロトコル等が利用されることで，PCと同様の脅威が発生する可能性がある。

12
Copyright © 2015 独立行政法人情報処理推進機構

スマ トシティの未来
スマートシティの未来• 新しいサービスの発達– より「便利」な社会インフラ確立に向けたサービスの充実– 「エコ」なビジネスモデルの確立「エ なビジネスモデルの確立• ネットワークへの接続
続– 遠隔地・僻地等のインフラ管理– エネルギー・資源管理会社と各家庭・都市の連携• 汎用プロトコル等の利用– コストダウンのための汎用OSの利用– 機器連携やネットワーク利用に向けた汎用プロトコルの利用
Copyright © 2015 独立行政法人情報処理推進機構

13

（スマートメーターに関連のありそうな）（スマトメ タ に関連のありそうな）
脅威の事例
スマートメーターを組込み機器と見立てたときの関連事例
トメ タ を組込み機器と見立 たとき 関連事例

14Copyright © 2015 独立行政法人情報処理推進機構

スマートメーターへの攻撃可能性の報告→セキュリティ関係者もスマートメーターに興味を【スペインの電力会社で利用されているスマ トメ タへの攻撃】【スペインの電力会社で利用されているスマートメータへの攻撃】
・2014年10月、オランダで開催されたBlack Hat Europe 2014において、スペインの電力会社で利用されているスマートメーターの入手・分解・解析を行うことで、スマートメータの持つ暗号鍵の解析に成功。欧州で利用されている特定のベンダ（非持 暗 鍵 解析に成功 欧州 利
特定ダ（非公表）の製品は、スマートメータの暗号鍵が同じに設定されているため、それを利用して他のスマートメータを攻撃することが可能。
考えられる脅威
・電力の遮断電力 遮断・メーターの改ざん（料金徴収への不正行為）
・社会インフラに対する攻撃

15
Copyright © 2015 独立行政法人情報処理推進機構

無線利用時の設計に関連する事例→セキュリティ仕様を検討することの重要性【TPMS(Tire Pressure Monitoring System)：タイヤの空気圧を常時監視するシステム】
・TPMSの脆弱性を指摘する論文（2010年8月コンピュータソフトウェア関連学会USENIX）にて
TPMSが使用する二つの無線周波数について、ソフトウェアで無線周波数をデジタル処理するソ トウ アラジオの手法を使 、するソフトウェアラジオの手法を使い、TPMSの無線通信方式そのものを解析。
Sの無線通信方式そのものを解析。
(1)TPMSでは通信メッセージは暗号化されていない(2)タイヤのバルブに装着した空気圧測定装置は32bitの固有のIDを持つとともに、自動車本体から40m離れても無線通信が可能であった。このことから路肩や高架橋などで測定すれば、特定の自動車がいつ通過したかを記録することができる。
(3)TPMSの空気圧報告メッセージになりすますことができ、いつでも警告灯を点灯させることができた
センサ

受信機

アンテナ

RFケーブル

表示機
センサ

!

センサ

ECU
Copyright © 2015 独立行政法人情報処理推進機構

センサ(電池内蔵)

Wireless 遠隔からの攻撃
16

物理システムがIT化されることによる事例→「ツール利用」による攻撃難易度低下【整備ツール：自動車整備用に製造された市販されていないツール】【整備ツル：自動車整備用に製造された市販されていないツ ル】• イモビライザーの鍵を消去できる部品の流通– 2010年11月、自動車の盗難防止装置であるイモビライザーを解除
2010年11月 自動車の盗難防止装置であるイモビライザ を解除する器具「イモビカッター」を悪用し、特定車種の窃盗を繰り返した容疑者グループが逮捕された。
– ディーラ整備工場には、自動車の電子キーを消去または上書きして新しい電子キーを再登録できる整備ツールが配備。
– 本ツールから電子キーを再登録する機能を抜き出し、OBD本ツールから電子キーを再登録する機能を抜き出し OBD-IIに装着
IIに装着するだけで動作する部品を海外で製造

17
Copyright © 2015 独立行政法人情報処理推進機構

ITやネットワークを活用したサービスにおける事例→サービス運用を行う上での内部不正等への対処【遠隔イモビライザ イモビライザ （電子キ を利用した自動車盗難防【遠隔イモビライザー：イモビライザー（電子キーを利用した自動車盗難防止機能）を遠隔から操作できるシステム】• 2010年3月、米国テキサス州オースチンで、突然100台以上の自動車のエンジンがかからなくなったり、警告ホーンが鳴り続け止められなくなる事件が発生。
• ある自動車販売店がローンで販売した自動車には、返済が滞った場合に停止させるための遠隔イモビライザーが装着されていたが、解雇された従業員が不正操作。
が不正操作• 自動車のキーを持っていても警告ホーンの鳴動を止められず、エンジンをスタートできないため整備工場にも持ち込めず。
タートできないため整備工場にも持ち込めず

18
Copyright © 2015 独立行政法人情報処理推進機構

（スマートメーターと繋がる管理設備等に（スマトメ タ と繋がる管理設備等に関連のありそうな）

脅威の事例
工場等の制御システム側の関連事例

19
Copyright © 2015 独立行政法人情報処理推進機構

実在する制御システムの被害事例 (1/3)• 実際に制御システムでウイルス感染や不正アクセス等のサイバー攻撃により多くの被害が発生しています。
事例1 自動車工場
被害：

自動車生産50 分間停止等、約1,400万ドル（約17億円）の損害

被害企業 ダイムラ クライスラ （現ダイムラ ）被害企業：ダイムラー・クライスラー（現ダイムラー）
原因：

ウイルス感染。外部から持ち込まれて接続されたされたノートＰＣの可能性が指摘されている
ト の可能性が指摘されている

概要： 2005年8月18日、13の自動車工場がウイルス感染により操業停止となった。ウイルス感染により、各工場のシステムはオフライン
な た ウ
感染
各 場になり、組み立てラインで働く50,000 人の労働者は作業を中断し、生産が50 分間停止した。部品サプライヤへの感染も疑われ部品供給の懸念も生じ およそ1 400 万ドルの損害をもたらした。
供給の懸念も生じ、およそ1,400万ドルの損害をもたらした
出所： 情報処理推進機構「重要インフラの制御システムセキュリティとIT サービス継続に関する調査」, 2009.3, pp.23-24
http://www.ipa.go.jp/files/000013981.pdf
20

Copyright © 2015 独立行政法人情報処理推進機構

実在する制御システムの被害事例 (2/3)
事例2 石油パイプライン
被害：

トルコの石油パイプラインの爆発

被害企業：BP（British Petroleum、運営主体）
原因： パイプラインに設置されている監視カメラの通信ソフトの脆弱性を利用して内部ネットワークに侵入。不正に動作制御系にアクセスし、管内の圧力を異常に高めて爆発を引き起こした。
を 常 高
爆 を き起た
その際、攻撃者は警報装置の動作を止め、通信を遮断するなどの操作も実施。
出所：Bloomberg, “Mysterious ’08 Turkey Pipeline Blast Opened New Cyberwar Era,” 2014.12.10
http://www.bloomberg.com/news/2014-12-10/mysterious-08-turkey-pipeline-blast-opened-new-cyberwar.html

事例3 製鉄所
被害：

ドイツの製鉄所の操業停止

被害企業：ドイツの製鉄所
原因：

電子メールに添付したマルウェアを使って、ネットワークにアクセスするためのユーザーIDとパスワードを入手し、内部システムに不正アクセス。
溶鉱炉を正常に停止できず、生産設備が損傷する大きな被害を受けた。
出所：BSI （ドイツ連邦情報セキュリティ庁）, “Die Lage der IT-Sicherheit in Deutschland 2014 （2014年版サイバー犯罪白書） ”
21
https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Lageberichte/Lagebericht2014.pdf? blob=publicationFileCopyright © 2015 独立行政法人情報処理推進機構

実在する制御システムの被害事例 (3/3)
事例4 国内 自動車工場
被害：

自動車の生産ラインの処理能力低下

被害企業：国内自動車メーカー
原因：

業者による端末入れ替え時にウイルスが混入し、システム内のパソコン約50台がウイルス感染し 処理能力が低下
約50台がウイルス感染し、処理能力が低下。

出所：毎日新聞「サイバー攻撃：車工場ウイルス感染 制御システム、処理能力低下－－０８年、西日本で」, 2011.11.27

事例5 国内 半導体工場
被害：生産ライン停止

被害企業：国内大手半導体メーカー
原因
原因：

品質検査を行う検査装置へのウイルス感染による生産ライン停止
品質検査を行う検査装置へのウイルス感染による生産ライン停止、USBメモリ経由での感染。

出所：MONOist「産業制御システムのセキュリティ（5）：事例から見る、製造現場でのセキュリティ導入のツボ」
http://monoist atmarkit co jp/mn/articles/1402/12/news082 html
http://monoist.atmarkit.co.jp/mn/articles/1402/12/news082.html

22
Copyright © 2015 独立行政法人情報処理推進機構

セキュリティの考え方の一例
IPAにおける自動車の脅威分析例～IPAにおける自動車の脅威分析例～

23
Copyright © 2015 独立行政法人情報処理推進機構

自動車キュリティ分析の流れ• IPAにおける自動車セキュリティ分析の大まかな流れ– ネットワークで繋がる自動車を含めた世界を整理– 自動車の機能の整理• IPAカーという考え方– サービス形態や、自動車の持つ情報等資産を整理
サ ビス形態や 自動車の持つ情報等資産を整理– 自動車における脅威を分析– 自動車に利用できると考えられるセキュリティ対策を検討
自動車に利用できると考えられるセキ リティ対策を検討– 自動車のライフサイクルにおいて考えられる「セキュリティへの取組み」を検討
同様の分析手法はこれまで「情報家電（主にデジタルテレビ）」においても実施成果有。
実施成果有
24Copyright © 2015 独立行政法人情報処理推進機構

自動車システムの整理

最初に自動車がどのようなものと繋がる可能性があるのか、整理する必要がある。
自動車が様々な機器やサービスに繋がると、それに従って色んな場所に攻撃者が現れる可能性がある。また、今後技術の発展によって、現時点では想定しえないものと繋がる可能性もある。 Copyright © 2015 独立行政法人情報処理推進機構
25

IPAによる自動車の脅威分析(1/3)
自動車の脅威を考える為に、自動車の機能を整理する必要がある。
しかし、自動車メーカや車種等によって、機能の整理手法は様々。
自動車
車種等に
機能 整 手法 様々→IPAでは自動車の機能を整理した「IPAカー」をモデルとし、脅威を分析した

1.基本制御機能

2.拡張機能3.一般的機能
I.持ち込みF. ITS

G.テレマ

H.インフォ

機能

ティクス

テイメント

機器

Bluetooth
無線LAN
USBポートSDスロットOBD-II

A.

駆動系

B.シャーシ系

Copyright © 2015 独立行政法人情報処理推進機構

C.

ボディ系

D.安全

E.診断・快適機能

保守*1

スマートフォン
PND
パソコン
タブレット
プレーヤ
メモリ/HDD
ハンズフリー
ハンズフリ
リモコン
診断機
エコメータ
カスタムメ タカスタムメータ*1 診断・保守: 診断・保守は個々のECUなどに搭載されている場合がある

26

IPAによる自動車の脅威分析(2/3)• 守るべき対象を明確にする
象– 「攻撃者から何を守りたいのか」を明確にすることがセキュリティの第一歩– 守りたい対象の価値がセキュリティ対策のコストに繋がる。
– サービスの拡大によって、保護対象は広がっていく。

• 情報システムと組込みシステムの違い– 情報の保護以上に、車両事故の回避が重要な場面も情報の保護以上に 車両事故の回避が重要な場面も– 機密性より可用性を重要視した作りになることも。
保護す き対象区分
保護すべき対象区分
説明
基本制御機能の動作 基本制御機能の一貫性と可用性、基本制御機能の実行環境や、動作のための通信
自動車固有情報自動車車体に固有の情報（車両ID・機器ID等）、走行・動作履歴等蓄積情報

自動車状態情報
ユーザ情報

自動車の状態を表すデータ、位置、車速、目的地等
自動車の状態を表すデタ 位置 車速 目的地等
運転者・搭乗者の個人情報、認証情報、課金情報、利用履歴・操作履歴等
ECU（Electronic Control Unit）のファームウェア等自動車の基本制御機能・拡張機能に関わるソフトウェア
ビデオ、音楽、地図等のアプリケーション用データ
ハードウェア・ソフトウェア等の動作設定データ

ソフトウェアコンテンツ
設定情報

Copyright © 2015 独立行政法人情報処理推進機構

27

IPAによる自動車の脅威分析(3/3)
外部から、情報の入出力が出来るポートを持つ機能についてはPCと同様の脅威がある。
一方で、制御系を外部から直接攻撃する手段に関しては、現状では見つからない。
方
制御系 外部
直接攻撃
手段に状(設定不良、蓄積情報漏え

不正利用、不正設定、盗聴 等

蓄積情報漏えい、不正設定、ウイルス感染、盗聴、不正アクセス等

F ITS
F.

G テレマ
G.

Hインフォ
H.

機能ティクス

テイメント

い、不正利用、不正設定、ウイルス感染、盗聴)

A.駆動系

B.シャーシ系

ウイルス感染、蓄積
情報漏えい、不正利
用
用、不正設定、盗聴、設定 盗聴
不正アクセス 等

設定不良、ユーザ情報漏
えい、盗聴、DoS攻撃

C.

ボディ系

不正利用

D.安全

E.診断・

快適機能

保守

設定不良、蓄積情報漏えい、
DoS攻撃 等

設定不良、情報漏えい、不正アクセス 等

ウイルス感染、設定不良、操作ミス、不正利用、不正設定、盗聴、不正アクセス等

Bluetooth
無線LAN
USBポートSDスロットOBD-II

不正利用、不正設定、盗聴 等

I. 持ち込み
機器

スマートフォン
パソコン
タブレット
プレーヤ
メモリ/HDD
エコメータ
カスタムメータ

海外の研究発表の事例にもあるように、自動車制御に直接攻撃を仕掛けるのではなく、脆弱なシステムを踏み台にして、自動車制御に影響を与える危険性がある
28
Copyright © 2015 独立行政法人情報処理推進機構

セキュリティ対策の考え方• どのようにセキュリティ対策を実装していくか？
– 序段としては、情報システムにおける一般的なセキュリティ技術を検討してはどうか• 情報システムセキュリティの知見を利用しないのは損。
• 技術は「必要性」が存在することで磨かれる。
技術は「必要性」が存在することで磨かれる• これまでに日の目を見なかった技術や研究が輝く・・・かも。
– システムに特化したセキュリティの検討も必要• システム独自のプロトコルに適したセキュリティ対策も→裏を返せば、スマ トメ タ だけが抱える脅威も？
→裏を返せば、スマートメーターだけが抱える脅威も？
• 情報システムのセキュリティ対策では対応しきれない部分も
29
Copyright © 2015 独立行政法人情報処理推進機構

「自動車のセキュリティへの取組みガイド」
もう一つのアプローチ：セキュリティを考慮すべき15項目
プ
マネジメント（セキュリティ関連商品でなくても、メーカとして常に行うべき事柄）•

セキュリティルールの策定、セキュリティ教育の実施、セキュリティ情報の収集と展開
策定
教育
施
情報集

企画（ライフサイクル全体の計画を行うフェーズ）•

セキュリティに配慮した要件定義の策定、セキュリティ関連予算の確保、開発外部委託におけるセキュリティへの配慮、新技術に関連する脅威への対応

開発（システムの開発を行うフェーズ）•

設計、実装時のセキュリティ対策、セキュリティ評価・デバッグ、設計
実装時のセキ リティ対策 セキ リティ評価 デバ グ
利用者等への情報提供用コンテンツ等の準備運用（組込みシステムがユーザの手に渡った後、製品として利用されるフェーズ）•

セキュリティ上の問題への対処、利用者や自動車関係者への情報提供、脆弱性関連情報の活用

廃棄（買い替え、故障などで組込みシステムが廃棄、リサイクルされるフェ ズ）
廃棄（買い替え、故障などで組込みシステムが廃棄、リサイクルされるフェーズ）•

廃棄方法の策定と周知

詳しくはIPAの公開している「自動車 情報 キ「自動車の情報セキュリティへの取組みガイド」で
取組 ガイドhttp://www.ipa.go.jp/security/index.html
Copyright © 2015 独立行政法人情報処理推進機構

30

具体的な情報セキュリティ対策
（参考例）

31
Copyright © 2015 独立行政法人情報処理推進機構

情報システムにおけるセキ リテ 対策の有効利用（1/4）
セキュリティ対策の有効利用（1/4）
 脆弱性情報デ
脆弱性情報データベース
タベ ス JVN iPedia
URL：http://jvndb.jvn.jp/
国内外の脆弱性対策情報を収集したディクショナリデータベース
z IPAが運営するサイトz 国内ベンダーと連携をし、脆弱性対策情報し、脆弱性対策情報を公開
z 海外の脆弱性DB（NVD）の情報を日本語翻訳して公開
z 約42,000件の脆弱性対策情報を登録

32
Copyright © 2015 独立行政法人情報処理推進機構

情報システムにおける
セキ リテ 対策の有効利用（2/4）
セキュリティ対策の有効利用（2/4）• セキュリティ上の弱点（脆弱性）を作りこまないための教育
セキ リテ 上の弱点（脆弱性）を作りこまないための教育– 学習によって脆弱性に対する理解を深める– サンプルアプリで実際に手を動かして脆弱性を知る– 「よくある脆弱性」に対するチェックを行う

学習の流れ
学習テーマ選択後の流れ
脆弱性原理解説

演習

影響解説

ウェブアプリの脆弱性体験学習ツール
ウ
ブアプリの脆弱性体験学習ツ ル
AppGoat

対策方法
解説

脆弱性
修正

解答・修正
例確認

Androidアプリの脆弱性体験学習ツール
脆弱性体験学習AnCole

33
Copyright © 2015 独立行政法人情報処理推進機構

情報システムにおける
セキ リテ 対策の有効利用（3/4）
セキュリティ対策の有効利用（3/4）• ファジング（英名：Fuzzing）の利用
g– 何万種類もの問題を起こしそうなデータ（例：極端に長い文字列）を送り込み、対象製品の動作状態（例：製品が異常終了する）から脆弱性を発見する技術【イメージ図】
検査データ(1番目)
検査デタ(1番目)

ファジング
フジング
ツール(*1)（Fuzzing tool）

応答あり
検査データ(2番目)
応答あり

例えば、
「Codenomicon」「Raven」「P「Peach」
hなど。

・・・

何万種類の検査データを送信

・・・

検査データ(12345番目)

応答なし

対象機器(*2)

IPAが実施したファジングでは、ルータの脆弱性を発見。他の組込み機器に対しても調査中。
IPAではこの調査結果や、ファジングの利用ガイド等も随時公開。
(*1): ファジングツールは、商用製品だけではなく、オープンソースソフトウェア、フリーソフトウェアも存在します。
(*2): この図では組込み機器を示していますが、ソフトウェア製品でも同様です。

Copyright © 2015 独立行政法人情報処理推進機構

34

情報システムにおけるセキ リテ 対策の有効利用(4/4)
セキュリティ対策の有効利用(4/4)
ソフトウェアの脆弱性を評価するシステム、『共通脆弱性評価システム (CVSS : Common
Vulnerability Scoring System) 』を利用して、自動車システムにおける脆弱性の深刻度の評価を試行。セキュリティ対策の優先度を決める上で非常に重要となる。
脆弱性

基本評価
基準
現状評価
基準
環境評価
基準

被害
攻撃元区分
攻撃条件の複雑さ
攻撃前の認証要否
機密性への影響
完全性への影響
可用性への影響
攻撃される可能性
利用可能な対策のレベル
脆弱性情報の信頼性
二次的被害の可能性影響を受ける対象システムの範囲
機密性の要求度
完全性の要求度
可用性の要求度
基本値 / 現状値 / 環境値
全体的評価値
深刻度

OBD-II経由で認証なしでECUのファー
ムウ アを書き換えられる
ムウェアを書き換えられる
走行中のブレーキ操作不能
ローカルでのみ攻撃可能
高認証操作が不要
影響なし
全面的
全面的実証可能非公式な解決法
未確認の情報源のみ
重大な被害や損失
中規模
低高
高5.6 / 4.3 / 5.2
5.2 (最大10点)
レベルII（警告）

何も対応 ず 脆弱性が深刻化する例
何も対応せず、脆弱性が深刻化する例
ネットワークから攻撃可能
低認証操作が不要
影響なし
全面的
全面的
容易に攻撃可能非公式な解決法
開発者が情報を確認済み
壊滅的
大規模
低
高
高
9.4 / 8.9 / 9.8
9.8 (最大10点)
レベルIII（危険）同じ脆弱性でも攻撃手法が洗練されたり、簡易攻撃ツールが出回る事で深刻化
35
そうなる前に、脆弱性をきちんと評価し、対応する事が必要
Copyright © 2015 独立行政法人情報処理推進機構

スマートシティのセキュリティを考えるために

36
Copyright © 2015 独立行政法人情報処理推進機構

組込み・制御システムセキュリティから見たスマ トシティセキュリティ
スマートシティセキュリティ(1)脆弱性の顕在化
・情報システムを利用する以上脆弱性は出てくるもの。脆弱性弱性を作らない開発と共に、運用面で脆弱性に対策することが必要。
また、「誰がどこまで対応するのか？」という事も考える必要がある。
、 誰対応す」事 考必要。

(2)外部との多様な(ネットワーク)接続の拡大
・スマートシティの中では多種多様なネットワークが利用される。
どのネ トワ クが 何と繋がり どのような情報を交換しているかをどのネットワークが、何と繋がり、どのような情報を交換しているかを把握した上で、適切なセキュリティ対策を実施する必要がある。

(3)スマ トシティ内での『区切り』をつける(3)スマートシティ内での『区切り』をつける
・スマートシティ内では、街やビル、家など様々な機能群がある。
全ての情報を安易に共有するのではなく、それぞれの機能群を重要度や利用者をもとに ゲ トウェイ等で『区切る』ことが重要となる
重要度や利用者をもとに、ゲートウェイ等で『区切る』ことが重要となる。

(4)EVでの新しい脅威
・スマートシティの発展と共に、今後新しいサービスや機能が展開される。
スマ トシティの発展と共に、今後新しいサ ビスや機能が展開される。
新しい事が新しい脅威に繋がらないよう、セキュリティ面での検討が必要。
37
Copyright © 2015 独立行政法人情報処理推進機構

まとめ：総合的＆継続的なセキュリティ対策をSmart Home
Security
Personal
Information
Protection

利用者

SafetyandSecurity

サービス提供社

インフラ関連組織
Secure Smart City
樽の理論

セキュリティレベル

Copyright © 2015 独立行政法人情報処理推進機構

Attackers target the weakest pointin their attacks.

サービスス
提供社
利用者

効果的なセキュリティ対策を実施するためには、自動車本体の関連組織のみならず、それに関わる組織・人の連携が必要

スマーートシティ
関連組
組織

何本もの樽材で組み合わせ、タガを締めた樽には、一番短い樽材の位置までしか水は入らな
い それより長い樽材をどれほど高級なものにしい。それより長い樽材をどれほど高級なものにしたとしても、この結果は変わらない。

攻撃者はサービス・システム全体を分析した上で、一番The
amount of water that a bucket
cancontainis determined by the
弱点となっている所を狙う。
height of the lowest board.
In場合によってはそれを踏み
the same way, the security levelofa system is only as strong as its
台としてさらに内部に攻撃をweakest point.
しかける事も。

38

最後に：安全でセキ アなス
安全でセキュアなスマートシティに向けてトシテ に向けて
事故・火事

誤操作

攻撃

Safety & Security

セキュアなスマートシティの実現を
Copyright © 2015 独立行政法人情報処理推進機構

39

組込みセキュリティに関連する
IPA セキュリティセンターの活動
２０１１年５月９日公開

2010年度 制御システムの情報セキュリティ動向に関する調査
２０１３年３月6日公開

2012年度 制御システムの情報セキュリティ動向に関する調査
２０１１年４月２６日公開

２０１０年度 自動車の情報セキュリティ動向に関する調査
２０１２年５月３１日公開

２０１１年度 自動車の情報セキュリティ動向に関する調査
２０１３年３月25日公開

２０１２年度 自動車の情報セキュリティ動向に関する調査

組込みシステムのライフサイクル

２００９年６月２４日公開

組込みシステムのセキュリティへの取組みガイド
組 ガ ド
２００９年１１月２５日公開

上下水道分野用のSCADAセキュリティ グッド・プラクティス
２０１３年３月25日公開

自動車のセキュリティへの取組みガイド

企画 開発 運用

廃棄

２００７年４月２５日から実施
２０１４年４月１６日公開

医療機器における情報セキュリティに関する調査

組込みシステムを含んだソフトウェアの脆弱性関連情報の受付・蓄積・公開
40

Copyright © 2015 独立行政法人情報処理推進機構

ご清聴ありがとうございました！
本成果はIPAのWebサイトでダウンロードする事ができます。
http://www.ipa.go.jp/security/index.html
pp g jp
yContact：
IPA（独立行政法人 情報処理推進機構）
技術本部 セキュリティセンター
情報セキュリティ技術ラボラトリー
ＴＥＬ ０３（５９７８）７５２７
ＦＡＸ ０３（５９７８）７５１８
電子メール vuln-inq@ipa.go.jp41
Copyright © 2015 独立行政法人情報処理推進機構

ITパスポ ト公式キャラクタ
ITパスポート公式キャラクター
上峰亜衣（うえみねあい）【プロフィール：マンガ】 https://www3.jitec.ipa.go.jp/JitesCbt/html/uemine/profile.html「ｉパス」は、ITを利活用するすべての社会人・学生が備えておくべき「ｉパス」はITを利活用するすべての社会人・学生が備えておくべきITに関する基礎的な知識が証明できる国家試験です。
42