GK9GH)0 b Q b Q4

s

v

w

s778G

)

Nb QO 0•.

12((t)(2)(

m

m

r

m

m

m
•
•

m

m

o

m

m

m

m

T

_H
ﬁ

I

Nb QO 0

.

• b Q
l
•

•
•
•

)(2 (t))2,(

r
m

s

y
r

m

ﬁ

m

•

m

s

m

•
m

m

T

I

r

o

,

r

v

内部および外部の脅威の表面化
2005

2006

2007

新しい技術に伴う脅威とグローバル化する脅威

2008

2009

2010

★
iPhone
日本発売★
Android
スマートフォン
日本発売★
iPad 発売

2011w

被害規模の拡大
2012

2013

2014

2015

★
★
Windows XP Windows Server
サポート終了 2003サポート終了

ブロードバンド

公衆無線 LAN

ソーシャルネットワーキングサービス

クラウドサービス／モバイルサービス
IT環境

携帯電話（ガラケー）

スマートフォン

IoT機器

p

)(

標的型攻撃
().y cc b2 fff
Y Q W_ Z
フィッシング詐欺

bUSdaYcg ed)(c aUQcb (). c]-クラウドサービス／モバイルサービス
IT環境

r
内部および外部の脅威の表面化
2005v

携帯電話（ガラケー）

2006

2007

スマートフォン
新しい技術に伴う脅威とグローバル化する脅威

2008

2009

2010

★
iPhone
日本発売★
Android
スマートフォン
日本発売★
iPad 発売

2011w
被害規模の拡大

2012

2013

IoT機器

2014

2015

★
★
Windows XP Windows Server
サポート終了 2003サポート終了

標的型攻撃

ブロードバンド
フィッシング詐欺

ランサムウェア

公衆無線 LAN

攻撃手法

ボットネット(Botnet)
ソーシャルネットワーキングサービス

クラウドサービス／モバイルサービス
IT環境

IoT機器を狙った攻撃

携帯電話（ガラケー）

スマートフォンを狙った攻撃
スマートフォン

諜報・破壊 目的

IoT機器

ハクティビズム

p

)(

標的型攻撃
().y cc b2 fff
Y Q W_ Z

金銭・経済目的
フィッシング詐欺

bUSdaYcg ed)(c aUQcb (). c]

.

攻撃手法

w

r

ボットネット(Botnet)vo
IoT機器を狙った攻撃

内部および外部の脅威の表面化
2005

2006

2007

新しい技術に伴う脅威とグローバル化する脅威

2008

2009

2010

★
iPhone
日本発売★
Android
スマートフォン
日本発売★
iPad 発売

被害規模の拡大

スマートフォンを狙った攻撃

2011

2012

2013

2015

★
★
Windows XP Windows Server
サポート終了 2003サポート終了

諜報・破壊 目的

ブロードバンド2014

ハクティビズム

公衆無線 LAN
金銭・経済目的

攻撃者の
種類・目的

ソーシャルネットワーキングサービス

内部不正・犯行
クラウドサービス／モバイルサービス
愉快犯

IT環境

携帯電話（ガラケー）
犯罪の低年齢化
スマートフォン

図 1.1：情報セキュリティの変遷

p

)(

標的型攻撃
().y cc b2 fff
Y Q W_ Z

4

フィッシング詐欺

IoT機器

bUSdaYcg ed)(c aUQcb (). c]

/

s _H

•
•

o

m r

• CGmH7D D

•
•

r

mIG6

ﬁ
m

m

r

ﬁm
m
I
0

cc 2 fff Y bdaQ SUZ_da Q S_](), (/ )0- ), c]Ufb Y cUa QcY_ Q

cc 2 fff Qdc_R _W S_] (), (/ )0 Qdc_ Y Tdbcag TUQ b
fYc
QS[Y W SgRUa c aUQcb

cc 2 fff c UaUWYbcUa S_ d[occ 2 fff YUS S

UcUS()) )(/ VQcQ PY bd Y P d] PQccQS[(), UcUS P(.), SQ ) c]

1

リンタを活用したデジタルものづくりの出現によって「ユー明らかにしつつ、我が国製造業の現状と今後の方向性に

ザーとメイカーが同一化する時代の到来」はその1つといえ

て述べる。

_H

cUa Uc _V H Y Wbr

図131‒1 IoT やビッグデータによる新たなビジネスサイクルの出現
製

プロセス

モビリティ

スマートハウス

医療・健康

インフラ

…

データ収集
real

車載センサ

digital

…

家電製品

▼

SmartMeter

カメラ

スマートフォン

スマートメーター

バイタルセンサ

IoT：モノのデジタル化・ネットワーク化が急
データの
蓄積・解析

データベース

データベース

データベース

モニタリングセンサに拡大

データベース…

データベース…

digital▼intelligenceモデル
01010110100101011
01001101010
10011
01
1
1010110001
110101101010
1
0
1
0
0
101101010010101101
0101101010010101

モデル

モデル

モデル

モデル

ビッグデータ解析：AIの進化により判断の高度化や自律制御が進…展

現実世界へ（制御・サービス）

intelligence▼

real

資料：経済産業省作成▶生産性低下の無いテー
ラーメイド品▶サプライチェーン連携による在庫ゼロ

自動走行技術の活用による▶交通事故、
渋滞の低減等▶移動時間を自由時間に変える新たなモビリティの実現▶ 安 価 で 安 定 的 なエ
ネルギーの供給▶予防医療充実による健康
寿命延伸▶運営効率化による新規サービス提供▶新サービス創出による電力小売市場活性化▶個人特性を考慮した
テーラーメイド医療▶インフラ間連携による災害対策基盤の強化…

p ())(

_H

r

s

ʼp

o

r



•

•

m

r

m

•

•
p
•

•

r
v

•



r

•

o
r

r



ﬁm

w

r

•
•

•

p
ﬁ

m

5

•

m
))

ʼ

_H

http://www.belkin.com/us/p/F7C029fc/

http://photosynth.co.jp

http://www.muggino.com/

)

_H
•
•

r

­

@

d L5B EY W 2 iA 5 B9K6 9 L9H
57 M 699 89: 7CB()KYj MYWRUUﬁv
MYWRUU
w

•
•
•

r ­
MYWRUU

v

m
m

r

­
r

75B
m

w

ﬁm
mMYWRUU

MYWRUU
m
­

ﬁ

ﬁ

m



r

•

97I

)

Appendix
Note that all samples in the table and corresponding honeypot traffic are available for interested researchers uponrequest [6].

_H­

Malware binary files captured by IoTPOT

Familly'name

ZORRO

Bashlite

nttpd
KOS

Sample'ID
Bin'1
Bin'2
Bin'3
Bin'4
Bin'5
Bin'6
Bin'7
Bin'8
Bin'9
Bin'10
Bin'11
Bin'12
Bin'13
Bin'14
Bin'15
Bin'16
Bin'17
Bin'18Bin'19Bin'20
Bin'21
Bin'22
Bin'23
Bin'24
Bin'25Bin'26
Bin'27
Bin'28Bin'29Bin'30
Bin'31
Bin'32
Bin'33
Bin'34
Bin'35
Bin'36
Bin'37
Bin'38Bin'39Bin'40
Bin'41
Bin'42
Bin'43File'Name
wb.armtelnet.arm
telnet.m68k
telnet.mp
telnet.mps
telnet.ppc
telnet.sh4
telnet.sparc
telnet.x86
arm
i586
i686
mips
mipselsparc
superh
arm
i586
i686
mips
mips64
mipsel
ppc
sparc
arm
i586
i686
mips
mips64
mipsel
ppc
sparc
arm
i586
i686
mips
mips32
mips64
mipsel
ppc
sparc
nttpd
1225.8196

Hash(md5)
Architecuture Date'of'Capture Existance'in'VirusTotal Detection'Ratio'in'VirusTotal
e94f48285ec44e739505889c922def55
ARM
2015/01
yes
0'/'564101d096094fa7f3b35a14cee8c5d6bb
ARM
2015/04
no2d4c6238ad43bfcc4668467ef6846196
M68K
2015/04
no5c091a1c1311aa37443027a315b663f5
MIPS
2015/04
noacb79b0810aeb8e1db298cd678b33840
MIPSEL
2015/04
no8e654a673d4bdd8ac16c39f7a4654e1b
Power'PC
2015/04
no60ee95389061b1c8ce0cf8b6f748c8a6
SH4
2015/04
no9918dba3e5737d25424b05b9f10b16c0
SPARC
2015/04
no792d38b6fdd89d65d35d1b01cd1c2ba7
x86
2015/04
nof73da5e1e33762f09d74e2d3d16c5c50
ARM
2014/11yes
7'/'5766113dc9a53866702ec0ca68a9a546b8
i586
2014/11
no6d9f7123e8692087bdb2822e44854eef
x86
2014/11noc58e25360794355fc77c18b1688d4d01
MIPS
2014/11yes
6'/'57a265bab2443e0635a4adfe7f47e06974
MIPSEL2014/11
no738db9f6b9debd08976eaa91bbf16117
SPARC
2014/11noa12e7f584177fb5d229707c5c7f7fa72
Super H
2014/11no06b2fbee4e7ae5c1370753543b7d2e21
ARM
2015/04nob7b299fdffbbaabd184ab4d8e69a4d98
x86
2015/04
no4061432ae8b37171af033d5185b31659
x86
2015/04no3fc4bdb902e086e3e5681798036207e7
MIPS
2015/04
nofeb53f2aec98e96c1321a6811ac05a18
MIPS64
2015/04
no94b2e00fc4c11abd77fb76fd5815d1dc
MIPSEL
2015/04
no06940d099751304c704f7a31c2459fb8
Power'PC
2015/04
nod76cf4f0f37395906df4d2c0defcd923
Super H
2015/04
no1549aed9b818b6a994dc5fb6c4a57fa2
ARM
2015/04nodaab490a0a0a0a2b2528b18dacbf66ed
x86
2015/04
no8a2b06d4ba8b88cab092801fbcbfd8b4
x86
2015/04
no61f32f7a0d4b7643fb03da75cf5a1329
MIPS
2015/04noee7d764767c25d4c54be44f18a5aa47d
MIPS64
2015/04
no490968447a603c3664186164c99c14be
MIPSEL
2015/04
no2695e6d6930fc3e5b3345f8cd811d693
Power'PC
2015/04
no132c5605752c9cfcc3f746b8451c7fe6
Super H
2015/04
no032ec8869e235bfa8a8dfe7b125a02b6
ARM
2015/05
no86f9fc4e914d358d05bd5d1d93a0d673
x86
2015/05
noc1ef1dd4232e14c45661e0a8a976867e
x86
2015/05
noa41867fbf8e2358ba5551509907b288c
MIPS
2015/05
no77b73b0fe4a79dfc284fce55bf3cbe8b
MIPS32
2015/05
nod31261199d16b7ad82e0f87094de6e07
MIPS64
2015/05
noc652fe5e53cba8c450ee6f7307408c8c
MIPSEL
2015/05
no52f9bd74d63888182fbab15443b70898
Power'PC
2015/05
nobe35cd9d4c6047e940e6c58a96fbf0b8
SPARC
2015/05
nobbf1327c1a5213b41a4d22c4b4806f7c
MIPSEL
2015/05
yes0'/'57
ec381bb5fb83b160fb1eb493817081c1
MIPS
2015/05
no_HDCH2 5 B_eU _ Ug _c V_a FUeUQ Y W 7daaU c _H H aUQcb DaU aY c
LY AY
DQ DQ G _W_ Gdhd[Y Qcbd QaY L_b Y_[Q Hbdc_]d AQcbd]_c_ HQ[Q Ya_ QbQ]Q 7 aYbcYQ
F_bb_f
J_ -/ B_ ,(). (, )-

),

)-

s _H

r
).

v

m

w
ﬁ

m

m

r
m
m

m

r
t

v

r

•
v

r
m
w

r

w

•
•
•

m

r

m

•
•

m

r
r
v
m
w

­
m
)/

r

s _H

•
•

o

•
m

•

•
•

v

m

m
m
w

•

r
m

r

• G @ GQVUcg
•

r

m

v

w
m

•

m

•

ﬁ

•
n

•
cUWaYcg @UeUﬁm

• G5@ GUSdaYcg 5bbdaQ SU @UeU
• H5@ Hadbc 5bbdaQ SU @UeU
•
•

v

ﬁ
77

w

)0

ﬁ
)

•

r
m

•
•

m
k

•
,

•
•

m

CH5:I CeUa c U 5Ya :Ya]fQaU I WaQTU

r m
m

ﬁ

v

w


•

v

w

)1

s _H
•

m
mv

•

v

•

m

m

o

w

m

w
u

v

m

•

m

w

m

•
•

m

m

m

o

ﬁ

m

z

(

)

⾃動⾞の制御システムに対するセキュリティ強化の取り組み
名古屋⼤学⼤学院情報科学研究科
附属組込みシステム研究センター
倉地 亮
kurachi@nces.is.nagoya-u.ac.jp
最終更新⽇: 2016年8⽉20⽇

SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

アジェンダ•1. ⾃動⾞のセキュリティの課題• ⾞載制御システムの進展と脅威•2. 我々の取り組み事例•⾃動⾞に適したセキュリティ技術の提案例を紹介•3. 最後に• まとめと今後の展開

SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

1. ⾃動⾞のセキュリティの課題

SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

⾞載電⼦制御システムの進展• 多くの機器（センサやアクチュエータ）を制御することで機能を実現• 機器によって定まる時間制約をもつリアルタイムシステム• 時間制約を満たせない場合に重⼤な事態となりうる• 昨今では，⾃動運転やアクティブセーフティと呼ばれる機能が拡充（例）VW Phaeton :・11,136個の電⼦部品が搭載・通信・61個のECUが搭載
・外部からの診断のために31個のECUがシリアル通信
・35個のECUが4つのCANバスに接続
・通信データ・2500個のシグナル
・250個のCANメッセージを使⽤
http://www.iestcfa.org/presentations/wfcs04/keynote_leohold.pdf

SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

増える接続機器○⾃動⾞/インフラ/サービス

http://news.livedoor.com/article/detail/9378308/○持ち込み機器(スマホ)

http://www.clarion.com/jp/ja/newsrelease/index_2012/120507_01/○住宅/設備・無線の接続経路が増加
・新しい機器やインフラとの接続
・先進運転⽀援機能も増加(例:⾃動ブレーキ, 追従⾛⾏)
http://www.ev-life.com/charging/introduction.html

SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

⾃動⾞における攻撃事例 - 有名な事例• 2010年頃から⾃動⾞の脆弱性をつく攻撃事例が登場• ⾞載制御ネットワーク(CAN)になりすましメッセージを流すこと
で，意図しない制御を実現させる攻撃が存在• 2015年には，脆弱性のある⾃動⾞がリコールされる事態に．
■事例1：Koscher (2010)■事例2：Miller - Prius (2013)

http://www.autosec.org/pubs/cars-oakland2010.pdf

http://hackaday.com/2013/07/26/defcon-presenterspreview-hack-that-takes-prius-out-of-drivers-control/■事例3：Valasek - Ford(2015)

http://japan.cnet.com/news/service/3506
7691/

⾃動⾞においても，セキュリティ対策が無視できない状況になりつつある
SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

事例1. ⾃動⾞のCANネットワークに対する機器接続
K. Koscher, A. Czeskis, F. Roesner, S. Patel, T. Kohno, S. Checkoway, D. McCoy, B.
Kantor, D. Anderson, H. Shacham, and S. Savage, “Experimental Security Analysis of aModern Automobile,”in 2010 IEEE Symposium on Security and Privacy (SP), May 2010

• 実現した脅威• 急ブレーキ/ブレーキの無効化• 運転⼿の意思とは関係なくハンドルの操舵• ワイパー/ライト/ロックの意図しない動作/無効化，エンジンの停⽌･･･

図1. ⾃動⾞内のOBD-IIポートから侵⼊

特定の⾃動⾞でCANメッセージを注⼊し不正操作を実証
SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

我々のモチベーションと研究課題• 我々のモチベーション• まだ標準的な対策技術や評価技術が存在しないため，業界標準技術を⽬指す• 研究課題とその⽬的• 1) ⾃動⾞の安全性を侵害する脅威への対策技術• 情報セキュリティ技術をそのまま適⽤するとコスト⾼な⾃動⾞になる可能性がある• 適切なセキュリティ強度とコストの良いトレードオフ技術を探索する• 2) ⾃動⾞のセキュリティ評価技術• システムあるいはプロトコル特有の評価⼿法やツールが存在しないため，効率の⾼い⼿法やシステムを実現する
攻撃技術

対策技術
SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

評価技術

2-1. ⾃動⾞の安全性を侵害する脅威への対策技術
⾃動⾞に適したセキュリティ技術の提案例を紹介する．

SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

対策技術1: エラーフレーム監視
CAN/CAN-FDにおける攻撃検知技術の⼀例を紹介※公開資料からは内容を削除させていただいてます．

SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

対策技術2: CaCANCAN/CAN-FDにおけるなりすまし防⽌機構を紹介

SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

想定される脅威となりすまし対策のアイデア• 脅威• OBD-IIポートなどに接続した悪意のある機器から不正なメッセー
ジ(正規ECUが送信するCANメッセージのなりすまし)を注⼊
正規の
ECU 1

正規の
ECU 2

正規の
ECU 3

正規の
ECU 4

CAN

悪意のある
機器

悪意のある機器の機器がECU3をなりすますOBD-II

CANメッセージ• なりすまし対策のアイデア• CANメッセージに認証情報(MAC: Message Authentication
Codes)を付与
MAC⽣成鍵を保持
正規の
ECU 1

正規の
ECU 2

正規の
ECU 3

正規の
ECU 4

CAN

悪意のある
機器
OBD-II

CANメッセージ

MAC

CANメッセージ

SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

悪意のある機器の機器がECU3をなりすます既存⼿法1: CANのメッセージ認証 in AUTOSAR• PDUにメッセージ認証コード(MAC)の⼀部を付与• すべてのノードでMACの計算に使⽤する共通鍵を保持

すべての受信ノードでMACを計算するには計算機リソースが不⾜Autosar version 4.2.1, Requirements on Module Secure Onboard Communication, AUTOSAR_SRS_SecureOnboardCommunication.pdf

SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

既存⼿法2: CAN-IDによる不正メッセージの打ち落とし• 特徴• ⾃⾝が送信するCANメッセージを他ノードから送信されたら，エラーフレームで打ち落とす• CAN-IDを⽤いて，不正メッセージを検出• 良い点• CANメッセージのオーバーヘッドなし• ハードウェアの変更のみで良い• 悪い点• 保護したいメッセージを送信するノードに専⽤コントローラが必要
保護したいメッセージを送信するノードに専⽤のCANコントローラが必要

正規の
ECU 1

正規の
ECU 2

正規の
ECU 3

正規の
ECU 4

①悪意のある機器が偽造メッセージ送信(CAN-ID=0x100)
悪意のある
機器

CAN
②エラーフレームでつぶす

CANメッセージ

Matsumoto, T., Hata, M., Tanabe, M., Yoshioka, K. et al.,“A Method of Preventing Unauthorized Data Transmission inController Area Network,” Vehicular Technology Conference (VTC Spring), 2012 IEEE 75th, 2012.

SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

我々の提案– 集中型セキュリティ監視(CaCAN*) *Centralized Authentication system in CANの略• アイデア• 監視ノードがなりすましメッセージをエラーフレームで打ち落とす※松本先⽣らとの違いは，監視したいメッセージを送信するすべてのノードに改造されたCANコントローラを必要としないこと• ⼿段• 監視ノードが各ECUを認証し鍵を交換• 認証されたECUはMACを付与しCANメッセージを送信
正規のECU3
正規のECU2
正規のECU1

監視ノード
各ECUの鍵情報
CaCAN通信コントローラ

Keyi
Keyj

Msgi送信処理開始

認証時に⽣成された鍵

MACiを計算Keyi

MACiを付与

Keyk
データ

CAN

MAC

CRC

正常送信

悪意のある
機器
CANメッセージ

不正送信

検査器がエラーフレームで打ち落とす
Kurachi, R., Matsubara, Y., Takada, H., Adachi, N., Miyashita, Y., and Horihata, S., ”CaCAN - Centralized Authentication System in CAN”,
Proceedings of the escar 2014 Europe
Conference, Hamburg, Germany, Nov 2014
SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

CaCANコントローラ• CaCANコントローラの役割• 受信したメッセージに正しいMACが付与されているか検査• MACが異常となるメッセージをエラーフレームで打ち落とす• CaCANコントローラの効果• 監視ノードがエラーフレームを送信した場合，他のノードも不正メッセージを受け取ることはない
MAC計算開始時刻
DATA Field (64 bits)

CAN Header

Receiving CAN message

SOF

CAN-ID

Payloads

8bits

8bits

Counter
(LCi)

MAC
(Mi)

CRC

A
C
K

EOF

t
Input data for MAC calculation

CAN-ID

Payloads

Full counter(FCi)Key (Max 512 bits)

Calculate MAC
対応しているアルゴリズム･ CMAC-AES-128･ HMAC-256

MAC

MAC results(128 or 256bits)

Compare a few bits of MAC results

SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

CaCANコントローラの実装• CaCANコントローラの実現性を評価• MACの計算処理がEOF期間内に完了可能か？ ⇒ CaCANは実現可能• このケースでは3〜4ビット時間程度(1ビット=20TQ)
1フレーム受信

エラーフレーム送信
EOF期間

ハッシュ計算時間(データ6バイト)
SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

提案⼿法の強い点• 監視ノードとの1対1の鍵交換のみでよい• 他の⼿法では，暗号化のためにM(送信):N(受信)で鍵交換• 通信オーバーヘッド最⼩．鍵漏えいのリスクも低い．
監視ノード

正規の
ECU 1

正規の
ECU 2

正規の
ECU 3

正規の
ECU 4

CAN

• ハードウェアの改造は1ノードのみで⼗分• 監視ノードからのエラーフレームで不正メッセージを潰せる• CANコントローラを改良せず，監視機能を外付けにしても良い
監視ノード

正規の
ECU 1

正規の
ECU 2

正規の
ECU 3

正規の
ECU 4

悪意のある
機器

CAN
エラーフレームで打ち落とす
SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

CANメッセージ

提案⼿法の弱い点• 監視ノードが取りはずされる場合，監視機能が無効化• 機器取り外し攻撃: 監視ノードによる打ち落としが無効化• 機器取り外し攻撃の対策⽅法• 機器が取り外されたことを検出できるコネクタの採⽤• 機器が取り外されると動作しないような重要なノードに監視機能を同居させたり，複数の監視ノードを配置することも可能○中間者攻撃(監視ノードの無効化)の例
監視ノードがバス上に居ないと，エラー
フレームで打ち落とすことは難しい

監視ノード

悪意のある
機器

正規の
ECU 1

正規の
ECU 2

正規の
ECU 3

正規の
ECU 4

悪意のある
機器

CAN
CANメッセージ

SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

対策技術2: CAN Disabler
CAN/CAN-FDにおける不正送信防⽌機構の例を紹介

SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

想定される脅威• 脆弱性の事例より• 外部ネットワークに接続されるECUのプログラムが書き換えられる• プログラムが改ざんされたECUによる他のECUのなりすまし送信⇒ 以降，“踏み台”と呼ぶ．
3G/
4G

正規の
ECU 1

正規の
ECU 2

正規の
ECU 3

BT,
NFC

正規の
ECU 4

プログラムが書き換えられた/
マルウェアが仕込まれたECUによる他のECUのなりすましメッ
セージ送信

CAN
不正なCANメッセージ• 踏み台ECUによる攻撃例:• 1) なりすまし送信• 2) DoS攻撃• 我々の研究のモチベーション
今後はFOTAによるECUのソフトウェア更新も要求されているため，
ECUのソフトウェアの対策だけではなくハードウェアでも対策できないか
SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

CAN Controller - Microchip MCP2515 ○Raspberry pi + CAN

正常なアプリケーション

送信MBOX: 3個

http://skpang.co.uk/catalog/pican-canbus-boardfor-raspberry-pi-p-1196.html○Arduino + CAN

http://www.seeedstudio.com/wiki/CAN-BUS_Shield

SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

受信MBOX: 2個

踏み台ECUの課題と影響• 踏み台ECUの課題:• 悪意のあるアプリケーション
からのすべての送信要求を許可してしまっている

悪意のあるアプリケーション

送信MBOX: 3個踏み台ECUによる攻撃
他のECUのなりすましメッセージ
自ECUのなりすましメッセージ
受信MBOX: 2個

DoS攻撃
[影響1]
メッセージが
衝突し破壊
正規の
ECU 1

[影響2]
メッセージが
滞留し破棄
正規の
ECU 2

[影響3]
期待するメッセージが受信できず制御失敗
正規の
ECU 3

CAN
SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

踏み台ECU対策のアイデア: CAN Disabler• 送信前にゲートを設ける• ホワイトリストベースで送信
メッセージを制限

悪意のあるアプリケーション

送信MBOX: 3個（理由: ⾃動⾞では予め静的に各送信メッセージが仕様で規定)• 制限内容とその効果:• 1. 未使⽤MBOXの利⽤制限⇒ 不正送信防⽌• 2. 送信メッセージIDを制限⇒ 他のECUのなりすまし対策• 3. 送信頻度を制限⇒ DoS対策

SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

受信MBOX: 2個

CAN Disablerの実装⽅法• 既存するCAN-FDのIPに提案するゲート処理とホワイトリストを追加• ホワイトリスト(≒追加するレジスタ情報)
レジスタ名

⽤途

送信MBOX許可情報

各送信メールボックスに対して送信許可/禁⽌を設定

送信許可CAN-IDリスト

送信許可されるCAN-IDのリスト

最⼩送信頻度

各送信メールボックスに対して最⼩送信インターバル時間を設定• CAN-FD IPブロックの修正箇所：• 1) レジスタ情報の追加• 2) 送信頻度カウンタ処理の追加• 3) ゲート処理の追加
実装上，CANとCAN-FDのいずれでもDisablerの処理は共通

ソフトウェア①
レジスタ群 追加レジスタ群

プロトコル処理部③ 送信要求検査処理

ビットタイミング
CANトランシーバ

SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

CAN-FD IP
②
最⼩頻度
カウンタ

sample_pointCAN Disablerの適⽤対象ECU※図中の背景が⾚⾊のECU

適⽤例

ECU名

役割

外部ネットワークに接続するECU⇒外部から内部への通信に適⽤

V2X

⾞⾞間通信⽤ECU

Infortainment

ナビ/ディスプレイなどの⾞載情報端末

Car access module

スマホなどと連携するECU

Central gateway

⾞載制御ネットワーク内のゲートウェイ

ADAS

⾛⾏制御

複数ネットワークにまたがるECU⇒ネットワーク間の通信に適⽤

ADAS

V2X

dashboard

3G/
4G

Infotainment

Central Gateway
enginecontrolcruisecontrol

LED
Ambienttransmission
controlheadlight
control

LED
Ambient

Anti-lockbrake

steer-by-wireparkheatingstability
control

drive-by-wire

power
steering

airbagcontroldata recorderairbagairbag

BT,
NFC

HVAC
main

garageopenerkey

front power
module left

front power
module right

HVAC
main

seat
controlenergymanagersteering
sensors

parkingsensors

car accessmoduleroof module

top column
modulerear power
moduleNFC/
Bluetooth: body CAN network: power train CAN network: LIN network: Diagnostic network: Ethernet network

antennainterior
lightning

NXP@escar EU 2015より⼀部改変して出典
SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

2-2. ⾃動⾞のセキュリティ評価技術
⾃動⾞に適したセキュリティ技術の提案例を紹介する．

SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

⾃動⾞のセキュリティ開発プロセス• SAE-J3061: Cybersecurity Guidebook for Cyber-Physical Vehicle
Systemsでは，セキュリティのための開発プロセスが定義• ISO26262に適合するよう決められたプロセス全般を対象とするガイドライン• プロセス＝コンセプト，開発，運⽤を含む• 今後，北⽶⾃動⾞メーカへのECU納⼊時に対しては必須になると思われる

http://profiles.sae.org/tevees18/

上図はJ3061より出典

SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

J3061におけるHW開発とSW開発• 脆弱性分析や脆弱性テストが要求されている• ただし⼿法の詳細については⾔及していない

図はJ3061より出典

HW脆弱性分析

SW 脆弱分析

SW実装レベルの脆弱性分析

HW脆弱性とペネトレーショ
ンテスト
HW Cybersecurity脆弱性要件の検証

SW Cybersecurity要件の評価
SW脆弱性と侵入テスト

Cybersecurityアセスメントの改善

Cybersecurityアセスメントの改善

SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

⾃動⾞のセキュリティ評価⼿法の研究• ⾃動⾞業界でも情報セキュリティの評価⼿法をベースに議論• 多くは情報セキュリティの⼿法が適⽤できると予想

S. Bayer, T.Enderle, D.K. Oka, M. Wolf , “Security Crash Test - Practical Security Evaluations of Automotive Onboard IT Components", In
Automotive - Safety & Security 2015, Stuttgart, Germany, April 21-22, 2015.

Practical Security Testingについてはシステム特有であるため，Fuzzing Testingに着⽬
SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

ファジングテストの概要• ファジングテスト:• 1. 問題が起こりそうなデータ(ランダム/無効値/異常値)を⼊⼒• 2. 評価対象の挙動(クラッシュ/想定外の動作/異常な出⼒)を確認• CAN/CAN-FDの実装上の以下の問題点を探索:• 無効なメッセージ⻑
• 有効ではないペイロードの値やCANメッセージの送信• 制約されないタイミングや頻度での転送問題をおこしそうなデータを⼊⼒(極端に⻑い⽂字列など)
評価対象物(ソフトウェア)

応答を確認

SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

Beyond Security beSTORM• Beyond Security社 (⽶国，CA, クパチーノ)• ⽇本の代理店は，アイユート社• CANのプロトコルにも対応可能だが，CANのインタフェース
⾃体はユーザが作ることを想定• http://www.beyondsecurity.com/black-box-testing.html

SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

beSTORMによるファジングテスト• beSTORMはPCで動作するソフトウェア• 実⾏釦を押下すると設定されたファジングデータを⽣成し転送• その後，ファジングデータを全件送信し終わると結果をレポート①: 全件実⾏時間の表⽰②: 実⾏しているファジングのスループットを表⽰

beSTORMを使えば，ファジングテストが容易に⾃動化できると判断
SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

beSTORMを⽤いたファジングツールの実装例(1/2)• カーエレ展2016(ETAS様)

SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

beSTORMを⽤いたファジングツールの実装例(2/2)
bestorm• 我々の実装例
bestormライセンス⽤ドング
ル
USBシリアルDE0(CAN/CAN-FD)

PCAN-USB Pro FD*: 動作確認のために使⽤(本来はテスト対象を接続)
SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))(CAN/CAN-FD)*

ツールの構成• ⽬的:• ファジングツールをCAN-FDに対応• 構成要素と処理フロー:• 1. beSTORMで⽣成されたデータをCOMポート経由で転送(⾚線部)• 2. インタフェースでは受信したデータをCAN/CAN-FDへ転送(⻘線部)• インタフェースにはFPGAボード”DE0-NANO”を使⽤し，CAN-FDのIPを実装XMLのモデルを読み込む

PC上のファジング⽤
ソフトウェアインタフェース

COMポートCAN/CAN-FD
UART

USBシリアル変換

評価対象物

FPGAボード(DE0-NANO)

SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))⾃動⾞に搭載されるECU

beSTORMが読み込むモデル(XML記述)• 例) 1つのCANメッセージに対するモデル(1)CAN-ID, (2)Dlc, (3) Extended, (4) Data(Payload)のタグを追加• (1)CAN-ID, (2)Dlc, (3) Extendedは，固定値として扱う• (4) Dataのみを任意のデータを⽣成させる
呼び出す関数をDLL
内の関数名で指定

Payloadについては
バイト単位/ビット単位で定義可能
SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

ファズデータ⽣成の設定• ⽣成するデータについては，beSTORMの設定でステップ値(粒度)を変更可能

ファジングデー
タ⽣成の設定固定値

SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

CAN-FD/CANで実⾏した結果• beSTORMとDE0-NANOが連携し，CANメッセージの送信を確認• beSTORM実⾏後，⽣成したテストデータ数を表⽰• 異常が発⽣する場合には，エラーレポートが都度表⽰⽣成されたファジングの組み合わせ数を表⽰

図. bestorm側の実⾏結果
SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

CAN-FD/CANで実⾏した結果• 左がCAN-FDの場合，右がCANの場合

SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

3. 最後にSWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))

まとめと今後の展開• まとめ• ⾃動⾞のセキュリティに対する脅威事例が増えている• ⾞載制御システムでは，安全性を侵害する脅威の対策が必要• 特に，⾞載制御ネットワークCANでのなりすましなど• 我々は，⾃動⾞のセキュリティ強化に対する対策技術の提案と評価⼿法の検討を実施• 特に，近い将来において実⽤可能となる技術を提案• ⾃動⾞の対策技術としては情報セキュリティとは異なるアプローチもありえるため，組込み技術者が優位に⽴てる場⾯も多いかも？
• ただし，現在⽟⽯混合しており，有益な活動や提案が求められていることも事実！
• 今後の展開• 対策技術の拡充• 評価⼿法の拡充
SWEST18(2016年8⽉25⽇(⽊)〜26⽇(⾦))