拡大する IoT とそのセキュリティについて
IoT WG
松岡正人@カスペルスキー

Copyright (c) 2000‐2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

1

参照IoTモデル：IoTへの進化

Copyright (c) 2000‐2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

http://www.meti.go.jp/committee/sankoushin/shojo/johokeizai/pdf/report01_01_00.pdf

2

参照IoTモデル：CPS（IoTを包含する概念）

Copyright (c) 2000‐2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

3

http://www.meti.go.jp/committee/sankoushin/shojo/johokeizai/pdf/report01_01_00.pdf

参照IoTモデル：課題と可能性

Copyright (c) 2000‐2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

http://www.meti.go.jp/committee/sankoushin/shojo/johokeizai/pdf/report01_01_00.pdf

4

参照IoTモデル：セキュリティ

Copyright (c) 2000‐2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

5

http://www.meti.go.jp/committee/sankoushin/shojo/johokeizai/pdf/report01_01_00.pdf

WG発足からの1年• 2014/4発足• 目的はIoTの市場調査、アーキテクチャとセキュリティ範
囲、脅威の洗い出し、調査、調査報告書の取りまとめ• 市場調査：あまりにも広大なため、終りのない旅に…
• アーキテクチャとセキュリティ範囲：先達の成果物を参照（IOT‐A Project）プライバシーは除きます• 脅威の洗い出し、調査• 調査報告書のとりまとめ

2015年度実施予定

Copyright (c) 2000‐2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

6調査報告書作成プロジェクト• 主にコンシューマー製品としての IoTのセキュリ
ティ上の課題や問題を提示し、利用者と提供者双方にとって気づきを与えることや参照すべき情報の一覧を提供することで、セキュリティの問題に対する関心を高め、より安全なIoTが提供され、利用される環境を構築する一助となることを目指す

7

Copyright (c) 2000‐2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

IoTデバイスの参考モデル（案）• 脅威分析と利用者、提供者のスコープを提示

Internet

I/F

提供者が晒される脅威• C要素脅威• I要素脅威• A要素脅威利用者との相互作用

センサー

••

状態
環境

UI/入力

•
•

操作
情報（利用者、設定など）

UI/出力

•
•

状態
メッセージ

アクチュエーター

•
•

動作
制御

CPU

IoT
コンピューティングシステム

IoT デバイス

第三者が晒される脅威• C要素脅威• I要素脅威• A要素脅威
Copyright (c) 2000‐2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

利用者が晒される脅威• C要素脅威• I要素脅威• A要素脅威8

報告書目次（案）第1章• Internet of Things（IoT）の概要• 海外市場• 主要なベンダーと提供されている技術、製品およびサービス• ドイツ、米国など海外の状況• ISO、OMGなど標準化団体などでの取り組み• 国内市場、政府および民間の取り組み• 経産省、総務省含め各業界など国内での取り組み• IoTの技術• 代表的なシステム例• デバイスおよびシステムの概要• 利用される技術

9

Copyright (c) 2000‐2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

報告書目次（案）第2章• IoTのセキュリティの現状• セキュリティとプライバシー※本報告書ではプライバシーは扱いませんので、セキュリティとプライバシーについてのみ概説• デバイス及びシステムのセキュリティ（*IoTA D1.1より）• 代表的なシステムと利用者が設定可能なセキュリティ• 無線通信、ハードウェア、ネットワーク

Copyright (c) 2000‐2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

10報告書目次（案）第3章• 利用者の視点でのIoT利用時の考慮点※利用者のリテラシーレベルの定義をどうするか検討中。例えばルーターの設定ぐらいできる人にするのかどうか。

• 機器およびシステムの選択• 想定されるリスクと対策• 運用時に想定されるリスクと対策• 利用者視点での脅威の一覧と対策※自動運転と同様な扱いが必要、信用しきらないことについて、利用者の立場で取りうる対処・対策について• IoTのライフサイクルの観点での脅威と対策• 野良＆脱獄
一般的な利用者とは別に扱い、開発者の想定すべき事柄について記載。例えば、デフォルトパスワードを変更するなど基本的な注意事項について記載
Copyright (c) 2000‐2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

11報告書目次（案）第4章• 提供者としてIoTを提供する際に検討すべきこと• 機器及びシステムの企画・開発• 参照すべき基準、標準など。
主に海外で進む標準化などの状況など、第1章と同期して概説• セキュリティの実装と強度および評価方法について。
※コンシューマ製品向けのセキュリティ基準についての規制が無いため、参照としてIEC62443にて規定されているEDSA認証やGEの傘下に入ったAchilles 認証など、既存の産業用組み込み機器の認証での扱いについて概説する。同時に、USBの仕様上の可否など既知の課題についても概説する。

• 保守・更新、ライフサイクルを考慮する※ライフサイクルを考慮し、今後開発販売する製品へのセキュリティを向上するための仕組みとして既存の組み込みシステムが採用している手法とそのメリット・デメリットなどについて概説する
Copyright (c) 2000‐2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

12補足資料
IoT を取り巻く状況

13

Copyright (c) 2000‐2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

2020年までにIoTデバイス数は 250億超
半数超はコンシューマー
300
250.066
250200Automotive
Generic Business

150131.725

Vertical Business
Consumer

100

Total
48.80550

30.32
18.42137.5

28.74922.445

0
2013年

2014年

2015年

2020年

Copyright (c) 2000‐2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会*Gartner 2014 Nov.
http://www.gartner.com/newsroom/id/29057
1714

NISC:サイバーセキュリティ戦略(案)
社会インフラとしてのIoTに注⼒• 家電、自動 車、ロボット、スマートメーター等の様々なモノがインターネット等のネットワークに接続され、そこから得られるビッグデータの利活用等により新たなサービスの実現が可能となるシステム• 企業が、IoT システムを通じて新たなサービスを提供するに当たっては、市場における個人・企業が当該サービスに期待する品質の要素としての安全やセキュリティが保証されていることが前提。例えば、サイバー攻撃によりモノが意図しない動作をするよう遠隔操作されたり、ウェアラブル端末を通じて個人に関する情報が窃取されたりといった実空間に密着したリスクは、こうしたサービ
スの信頼性や品質を根本的に損なう。IoT システムの提供するサービスの効用と比較してセキュリティリスクを許容し得る程度まで低減していくことが、今後の社会全体としての課題• M2M(Machine to Machine)機器やウェアラブル端末等の機器を含め、エネル
ギー分野、自動車分野、医療分野等における IoT システムのセキュリティに係る総合的なガイドラインや基準の整備を行う。
※http://www.nisc.go.jp/active/kihon/cyber‐security‐senryaku_2015.html
Copyright (c) 2000‐2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

15「便利な」ネットワーク家電• 機器同士の相互接続やオンラインサービスとの接続による利便性の提供

Copyright (c) 2000‐2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

16「便利な」カーナビ/GPS ＆ ITS• 機器同士の相互接続やオンラインサービスとの接続による利便性の提供

Copyright (c) 2000‐2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

17

Raspberry Pi で誰でも「野良IoTデバイス」• センサーと組み合わせても1万円以下で入手可能

Copyright (c) 2000‐2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

18

何が課題か？
••

誰がコストを負担するのか？
• 既存のネットワーク家電、ルーター、NASなどOSを搭載するネットワー
ク機器はOSやアプリケーションに脆弱性があっても更新することが困難• 利⽤者はネットワーク家電のセキュリティの課題を知らない、またはメーカーの責任と考えている
誰でもIoT による混沌の拡⼤• ラズパイの普及などによって誰でも簡単にネットワーク機器を「つくる」ことができるようになった• このような「電⼦玩具」は、そもそもセキュリティを考慮して提供されていない

Copyright (c) 2000‐2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

19

IoTの脅威 Top10
I1 Insecure Web Interface
I2 Insufficient Authentication/Authorization
I3 Insecure Network Services
I4 Lack of Transport Encryption
I5 Privacy Concerns
I6 Insecure Cloud Interface
I7 Insecure Mobile Interface
I8 Insufficient Security Configurability
I9 Insecure Software/Firmware
I10 Poor Physical Security
出典：OWASP Internet of Things Top Ten Project
https://www.owasp.org/index.php/OWASP_Internet_of_Things_Top_Ten_Project

Copyright (c) 2000‐2015 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

20